سدّ ثغرات حرجة في PHP اكتشفها الذكاء الاصطناعي ورئيسة وزراء اليابان تدعو إلى التحديث

أصدر فريق PHP في 21 أكتوبر 2026 نسخًا تسدّ ثغرتين أمنيتين حرجتين في محرك اللغة. ووفقًا للإشعار الأمني الصادر عن PHP، تتيح الثغرتان CVE-2026-109618 وCVE-2026-109619 تنفيذ تعليمات برمجية عن بُعد على الخادم دون الحاجة إلى مصادقة. وحصلت كل منهما على 9.2 درجة على مقياس CVSS v4.0، أي في فئة الخطورة الحرجة. وشرحت Wiz Research، التي اكتشفت الثغرتين، في مقال أطلقت عليه اسم PHP2Shell كيف أنجزت العمل بأداة بحث تعتمد على الذكاء الاصطناعي.

اكتُشفت الثغرات بالذكاء الاصطناعي

بحسب Wiz، اكتُشفت الثغرات باستخدام Wiz Atlas، أداة الشركة لأبحاث الثغرات القائمة على الذكاء الاصطناعي. وتذكر Wiz أن نموذج Gemini 4 Argon من Google أسهم إسهامًا كبيرًا في مراحل العمل كلها، من اكتشاف الثغرة وتطوير طريقة استغلالها إلى رصد الهجمات والتحقق من التصحيح، وأن نموذج GPT-5.6 Sol من OpenAI استُخدم طوال البحث. وتقول الشركة إن النماذج ساعدت في تكييف الاستغلال مع إصدارات PHP وإعداداتها وتوزيعات الذاكرة المختلفة، وفي تحليل المحاولات الفاشلة. وبحسب Wiz، ظلت هذه الأخطاء في شيفرة PHP لأكثر من عقد.

وفي الجدول الزمني الذي نشرته Wiz، اكتُشفت الثغرة الأولى في 19 أغسطس، وتأكد تنفيذ التعليمات البرمجية دون مصادقة ضد Drupal في اليوم التالي وضد WordPress في 21 أغسطس. وأُبلغ فريق أمان PHP بالثغرات في 24 أغسطس، وبدأ PHP عملية الإصلاح في 21 سبتمبر، ونُشرت التصحيحات في 21 أكتوبر. وشارك في العمل فريق PHP وشركة Calif وOpenAI. ولمن لا يستطيع تطبيق التصحيح فورًا، أعدّت شركات منها Automattic وAkamai وAWS وCloudflare وFastly وGoogle وImperva وMicrosoft وVercel إجراءات حماية على منصاتها.

أثر الثغرات

وفقًا لإشعار PHP، تنشأ الثغرة CVE-2026-109618 عندما يوقف PHP العمل بسبب نفاد الذاكرة، فتبقى بيانات الطلب الداخلية مهيّأة جزئيًا، وقد تتعامل مرحلة التنظيف مع هذه البيانات غير الصالحة على أنها صالحة. أما في CVE-2026-109619 فقد تبقى حالة داخلية تخص طلبًا ما بعد تحرير ذاكرتها، وقد يستخدم طلب لاحق يعالجه العامل نفسه هذه الحالة القديمة. وتضيف Wiz أن الأخطاء نفسها تتيح قراءة ذاكرة الخادم عن بُعد، وقد تحتوي هذه الذاكرة على كلمات مرور ورموز جلسات ومفاتيح API وشهادات تخص طلبات أخرى.

ويذكر الإشعار أن كل تثبيتات PHP التي تخدم طلبات الويب متأثرة، ومنها PHP-FPM وApache mod_php وphp-cgi وFrankenPHP وLiteSpeed. والخطر أعلى مع mod_php، إذ يقول فريق PHP إن استغلالًا جرى عرضه يكفي فيه طلب واحد دون مصادقة لتشغيل الهجوم قبل تنفيذ أي شيفرة للتطبيق. وتكتب Wiz أيضًا أن الهجوم لا يتطلب WordPress أو Drupal أو Joomla، وأن تطبيقًا بسيطًا من نوع "Hello World" على إصدار متأثر قد يكون عرضة للخطر.

الإصدارات المصحَّحة

• ‏8.5.12 لفرع PHP 8.5
• ‏8.4.27 لفرع PHP 8.4
• ‏8.3.36 لفرع PHP 8.3
• ‏8.2.35 لفرع PHP 8.2

لم تعد إصدارات PHP 8.1 وما قبلها تتلقى تحديثات من مشروع PHP، وقد نشر الفريق على GitHub فروع إصلاح مصغّرة للإصدارات 7.4 و8.0 و8.1. وحصلت توزيعات لينكس والشركات التي تقدم دعمًا طويل الأمد على التصحيحات مسبقًا، لذا فإن تحديث الحزم من التوزيعة نفسها يجلب الإصلاح أيضًا. كما يتضمن الإصدار التجريبي PHP 8.6.0 RC4 الإصلاحين.

إجراءات مؤقتة لمن لا يستطيع التحديث بعد

يؤكد فريق PHP أن التحديث هو الحل الكامل الوحيد، لكنه يسرد إجراءات مؤقتة. فبالنسبة إلى CVE-2026-109618، يوصي بضبط memory_limit على ‎-1 بطريقة لا تستطيع التطبيقات تجاوزها (عبر php_admin_value في FPM أو Apache)، وخفض post_max_size إلى 8M (أو 32M إذا كان رفع الملفات مطلوبًا)، وإبقاء upload_max_filesize أقل من ذلك، وتقييد أحجام الطلبات على خادم الويب أو الخادم الوسيط. وبالنسبة إلى CVE-2026-109619، يوصي بضبط session.upload_progress.enabled=0 وإعادة تشغيل جميع العمال، وفي PHP 8.5 بضبط fatal_error_backtraces=0 أيضًا.

وإلى أن يُطبَّق التصحيح، تنصح Wiz بمراقبة طلبات multipart غير المعتادة التي تعقبها أخطاء حد الذاكرة، وتكرار استجابات HTTP 500، وملفات تعريف الارتباط PHPSESSID الكبيرة على نحو غير معتاد أو المشوّهة، وعمليات إعادة تشغيل عمال PHP غير المبررة.

تحذيرات حكومية

دعت رئيسة وزراء اليابان ساناي تاكايتشي، في منشور على X مساء 21 أكتوبر، أصحاب المواقع إلى الاستعداد لتطبيق التصحيح فور صدوره، وقالت إن الإيقاف المؤقت لوظائف الموقع وسيلة فعالة لتقليل المخاطر حين يصعب تطبيق التصحيح بسرعة (وكالة جيجي برس). كما حذّر فريق أمان Drupal مستخدميه قبل يوم من صدور التصحيح.

خطوات التحديث

تحقق من الإصدار على خادمك بالأمر php -v، وحدّث عبر مدير الحزم في توزيعتك أو بإصدار PHP الجديد، ثم أعد تشغيل PHP-FPM وخادم الويب. وإذا كنت تستخدم استضافة مشتركة فاسأل مزود الخدمة عما إذا كان التحديث قد طُبّق. وإذا كنت تستخدم Docker فأعد بناء الصور على أساس PHP الجديد، لأن الحاويات التي تعمل بصور قديمة تبقى معرّضة للخطر.

تستند التفاصيل التقنية ونطاق الثغرات حاليًا إلى تصريحات فريق PHP وWiz. ولا يتضمن مقال Wiz شيفرة استغلال. ويسرد الإشعار الرسمي لـPHP الإصدارات المصحّحة للفروع المدعومة، في حين تكتب Wiz أن الثغرات تطال إصدارات تعود إلى PHP 5.4، ولذلك فإن المواقع التي ما زالت تعمل بإصدارات انتهى دعمها أكثر عرضة للخطر. ويذكّر اكتشاف الثغرات بالذكاء الاصطناعي بأن أدوات مماثلة قد تكون في أيدي المهاجمين أيضًا، ما يجعل تأجيل التصحيح أكثر خطورة. وللاطلاع على الصورة كاملة، تابع أيضًا تقييمات الباحثين الأمنيين المستقلين.