ثغرتا PHP2Shell: لا حل مؤقت كاملاً قبل صدور تحديث PHP اليوم

ما الذي نعرفه

يُنتظر أن يصدر مشروع PHP إصلاحاً لثغرتين حرجتين تُعرفان باسم PHP2Shell عند 14:00 بالتوقيت العالمي في 21 أكتوبر. تبلغ درجة كلٍّ منهما 9.2 من 10، ولم يقدّم المشروع أي حل مؤقت من جهته.

جرى تداول إعداد واحد بوصفه إجراءً مؤقتاً، لكن الشركة الأمنية التي اقترحته تقول الآن إنه لا يكفي وحده، وإنه لا يمكن حجب الثغرتين بالكامل قبل توفر الإصلاح.

الأثر على المؤسسات

لا تذكر المادة المتاحة الإصدارات المتأثرة ولا حالة الاستغلال ولا قائمة كاملة بإجراءات التخفيف الجزئية، لذا لا ينبغي افتراض أن إعداداً واحداً يجعل النظام آمناً. الموقف العملي هو الاستعداد لتطبيق التحديث بسرعة، وتقليل التعرض حيثما أمكن، وعدم الاعتماد على الإعداد المتداول كحماية.

على الجهات التي تشغّل تطبيقات أو بوابات أو خدمات للعملاء مبنية على PHP أن تعامل هذا التحديث كأولوية فور صدوره.

الخطوات التالية

استفيدوا من الوقت السابق للإصدار لحصر أماكن تشغيل PHP، وتحديد مالك كل نظام، والاتفاق على نافذة تغيير طارئة تتيح اختبار التحديث ونشره سريعاً بعد نشره.