ثغرة تنفيذ شيفرة في PHP قيد الاستغلال: حدّث إلى 8.5.12 الآن

الثغرة الأولى، CVE-2026-109618، موصوفة بأنها تنفيذ شيفرة عن بعد عبر تلف ناتج عن نفاد الذاكرة. أما الثانية، CVE-2026-109619، فهي تنفيذ شيفرة عن بعد عبر حالة عمومية قديمة. ويمكن الوصول إلى كلتيهما دون مصادقة، وهذا ما يرفع الخطورة إلى مستوى حرج.

التفاصيل التقنية الكاملة موجودة في الإشعارات المرتبطة على موقع php.net. لكن الخلاصة العملية أبسط: هذه ليست ثغرات تحتاج إلى تطبيق سيئ الإعداد لتكون مفيدة للمهاجم، بل تسكن في زمن تشغيل PHP نفسه.

الإصدارات المُرقّعة هي PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، وهي متاحة الآن من صفحة التنزيلات الرسمية، بما في ذلك الشيفرة المصدرية والملفات الثنائية لويندوز. على المسؤولين مراجعة سجلات التغييرات والتأكد من الإصدار قيد التشغيل بعد التوزيع، لأن مديري الحزم وصور الحاويات غالباً ما تتأخر.

إذا تعذّر التحديث الفوري، يسرد الإشعار إجراءات تقلّل التعرّض لمسارات هجوم محددة، لكنه صريح في حدودها: فهي لا تجعل التنصيب آمناً. كما تصل PHP 8.2 إلى نهاية العمر في 31 ديسمبر 2026 ولن تتلقى أي إصلاحات أمنية بعد ذلك التاريخ، لذا فإن التخطيط للترقية إلى فرع مدعوم أمر متأخر أصلاً.

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35
• نهاية دعم PHP 8.2: 31 ديسمبر 2026

بالنسبة للمطوّرين ومسؤولي الأنظمة وكل من يستضيف موقعاً أو تطبيقاً في تونس، هذه مهمة يجب إنجازها في اليوم نفسه. على عملاء الاستضافة المشتركة التواصل مع مزوّدهم والسؤال عن إصدار PHP الذي يعمل عليه حسابهم؛ وكثير من لوحات التحكم تتيح تغيير الإصدار بنفسك. أما الوكالات والمستقلون الذين يديرون مواقع عملاء، فعليهم اعتبار هذا البند الأول في قائمة اليوم.

لا يوجد هنا سعر منتج أو تاريخ إصدار لانتظاره، بل أرقام إصدارات فقط. وإذا لم يستطع مزوّد الاستضافة تأكيد الإصدار المُرقّع، فالجواب الصريح هو أن الموقع يبقى معرّضاً حتى يتمكن من ذلك. تابعوا php.net لأي إشعار إضافي، ولا تعتمدوا على الحلول الجزئية كبديل عن التحديث.