أصدر فريق PHP تحديثات أمنية عاجلة يوم 21 أكتوبر/تشرين الأول 2026 لمعالجة الثغرتين CVE-2026-109618 وCVE-2026-109619، اللتين قد تسمحان بتنفيذ تعليمات برمجية عن بُعد دون تسجيل الدخول. وشدد الفريق على ضرورة التحديث الفوري، مؤكدًا أن الإجراءات المؤقتة لا توفر حماية كاملة.
تشمل الإصدارات المصححة PHP 8.2.35 و8.3.36 و8.4.27 و8.5.12. أما PHP 8.1 والإصدارات الأقدم فقد انتهى دعمها الرسمي، مع توفير ترقيعات مصدرية استثنائية للفروع 7.4 و8.0 و8.1، وإمكانية الحصول على إصلاحات من بعض مزودي الدعم الممتد.
ولخفض التعرض لبعض مسارات الهجوم، توصي PHP بتعطيل تتبع تقدم رفع الملفات داخل ملف php.ini:
ويجب إعادة تشغيل جميع عمليات PHP العاملة لتطبيق الإعداد. لكن هذا الإجراء يحجب مسارات محددة فقط؛ كما أن حظر طلبات multipart/form-data لا يمثل بديلًا عن التحديث الأمني.
وفي تنبيه إضافي بتاريخ 23 أكتوبر، أوصى الفريق بالإبقاء على تعطيل الميزة حتى الإصدار التصحيحي الدوري المقبل، لمعالجة مسار آخر محتمل لتنفيذ الشيفرة ضمن إعدادات غير شائعة.
بالنسبة لأصحاب المواقع والمنتديات، تبدأ الاستجابة بالتواصل مع شركة الاستضافة للتأكد من تثبيت الإصلاح على نسخة PHP التي يشغّلها الموقع فعليًا. وبعد تطبيقه، ينبغي اختبار تسجيل الدخول والنماذج والمرفقات للتأكد من استمرار عملها بصورة سليمة.
تشمل الإصدارات المصححة PHP 8.2.35 و8.3.36 و8.4.27 و8.5.12. أما PHP 8.1 والإصدارات الأقدم فقد انتهى دعمها الرسمي، مع توفير ترقيعات مصدرية استثنائية للفروع 7.4 و8.0 و8.1، وإمكانية الحصول على إصلاحات من بعض مزودي الدعم الممتد.
ولخفض التعرض لبعض مسارات الهجوم، توصي PHP بتعطيل تتبع تقدم رفع الملفات داخل ملف php.ini:
PHP:
session.upload_progress.enabled = Offويجب إعادة تشغيل جميع عمليات PHP العاملة لتطبيق الإعداد. لكن هذا الإجراء يحجب مسارات محددة فقط؛ كما أن حظر طلبات multipart/form-data لا يمثل بديلًا عن التحديث الأمني.
وفي تنبيه إضافي بتاريخ 23 أكتوبر، أوصى الفريق بالإبقاء على تعطيل الميزة حتى الإصدار التصحيحي الدوري المقبل، لمعالجة مسار آخر محتمل لتنفيذ الشيفرة ضمن إعدادات غير شائعة.
بالنسبة لأصحاب المواقع والمنتديات، تبدأ الاستجابة بالتواصل مع شركة الاستضافة للتأكد من تثبيت الإصلاح على نسخة PHP التي يشغّلها الموقع فعليًا. وبعد تطبيقه، ينبغي اختبار تسجيل الدخول والنماذج والمرفقات للتأكد من استمرار عملها بصورة سليمة.
