PHP تُصدر تحديثًا طارئًا لمعالجة ثغرتين حرجتين للتنفيذ عن بُعد

ما الذي أُعلن

ستنشر جهة تطوير PHP تحديثًا أمنيًا طارئًا خارج دورة الإصدارات المعتادة في 21 أكتوبر الساعة 14:00 بالتوقيت العالمي، لمعالجة ثغرتين صنّفهما فريقها الأمني بدرجة 9.2 وفق مقياس CVSS v4.0. ولم يصف الفريق الثغرتين علنًا.

ويقول باحثو watchTowr، الذين أطلقوا على المسألة اسم PHP2Shell، إن الثغرتين تتيحان تنفيذ التعليمات البرمجية عن بُعد. ولم يُبلَّغ عن أي استغلال حتى الآن.

من سيتلقى الإصلاح

الفروع الأربعة المدعومة فقط، من PHP 8.2 إلى 8.5، يمكنها تلقي الإصلاح. أما الأنظمة العاملة على فروع أقدم فلا يشملها هذا الإصدار بحسب المصدر، ولذلك تحتاج إلى خطة معالجة مستقلة.

ما يعنيه ذلك للمنشآت

نظرًا لقلة التفاصيل المتاحة، تكمن الأولوية العملية في الجاهزية لا في ردّ الفعل. فعند صدور التحديث ينبغي أن تكون الفرق التي تشغّل PHP في تطبيقات الويب والبوابات والأدوات الداخلية قادرة على تحديد الأنظمة المتأثرة وتحديثها بسرعة. وقد تُنشر التفاصيل التقنية بعد الإصدار، فتقصر المدة بين النشر ومحاولات الاستغلال المحتملة، وإن كان المصدر لا يذكر أي نشاط من هذا النوع.

وينبغي للمنشآت أن تمنح تطبيقات PHP المكشوفة على الإنترنت أولوية أولى، وأن تتأكد من أن الإصدارات التي تشغّلها ضمن الفروع المدعومة.