ثغرتان وإصدار طارئ واحد
أصدر مشروع PHP أربع نسخ طارئة في 21 أكتوبر — هي 8.5.12 و8.4.27 و8.3.36 و8.2.35 — تعالج ثغرتين تبلغ درجة كل منهما 9.2 على مقياس CVSS v4.0، ويمكن أن تتيحا تنفيذ تعليمات برمجية عن بُعد من دون مصادقة. ونشر القائمون على الصيانة تنبيهاً مرافقاً يطلب من المشغّلين التحديث فوراً.
الأولى، CVE-2026-109618، خلل في إدارة الذاكرة. تستخدم PHP الدالة longjmp() للخروج من السياق الحالي عند نفاد الذاكرة، ويصف التنبيه حالات تكون فيها ذاكرة الطلب قابلة للوصول قبل تهيئتها بالكامل. وإذا فشل تخصيص للذاكرة في تلك اللحظة، يترك الخروج المبكر تلك الذاكرة غير صالحة، وقد تقرأها عملية إنهاء الطلب أو تتفرع بناءً عليها. ويقول التنبيه إن بوسع المهاجم بلوغ هذا المسار عبر تحليل multipart — ترويسة content-length مفقودة، أو عدد مفرط من ترويسات الأجزاء، أو عناصر ملفات فارغة كثيرة بأسماء حقول متداخلة — وإن ذلك قد يفضي إلى تنفيذ تعليمات عن بُعد بصلاحيات حساب عملية الويب.
أما الثانية، CVE-2026-109619، فهي خلل في الحالة المتبقية: قد تبقى حالة داخلية يملكها طلب واحد بعد تحرير ذاكرتها، فيتبع طلب لاحق تعالجه العملية نفسها تلك المراجع المعلّقة.
يقول تنبيه PHP إن الخطر أعلى ما يكون مع mod_php، لكن جميع التثبيتات التي تقدّم خدمة ويب متأثرة، ويسمّي PHP-FPM وphp-cgi وFrankenPHP وLiteSpeed. أما تنبيه غيت هاب فهو أدق في وصف ما تم إنجازه: يصف mod_php وFrankenPHP بأنهما الأكثر عرضة بشكل مباشر، بينما يُعدّ FPM عرضة استناداً إلى تحليل الشيفرة المصدرية من دون إثبات استغلال كامل.
أين يدخل الذكاء الاصطناعي
نشرت أوبن إيه آي روايتها في اليوم نفسه. وفي منشور عمّا تسميه Patch the Planet، تقول الشركة إن شركة الأمن كاليف حدّدت ثغرة حرجة باستخدام GPT‑5.6 Sol، وإن ويز اكتشفت الثغرتين وأبلغت عنهما بشكل مستقل. وقاد القائمون على صيانة PHP أعمال الإصلاح والإصدار.
وتتطابق قائمة الشكر في تنبيه غيت هاب مع تلك الرواية: فهي تذكر أربعة مبلّغين، من بينهم معرّفات تنتهي بـ-wiz و-oai، وأربعة من مطوّري PHP بنوا المعالجة.
وإطار أوبن إيه آي هو أن القطاع كان محظوظاً في التوقيت. تكتب الشركة: “على حد علمنا، وجد الذكاء الاصطناعي المتقدم هذه الثغرات قبل المهاجمين”، فاتحاً “نافذة للمدافعين” تتيح للقائمين على الصيانة ومزوّدي الأمن تجهيز الإصلاحات والحمايات قبل الإفصاح. وتصف الثغرتين بأنهما “من أكثر المشكلات الأمنية تأثيراً في الذاكرة القريبة” نظراً لانتشار PHP، وتقول إنها تتوقع أن ترتفع مثل هذه الاكتشافات “ارتفاعاً حاداً في الأشهر المقبلة”. وإلى جانب المنشور، التزمت بمليار دولار من الوصول المدعوم إلى منتجها الأمني Daybreak لمؤسسات ذات موارد أمنية محدودة، وقالت إنها تواصلت قبل الإفصاح مع قوة الذكاء الفائق في البيت الأبيض ومكتب المدير الوطني للأمن السيبراني ووكالة CISA.
رواية كلاودفلير أقل راحة
كلاودفلير، التي شاركت في الاستجابة المنسّقة نفسها، أطلقت على الثغرتين اسم php2shell، ونشرت تحليلها الخاص قائلة إن كل خادم ويب يشغّل PHP 5.4 أو أحدث متأثر. وتقول إنها بدأت بناء قواعد جدار حماية تطبيقات الويب في مطلع أكتوبر وفعّلتها قبل الإفصاح العلني بنحو تسع ساعات، مع حماية الخطط المجانية والمدفوعة افتراضياً اعتباراً من الساعة 03:02 بتوقيت غرينتش في 21 أكتوبر.
وتقول أيضاً إنها ترصد حركة هجومية ضد عملائها، وإن المهاجمين غيّروا حمولاتهم لمحاولة تجاوز القواعد، فيما تابع محلّلوها أحجام المطابقات لتتبع هذه التغيّرات. وهذا لا يناقض قول أوبن إيه آي إن المدافعين وجدوا الثغرتين أولاً، لكنه يضيّق النافذة كثيراً: فصبيحة الإفصاح كان أحدهم يحاول بالفعل.
ما الذي يتعيّن على المشغّلين فعله
التحديث هو الإصلاح الكامل الوحيد. ويعدّد تنبيه PHP تدابير مؤقتة — ضبط memory_limit=-1 عبر php_admin_value بدلاً من ini_set()، وخفض post_max_size، وتعطيل session.upload_progress، وفي 8.5 ضبط fatal_error_backtraces=0 — ويوضح صراحة أن أياً منها لا يجعل التثبيت آمناً. كما يحذّر من RLIMIT_AS وRLIMIT_DATA لأنهما قد يفعّلان المسار المعرّض للخطر.
ولم تعد النسخة 8.1 وما قبلها تتلقى تحديثات من المصدر، لذا يعتمد من يشغّلون تلك الفروع على نقل الإصلاح من توزيعتهم. وقد تلقت توزيعات لينكس وموردو الدعم طويل الأمد الرقع مسبقاً. أما PHP 8.2 نفسها فتنتهي دورة حياتها في 31 ديسمبر 2026.
وتستشهد كلاودفلير بـW3Techs للقول إن PHP تعمل على قرابة 70% من المواقع. والرقم الجدير بالمتابعة خلال الأسبوعين المقبلين ليس درجة الخطورة، بل معدّل تطبيق الرقع في الاستضافة المشتركة، حيث نادراً ما يكون من يطبّق الإصلاح هو صاحب الموقع.
