PHP2Shell: حدّث PHP وأعد تشغيل كل العمليات
ثغرتان حرجتان في PHP نفسها تتيحان تشغيل كود عن بعد على خوادم الويب. الإصلاحات متاحة من 8.2 إلى 8.5. والإصدارات الأقدم تحتاج توزيعتك أو مزوّد دعم طويل.
أصدر مشروع PHP أمس إصلاحات طارئة لثغرتين حرجتين في نواة PHP، أُطلق عليهما PHP2Shell (CVE-2026-109618 وCVE-2026-109619). تتيحان تشغيل كود عن بعد دون تسجيل دخول على تثبيتات PHP التي تخدم طلبات الويب: PHP-FPM، وmod_php في Apache، وphp-cgi، وLiteSpeed وغيرها. ويقول مشروع PHP إن أي تغيير في الإعدادات لا يخففهما بالكامل. وتحث CISA على التحديث فورًا، وتبلغ شركات أمنية عن محاولات استغلال.
الإصدارات المصلحة: 8.2.35، و8.3.36، و8.4.27، و8.5.12.
- حدّث PHP على كل خادم، ومنها الاستضافة المشتركة وإصدارات PHP المتعددة في cPanel.
- أعد تشغيل PHP-FPM أو Apache أو LiteSpeed بعدها. الكود القديم يبقى يعمل حتى تفعل.
- PHP 8.1 وما قبله لا يحصل على حزم رسمية. استخدم الإصلاح المنقول من توزيعتك أو من مزوّد دعم طويل، أو رقِّ الإصدار.
- اسأل مزوّد الاستضافة متى حدّث، إن لم تكن تدير الخادم بنفسك.
هذه بالضبط الحالة التي كتبت عنها في أغسطس: حين تظهر ثغرة PHP خطيرة، الإصدار غير المدعوم يتركك في سباق.