CISA تحثّ على التحديث الفوري لثغرتين حرجتين في PHP: CVE-2026-109618 وCVE-2026-109619

دعت وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) المؤسسات إلى معالجة ثغرتين حرجتين في PHP دون تأخير، هما CVE-2026-109618 وCVE-2026-109619. وتُعرفان معًا باسم "php2shell"، وتتيحان لمهاجم غير مصادَق تنفيذ تعليمات برمجية عن بُعد. وتشمل جميع تثبيتات PHP التي تعالج طلبات الويب.

ما المتأثر وما الحل

توجد المعالجة في الإصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. وتذكر CISA أنها لم ترصد استغلالًا لهاتين الثغرتين عند نشر التنبيه، إلا أن الأنظمة غير المحدّثة تبقى معرّضة للخطر. أما الإصدار 8.1 وما قبله فغير مدعوم.

وتنبّه CISA أيضًا إلى أن PHP كثيرًا ما يكون مضمَّنًا في برمجيات أخرى، فقد لا يظهر وجوده في سجل الأصول المعتاد.

الاستجابة الموصى بها

يرتكز توجيه CISA على تحديد مواقع PHP ثم تحديثه ومراقبة أي إساءة استخدام:

• حصر جميع الأنظمة التي تشغّل أي إصدار من PHP، بما فيها الأنظمة التي يأتي فيها مكوّنًا مضمّنًا.
• التحديث الفوري بدءًا بالأنظمة المكشوفة على الإنترنت.
• إيقاف الأنظمة المعتمدة على PHP إن تعذّر تحديثها سريعًا أو كانت تعمل بالإصدار 8.1 أو أقدم.
• استخدام جدار حماية تطبيقات الويب حمايةً مؤقتة فقط، وليس بديلًا عن التحديث.
• رصد قيام عمليات PHP بتشغيل أوامر شل أو تنزيل أدوات.

كما ينبغي للفرق مراجعة نشرة PHP الأمنية الرسمية لمعرفة تفاصيل المعالجة. وبالنسبة للجهات الخاضعة للتنظيم، تبقى الأولوية لحصر شامل للأصول، إذ إن المكوّنات المخفية هي الثغرة الأرجح.