PHP تصدر تحديثات طارئة لثغرتين حرجتين للتنفيذ عن بُعد ضمن PHP2Shell

أصدرت PHP تحديثات أمنية طارئة لمعالجة ثغرتين حرجتين في اللغة نفسها. تُعرف الثغرتان معاً باسم PHP2Shell، وتتيحان لمهاجم لا يملك حساباً تنفيذ تعليمات برمجية على خادم الويب.

ما الذي يتأثر

تقع الثغرتان في بيئة تشغيل PHP وليس في تطبيق بعينه. ويعني ذلك أن الموقع قد يكون معرضاً للخطر حتى لو كانت شيفرته مكتوبة ومُدارة بإحكام. وتتضمن الإصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35 الإصلاحات اللازمة. ويشير فريق PHP إلى أن التحديث هو الإجراء الوحيد الذي يحمي الخادم حماية كاملة.

وقد ظهرت بالفعل محاولات استغلال، لذا فإن تأخر تحديث الأنظمة خطر عملي وليس نظرياً فقط.

الخطوات المقترحة

ينبغي على الجهات التي تشغّل مواقع أو بوابات أو أدوات داخلية مبنية على PHP أن تحدد أولاً أماكن استخدامه، بما في ذلك الاستضافة لدى أطراف ثالثة والتطبيقات التي يديرها الموردون. ثم تنقل كل نظام إلى الإصدار المصحح المناسب لفرعه الحالي وتتأكد من تطبيق التحديث فعلياً.

لا يذكر المصدر حلولاً مؤقتة ولا الشروط التقنية للاستغلال، لذا يُنصح بالرجوع إلى ملاحظات الإصدار الرسمية من PHP. وإذا تعذر التحديث قبل نافذة التغيير، فيُعامل النظام على أنه عالي الخطورة مع تكثيف مراقبة خوادم الويب المعنية.