إصدار تصحيح أمني من PHP لسد ثغرات PHP2Shell

A smartphone displaying a security lock icon on a wooden desk with a succulent — Dan Nelson / Unsplash

أصدرت PHP تصحيحًا لسد ثغرات أمنية خطيرة تُعرف باسم PHP2Shell. تشمل هذه الثغرات Apache وmod_php وتعتبر الأكثر خطورة. تم إصدار تصحيحات للنسخ 8.5.12، 8.4.27، 8.3.36، و8.2.35 لمنع تنفيذ التعليمات البرمجية عن بُعد بدون تسجيل الدخول.

تؤثر هذه الثغرات على جميع أشكال الاستخدام، لكن تكمن أعلى المخاطر في تكوين Apache مع mod_php. تتضمن الثغرات CVE-2026-109618 التي تستغل نفاد الذاكرة، مما يسمح لـ PHP بمعالجة بيانات تالفة كبيانات صالحة، مما يؤدي إلى تنفيذ التعليمات البرمجية. والثغرة الثانية هي CVE-2026-109619 التي تتعلق بقراءة بيانات داخلية في PHP، حيث يمكن لـ PHP طلب قراءة الذاكرة مرة أخرى بعد إعادتها.

للمستخدمين الذين لم يتمكنوا من التحديث بعد، يُنصح بتعيين memory_limit إلى -1 للسماح لـ PHP باستخدام المزيد من الذاكرة، وتحديد post_max_size إلى قيم منخفضة مثل 8-32 ميغابايت، مع ضبط session.upload_progress.enabled على 0 وfatal_error_backtraces على 0. يجب أيضًا إعادة تشغيل جميع عمال PHP. وقد تم بالفعل تصحيح الأنظمة العاملة بلينكس، مما يشير إلى إمكانية إصدار التحديثات في وقت قريب.