ثغرتا PHP الحرجتان CVE-2026-109618 وCVE-2026-109619: ما الذي حدث وكيف نحمي مواقعنا؟

بواسطة مسار كلاود Posted in اشعارات

في 20 أكتوبر 2026 أعلن فريق أمن PHP مسبقًا عن تحديث أمني عاجل لثغرتين حرجتين. وفي 21 أكتوبر نُشرت التفاصيل والإصدارات المصححة. تحمل الثغرتان المعرّفين CVE-2026-109618 وCVE-2026-109619، وقد قيّمهما مشروع PHP بدرجة 9.2 من 10 وفق CVSS v4.0. قد تسمح ظروف استغلالهما بتنفيذ تعليمات برمجية عن بُعد دون تسجيل دخول. الثغرتان في محرّك PHP نفسه، وليستا خللًا خاصًا بتطبيق أو موقع بعينه.

ما طبيعة الثغرتين؟

CVE-2026-109618: خلل في التعامل مع نفاد الذاكرة أثناء معالجة بعض الطلبات، ما قد يؤدي إلى فساد حالة داخلية في PHP.
CVE-2026-109619: بقاء حالة داخلية مرتبطة بطلب سابق بعد تحرير ذاكرتها، وقد تُستخدم خطأً عند معالجة طلب لاحق في العملية نفسها.

تتأثر بيئات PHP التي تخدم طلبات الويب، مع اختلاف درجة الخطورة حسب طريقة تشغيل PHP وإعدادات الخادم. وجود إصدار PHP على الموقع لا يعني وقوع اختراق؛ لكنه يستدعي التحقق من تثبيت حزمة الإصلاح المناسبة.

متى توفرت التحديثات؟

صدر التنبيه الاستباقي يوم 20 أكتوبر 2026، ثم أصدر مشروع PHP يوم 21 أكتوبر 2026 الإصدارات المصححة: 8.2.35، 8.3.36، 8.4.27، و8.5.12. وأعلنت CloudLinux اكتمال وصول حزم Alt-PHP المصححة إلى مستودعاتها المستقرة لـ CloudLinux 7 و8 و9 في 22 أكتوبر 2026، الساعة 00:07 بتوقيت UTC. كما أعلنت توفر حزم EA-PHP المصححة. قد يحتفظ إصدار CloudLinux برقم فرعي أقدم لأن الإصلاح يُضاف إلى الحزمة بطريقة backport؛ لذلك لا يكفي رقم PHP الظاهر في لوحة التحكم وحده للحكم على حالة الإصلاح.

ما الذي قامت به مسار كلاود؟

تابع فريق مسار كلاود التنبيه الرسمي وتوفر الحزم من الموردين، وبدأ تطبيق التحديثات المصححة على بيئات الاستضافة فور وصولها إلى المستودعات المناسبة. شملت خطوات التحقق مراجعة إصدارات الحزم وسجلات التغيير التي تذكر معرفي الثغرتين، وتحديث بيئة تشغيل PHP، وإعادة تشغيل العمليات اللازمة، ثم اختبار استجابة الخدمات. استُخدمت قواعد الحماية في Imunify360 لتقليل التعرض لأنماط الاستغلال المعروفة خلال فترة الانتظار، مع اعتبار تحديث PHP هو المعالجة الأساسية. تستمر مراجعة بقية الخوادم ضمن خطة الصيانة، وسنحدّث هذا التوضيح وفق النتائج المؤكدة.

ماذا ينبغي لأصحاب المواقع فعله؟

إذا كان موقعك على استضافة مسار كلاود المشتركة، فإن تحديث حزم PHP على مستوى الخادم يجري من جانب فريق التشغيل. يمكنك التواصل معنا إذا لاحظت سلوكًا غير معتاد بعد التحديث.
حدّث تطبيق موقعك وإضافاته وقوالبه، وراجع توافقها مع إصدار PHP مدعوم. الإصدارات القديمة من PHP تحتاج خطة انتقال حتى لو توفرت لها إصلاحات من مزود دعم ممتد.
إذا كنت تدير خادمًا مستقلًا، تحقق من تحديث كل نسخ PHP المثبتة، بما فيها النسخ المتعددة المقدمة للعملاء، ثم أعد تشغيل خدمات PHP المناسبة. عند استخدام حزم CloudLinux، راجع سجل تغييرات الحزمة للتأكد من ورود معرفي الثغرتين.
لا تعتمد على جدار حماية التطبيقات أو تعطيل session.upload_progress.enabled بوصفهما إصلاحًا كاملًا؛ قد يخففان مسارات محددة فقط.

مصادر رسمية

آخر تحديث لهذا التوضيح: 22 أكتوبر 2026. سيُراجع النص عند اكتمال التحقق من بقية بيئات الاستضافة.

Tagged الامن السيبراني, حماية