أعلن مطورو PHP اليوم، الساعة 17:00 مساءً (بتوقيت موسكو)، عن إصدار تحديثات طارئة (8.5.12، 8.4.27، 8.3.36، و8.2.35) لمعالجة ثغرتين أمنيتين خطيرتين. يُنصح جميع مديري خوادم PHP بتثبيت هذه التحديثات على أنظمتهم فور إصدارها. لن تُكشف التفاصيل الرسمية إلا بعد توفر التحديثات، ولكن استنادًا إلى المعلومات المتاحة للعموم، فإن هاتين الثغرتين هما CVE-2026-109618 وCVE-2026-109619، واللتان قد تسمحان بتنفيذ تعليمات برمجية عن بُعد على أي خادم ويب يُشغّل نصوص PHP البرمجية بالإعدادات الافتراضية. تؤثر هذه المشكلات على جميع إصدارات PHP بدءًا من الإصدار 5.4.
ظهرت بالفعل نماذج أولية لاستغلال الثغرات الأمنية (1، 2) على الإنترنت لاختبار مدى ثغرات النظام. وتشير ملاحظات الاستغلال إلى أن هذه الثغرات ناتجة عن الوصول إلى ذاكرة تم تحريرها مسبقًا في معالج تتبع تقدم تنزيل الملف. الخادم (session.upload_progress). لا يتطلب الهجوم وظيفة تحميل الملفات على الموقع؛ يكفي التفعيل التلقائي لمعالج محتوى "multipart/form-data" في مُفسِّر PHP. يتطلب الاستغلال الناجح تحديد تخطيط ذاكرة العملية، وهو خاص بكل إصدار (يمكن حل هذه المشكلة عن طريق تجربة جميع الاحتمالات الممكنة للاستغلال باستخدام إزاحات محسوبة مسبقًا لحزم من توزيعات مختلفة).
كحل بديل، يوصي البعض بتعيين مُعامل php.ini "session.upload_progress.enabled = off" (أو "php_admin_flag[session.upload_progress.enabled] = off" في PHP-FPM)، لكن ممثل مشروع PHP، بالإضافة إلى مُصمم النموذج الأولي الأول للثغرة، يؤكدان أن هذا غير كافٍ لسد كلتا الثغرتين. وتشير الملاحظة الخاصة بالنموذج الأولي الثاني للثغرة إلى أنه، بالإضافة إلى إعداد php.ini المذكور آنفًا، يلزم حظر الطلبات التي تحمل نوع المحتوى "multipart/form-data" بشكل كامل لمنع الهجوم دون تطبيق التصحيح.
في خادم Apache httpd، يمكن استخدام القاعدة التالية في وحدة mod_rewrite لحظر طلبات multipart:
RewriteCond %{HTTP:Content-Type} multipart [NC]
RewriteRule ^ — [F,L]
لحظر ذلك في nginx:
إذا كان نوع محتوى HTTP هو "multipart" {
403 العودة؛
}
لقفل سيارة الكادي:
@multipart header_regexp Content-Type (?i)multipart
الرد على @multipart 403
تحديث: تم إصدار تحديثات PHP للإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، بالإضافة إلى تفاصيل حول الثغرات الأمنية الحرجة التي تم إصلاحها. يتوفر تحليل مفصل للثغرات الأمنية والحلول البديلة الموصى بها رسميًا في خبر منفصل.
المصدر: opennet.ru
