أعلن فريق PHP عن تحديث أمني مرتقب لمعالجة ثغرتين حرجتين، هما CVE-2026-109618 وCVE-2026-109619، بدرجة خطورة 9.2 من 10 وفق معيار CVSS v4.0. ووفقًا لتنبيه CERT-EU، قد تتيح الثغرتان تنفيذ تعليمات برمجية عن بُعد دون تسجيل دخول عند توافر ظروف الاستغلال، مما قد يعرّض ملفات المواقع وبياناتها للخطر ضمن صلاحيات عملية PHP. تنبيه CERT-EU.

يتعلق التنبيه ببيئة تشغيل PHP المستخدمة في المواقع والتطبيقات. وحتى وقت إعداد هذا الإعلان، لم ينشر فريق PHP التفاصيل التقنية الكاملة وقائمة الإصدارات المتأثرة والمصححة. ومن المقرر إصدار التحديث يوم 21 أكتوبر 2026، الساعة الخامسة مساءً بتوقيت بغداد (14:00 UTC)، مع احتمال تقديم الموعد. إعلان PHP الرسمي.

ماذا يعني هذا لعملاء IQ Hosting؟

بالنسبة إلى عملاء الاستضافة المشتركة، يتولى فريقنا الفني متابعة المستجدات الأمنية وتطبيق التصحيحات اللازمة على مستوى الخوادم فور توفرها من الجهات المطوّرة، دون الحاجة إلى تدخل العملاء لتحديث PHP على مستوى الخادم.

أما عملاء الخوادم الافتراضية (VPS) والخوادم المخصصة غير المُدارة، فتقع مسؤولية مراجعة إعدادات PHP وتطبيق إجراءات الحماية والتحديثات الأمنية على عاتق مسؤولي هذه الخوادم.

إجراءات الحماية المؤقتة

إلى حين توفر التحديث الأمني وتثبيته، نوصي مسؤولي المواقع والخوادم باتخاذ الإجراءات التالية:

1. تعطيل ميزة تتبّع تقدّم رفع الملفات مؤقتًا

   تشير الأبحاث المتاحة إلى ارتباط هذه الميزة بأحد مسارات الهجوم المحتملة. يمكن تعطيلها من خلال تعديل إعدادات PHP باستخدام الصيغة المناسبة بحسب نوع ملف الإعدادات:

   في ملفات php.ini أو .user.ini:

   session.upload_progress.enabled = Off

   في ملفات إعدادات PHP-FPM الخاصة بتجمعات العمليات (Pool) بصيغة .conf:

   php_admin_flag[session.upload_progress.enabled] = off

   يجب تطبيق الإعداد على جميع بيئات PHP المستخدمة فعليًا، وإعادة تحميل الخدمة المناسبة عند الحاجة، ثم التحقق من أن القيمة الفعلية للإعداد هي Off ضمن بيئة تشغيل الموقع.

   هذا الإعداد يعطّل ميزة تتبّع تقدّم الرفع المدمجة في PHP، ولا يعطّل رفع الملفات نفسه أو جلسات تسجيل الدخول، لكنه قد يؤثر في مؤشرات تقدّم الرفع التي تعتمد على هذه الميزة. توثيق PHP.

2. استخدام جدار حماية تطبيقات الويب كطبقة إضافية

   يمكن لقواعد ModSecurity أو أنظمة WAF المساعدة في حجب الطلبات المرتبطة بمسارات الاستغلال المعروفة. وتتطلب فعاليتها تفعيل فحص جسم الطلب ومعالجة أخطاء التحليل وحدود الفحص بصورة صحيحة. نجاح حجب طلب اختباري لا يكفي لإثبات منع جميع طرق الاستغلال.

3. تثبيت التحديث الأمني فور توفره

   ينبغي متابعة حزم PHP لدى مزوّد لوحة التحكم أو نظام التشغيل، وتحديث جميع الإصدارات المستخدمة فعليًا في المواقع. تحديث تطبيق الموقع أو إضافاته وحده لا يغني عن تحديث PHP.

هذه الإجراءات تخفّض المخاطر مؤقتًا، ولا تحل محل التحديث الأمني. وما زالت تغطية تعطيل ميزة تتبّع الرفع لجميع مسارات الثغرتين قيد التحقق لدى الباحثين. تقييم JFrog.