إنذار في عالم PHP

منظومة PHP تواجه ثغرات أمنية حرجة

شهدت منظومة PHP واحدة من أخطر التطورات الأمنية في السنوات الأخيرة. ففي 21 أكتوبر 2026، أصدر فريق تطوير PHP ومؤسسة PHP (PHP Foundation) تنبيهًا أمنيًا عاجلًا كشف فيه عن ثغرتين أمنيتين حرجتين في المفسّر الأساسي للغة (Core Interpreter)، مع إمكانية استغلالهما لتنفيذ التعليمات البرمجية عن بُعد (Remote Code Execution - RCE). وبحسب التقييمات المعلنة، تصل درجات الخطورة وفق نظام CVSS إلى 9.2، ما يشكّل تهديدًا خطيرًا لخوادم PHP المتصلة بالإنترنت.

ماذا تعني هذه الثغرات الأمنية؟

وفقًا للنشرات الأمنية المنشورة، تم تسجيل الثغرتين تحت رقمي CVE منفصلين، وترتبطان بشكل أساسي بنقاط ضعف في آليات إدارة الذاكرة داخل PHP.

**CVE-2026-109618 (فساد الذاكرة الناتج عن نفاد الذاكرة OOM):**

تستخدم PHP آلية `longjmp()` لإنهاء الطلبات التي تتجاوز الحد المحدد في إعداد `memory_limit`. ومع ذلك، عندما يحدث خطأ بسبب استنفاد الذاكرة بينما لا تزال بيانات الطلب قيد المعالجة، كما في عمليات رفع الملفات عبر النماذج (Form-Based File Upload)، فقد يؤدي ذلك إلى مشكلات في التزامن ضمن إدارة الذاكرة.

أثناء عملية التنظيف، قد يتعامل النظام مع بيانات غير صالحة كما لو كانت صالحة، ويحاول تحرير منطقة من الذاكرة لم تتم تهيئتها بشكل صحيح من الأساس. وقد يتيح ذلك للمهاجم فرصة لتنفيذ تعليمات برمجية من خلال استغلال مناطق الذاكرة التي يستطيع التأثير فيها مسبقًا.

**CVE-2026-109619:**

أثناء معالجة الطلبات الواردة، تحتفظ عمليات PHP ببعض معلومات الحالة الداخلية في الذاكرة. وبعد حدوث خطأ حرج (`fatal error`) أو استثناء، قد لا تتم إعادة ضبط بعض هذه المعلومات بالشكل الصحيح، حتى بعد تحرير الذاكرة المرتبطة بها.

وقد يواجه طلب سليم لاحق تتم معالجته بواسطة العامل نفسه (Worker) هذه الحالة القديمة قبل تنظيفها بشكل صحيح، ما قد يفتح المجال أمام سيناريو لتنفيذ التعليمات البرمجية عن بُعد (RCE) دون الحاجة إلى المصادقة.

لماذا تُعد هذه الثغرات خطيرة إلى هذا الحد؟

**لا تتطلب المصادقة (Unauthenticated):**

لا يحتاج المهاجمون إلى حساب مستخدم أو صلاحيات خاصة لاستهداف الأنظمة المعرضة للخطر.

**يمكن استغلالها قبل تنفيذ كود التطبيق:**

قد تتم معالجة الطلبات واستغلالها مباشرة على مستوى خادم PHP قبل وصولها إلى منطق التطبيق الذي كتبه المطورون، بما في ذلك WordPress وLaravel وتطبيقات PHP المخصصة.

**تؤثر في البنى التحتية واسعة الاستخدام:**

قد تكون جميع بيئات PHP تقريبًا التي تتعامل مع طلبات الويب معرضة للخطر، بما في ذلك PHP-FPM وApache (`mod_php`) و`php-cgi` وFrankenPHP وLiteSpeed. وتشير التقارير إلى أن إعداد `mod_php` يُعد من بين الإعدادات الأعلى خطورة ضمن منظومة PHP.

حدّث إصدار PHP لديك فورًا

على الرغم من أن قواعد جدار حماية تطبيقات الويب (WAF) والتغييرات المؤقتة في الإعدادات يمكن أن توفر قدرًا من الحماية، فإن تطبيق التحديثات الأمنية المناسبة هو الإجراء الحاسم لمعالجة الثغرات.

يجب تحديث حزم PHP على الخادم فورًا إلى الإصدارات التي تتضمن الإصلاحات الأمنية التالية، أو إلى أحدث الحزم التي يوفرها نظام التشغيل أو لوحة الاستضافة لديك:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

يجب دائمًا التحقق من الإصدار المناسب الذي يتضمن الإصلاح الأمني من خلال النشرات الأمنية الرسمية لـ PHP قبل البدء في التحديث.

تعزيز جدار حماية التطبيقات وطبقات أمان الخادم

• تأكد من تحديث قواعد WAF باستمرار إلى حين تطبيق التصحيحات الأمنية المطلوبة. فقد أصدرت جهات كبرى متخصصة في الأمن السيبراني، بالإضافة إلى LiteSpeed، قواعد تهدف إلى حظر طلبات الفحص والهجمات الضارة.
• شدّد قيود الذاكرة على مستوى الخادم وحدود رفع الملفات، بما في ذلك إعدادات `post_max_size` و`memory_limit`، إلى أكثر المستويات صرامة التي تتوافق مع متطلبات التشغيل الخاصة بالتطبيق.

توصيات NovusBT وخطة العمل

لضمان أمن البيانات واستمرارية الخدمات ضمن البنى التحتية للخوادم المؤسسية، نوصي باتخاذ الإجراءات التالية باعتبارها خطوات بالغة الأهمية:

• **1. التحديث على مستوى الخادم**

إن الحفاظ على تحديث تطبيقات الويب وحده لا يكفي لمعالجة هذه الثغرات. يجب ترقية حزم PHP المثبتة على نظام تشغيل الخادم الأساسي إلى الإصدارات المناسبة التي تتضمن التصحيحات الأمنية دون تأخير.

**2. الانتقال من الإصدارات المنتهية الصلاحية (EOL)**

يجب إعطاء الأولوية لنقل البنى التحتية التي تعمل بإصدارات PHP 8.1 وما قبلها إلى إصدارات مدعومة حاليًا، أو إخضاعها لخدمات الدعم الممتد لدورة الحياة (ELS)، حيثما كانت متاحة، نظرًا إلى أن هذه الإصدارات لم تعد تتلقى الدعم الأمني القياسي.

**3. إعداد طبقات الحماية وجدار WAF**

إلى حين اكتمال عملية التحديث، يمكن أن يوفر تحديث قواعد جدار حماية تطبيقات الويب (WAF)، وتقييد طلبات POST غير الطبيعية، والحد من أحجام الملفات المرفوعة، طبقة دفاع إضافية للأنظمة.

بصفتنا فريق البنية التحتية والأمن السيبراني في NovusBT، نحن على استعداد لدعم مؤسستكم في تقييم أنظمتها واستكمال عمليات معالجة الثغرات وإدارة التصحيحات الأمنية بأمان وكفاءة.

**الإجراءات الأمنية الاستباقية اليوم تساهم في حماية بنيتكم التحتية من تهديدات الغد.**