تنبيه أمني: ثغرتان حرجتان في PHP تتطلبان الترقية الفورية إلى النسخ المصحَّحة

طرابلس — أُعلن في 21 أكتوبر 2026 عن ثغرتين حرجتين في نواة تشغيل PHP تؤثران على شريحة واسعة من المواقع والتطبيقات المعتمدة على هذه التقنية، بما في ذلك أنظمة إدارة المحتوى ولوحات الاستضافة الشائعة.

تحمل الثغرتان الرمزين CVE-2026-109618 وCVE-2026-109619، وصُنّفتا بمستوى خطورة Critical (حوالي CVSS 9.2). وبحسب التقارير الرسمية، قد يتيح استغلالهما تنفيذ تعليمات عن بُعد دون الحاجة إلى تسجيل دخول على عمّال PHP المعرّضة.

وتشير الجهات المنظِّمة إلى أن الترقية إلى نسخة مصحَّحة هي الإصلاح الكامل، وأن أي ضوابط إعداد مؤقتة تبقى حماية جزئية فقط.

الإصدارات الآمنة المعتمدة يُطلب الانتقال فوراً إلى أحد الحدود الدنيا التالية ثم إعادة تشغيل عمّال PHP (php-fpm أو Apache mod_php أو الحاوية):

• PHP 8.5 → 8.5.12
• PHP 8.4 → 8.4.27
• PHP 8.3 → 8.3.36
• PHP 8.2 → 8.2.35

أما فروع 8.1 وما قبلها فقد بلغت نهاية الدعم لدى مشروع PHP، ولا يتوفر لها إصلاح اعتيادي من المنبع لهاتين الثغرتين، ما يستدعي الانتقال إلى فرع مدعوم ومصحَّح دون تأخير.

أهمية التنبيه محلياً تعتمد كثير من المواقع المؤسسية والمتاجر وأنظمة الحجوزات في ليبيا على PHP عبر لوحات واستضافات شائعة. ويكفي خادم واحد غير مرقّى ومتصل بالإنترنت لتعريض البيانات واستمرارية الخدمة للخطر.

وتدعو مجموعة مدين الفرق التقنية إلى التحقق من الإصدار عبر php -v، وتطبيق التحديث من المستودع أو صورة التشغيل المعتمدة، ثم التأكد من أن جميع الـ workers تعمل بالنسخة المصحَّحة، مع مراجعة المواقع المتعددة على المضيف نفسه.

ويُشار إلى أن موقع median.ly مبني على Next.js/Node.js وليس على PHP في طبقة التطبيق، غير أن المجموعة تنشر هذا التنبيه لأن عدداً من العملاء والشركاء يشغّلون خدمات PHP إلى جانب منصات مدين.

مصادر رسمية - أرشيف أخبار PHP 2026 - بيان مؤسسة PHP - CERT-EU 2026-018

للاستفسار عن مسار ترقية مرتبط بمنصات مدين: حجز موعد · التواصل معنا.