ثغرة جديدة في PHP تتيح تنفيذ شيفرات عن بُعد.. لماذا لا يحتاج بعض المسؤولين إلى إجراء إضافي؟

كُشف عن ثغرة أمنية جديدة في لغة PHP بعد يومين فقط من إصدار تصحيحات عاجلة لمعالجة ثغرات PHP2Shell. وقد تتيح الثغرة تنفيذ شيفرات عن بُعد على خوادم الويب، لكنها تؤثر فقط في تطبيقات تستخدم مجموعة محددة من إعدادات إدارة الجلسات.

وحُددت الثغرة الجديدة بالرقم CVE-2026-115560، فيما قدّر مطورو PHP أن احتمال استخدام الإعدادات المسببة لها في التطبيقات الفعلية منخفض. لذلك لم يُطرح تصحيح طارئ حتى الآن، ويُنتظر إدراج المعالجة في الإصدار الدوري المقبل المخصص لإصلاح الأخطاء.

ثلاثة شروط لازمة لظهور الثغرة

ترتبط المشكلة بميزة session upload progress في PHP، وهي مفعّلة افتراضيًا وتتيح للمستخدم متابعة تقدّم رفع ملف إلى تطبيق الويب.

ولا تصبح الثغرة قابلة للاستغلال إلا إذا اجتمعت عدة شروط في وقت واحد. إذ يجب أن يكون الخيار session.serialize_handler مضبوطًا على php_binary أو php_serialize، ثم يُغيَّر إلى php باستخدام الدالة ini_set() قبل استدعاء session_start()، مع بقاء ميزة متابعة تقدّم رفع الملفات مفعّلة.

فإن التطبيقات التي لا تغيّر طريقة تسلسل الجلسات بهذه الطريقة أثناء التشغيل لا تتأثر بمسار الهجوم المذكور، إذ يتطلب استغلال الثغرة اجتماع جميع الشروط السابقة.

الإجراء المؤقت المقترح

إلى حين إصدار الإصلاح، يوصي مطورو PHP مسؤولي الأنظمة بتعطيل ميزة متابعة تقدّم رفع الملفات عبر ضبط الخيار session.upload_progress.enabled=0.

وكان الإعداد نفسه قد ورد في التنبيه الأمني الذي نشرته PHP في 21 أكتوبر، باعتباره حلًا مؤقتًا لإحدى ثغرات PHP2Shell. وبناءً عليه، فإن مسؤولي الأنظمة الذين طبقوا هذا الإجراء في ذلك التاريخ وأبقوه مفعّلًا لا يحتاجون إلى اتخاذ خطوة إضافية لمواجهة الثغرة الجديدة.

ولم تكشف PHP حتى الآن عن الإصدارات المتأثرة، أو الإصدارات التي سيصل إليها الإصلاح، أو مستوى خطورة الثغرة. كما لا يزال من غير المعروف ما إذا كانت الثغرة الجديدة ناتجة عن السبب الأساسي نفسه الذي أدى إلى ظهور إحدى ثغرات PHP2Shell السابقة.

المصدر: Sözcü