في وقت سابق من اليوم، أصدر مشروع PHP الإصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. تُصلح هذه الإصدارات ثغرتين حرجتين تسمحان، في ظروف معينة، لمهاجم غير مصادَق عليه بتنفيذ شيفرة على الخوادم التي تشغّل PHP. يُحث كل من يشغّل PHP على التحديث فورًا. يحتوي الإعلان الرسمي على php.net على التفاصيل التقنية وتعليمات التحديث.
الثغرة الأولى، CVE-2026-109618، تتعلق بحالات نفاد الذاكرة (OOM). إذا وصل طلب إلى حد memory_limit في PHP في اللحظة الخاطئة تمامًا، فقد يترك PHP بيانات داخلية مهيأة جزئيًا تُعامل لاحقًا على أنها صالحة، مما يُفسد الذاكرة. على Apache مع mod_php، يمكن لطلب غير مصادَق عليه أن يُفعّل ذلك قبل تشغيل أي شيفرة للتطبيق، وقد أُثبت تنفيذ شيفرة عن بُعد كامل بالإعدادات الافتراضية. أما الثانية، CVE-2026-109619، فهي مشكلة حالة قديمة: قد يترك خطأ قاتل الحالة الداخلية تشير إلى ذاكرة من طلب سابق، مما يتيح استخدامًا بعد التحرير (use-after-free) وقد أُثبت ذلك ضد تطبيق واقعي.
تقع المشكلتان في مناطق أساسية من PHP يمسّها تقريبًا كل طلب: إدارة الذاكرة ومعالجة الأخطاء. هذا الدور المركزي جعلهما خطيرتين، وجعل إصلاحهما صعبًا أيضًا دون كسر التوافق، أو الإضرار بالأداء، أو فرض تغييرات على منظومة الإضافات الواسعة التابعة لجهات خارجية.
رُصدت مشكلة نفاد الذاكرة للمرة الأولى خلال تدقيق أمني خارجي في عام 2024، موّلته PHP Foundation ونفذته Quarkslab. وتأخر إصلاحها لشهور بينما كان فريق الأمن يوازن بين مناهج متنافسة، لكل منها مفاضلاته. ويقرّ الفريق بأن التأخير كان فشلًا هيكليًا، ويغيّر عملية اتخاذ القرار لديه، بما في ذلك اعتماد التصويت بالأغلبية. وفي مايو 2026 أنشأت PHP Foundation أيضًا فريق أمن المنظومة (Ecosystem Security Team) لدعم الفرز والتنسيق والتحصين.
المصدر: Hacker News · لخّصه HeadlinesBriefing