كاسبرسكي ترصد ثغرتين حرجتين في PHP وتضيف قواعد كشف لاستغلالهما

أصدر فريق أمان PHP في 21 أكتوبر 2026 الساعة 14:00 بتوقيت UTC تحديثات طارئة تعالج ثغرتين حرجتين، هما CVE-2026-109618 وCVE-2026-109619، وكلتاهما مصنفة بدرجة 9.2 على مقياس CVSS. وجاء الإصدار معجلًا بعد تسريب معلومات عن الثغرتين إلى العلن قبل رفع الحظر المقرر. وفي منشور على Hacker News أشار مستخدم إلى ثغرتي تنفيذ تعليمات عن بعد (RCE) يُقال إنهما تصيبان جميع الإصدارات بدءًا من PHP 5.4.0، وأكد باحثون وجود الثغرتين بعد ذلك بفترة قصيرة.

تفاصيل الثغرتين وانتشار أداة استغلال

بالتزامن مع تسريب التفاصيل ظهرت أداة استغلال أُطلق عليها بشكل غير رسمي اسم PHP2Shell. ويعرض فيديو العرض المسرب الأداة وهي تعمل على خوادم ويب تعمل بمنصات WordPress وMediaWiki وphpBB وMagento وJoomla وLaravel وSymfony وDrupal وWHMCS. ولم تكن صحة العرض والسلوك الدقيق لأداة الاستغلال قد تحققتا بشكل مستقل وقت النشر.

ووفقًا للباحث الذي نشر إثبات المفهوم، ترتبط الثغرتان بمعالجة نوع MIME المسمى multipart/form-data مقترنًا بآلية تقدم رفع الجلسة (session.upload_progress) في نواة PHP، وتندرجان تحت فئتي الاستخدام بعد التحرير (use-after-free) وإفساد الذاكرة. وهذا يعني أن العيوب لا يمكن إصلاحها عبر كود التطبيق، وأن الإصلاح الوحيد هو تحديث PHP على الخادم. ولا يتطلب الهجوم أي مصادقة: فمهاجم لديه وصول شبكي إلى تطبيق PHP يمكنه تنفيذ تعليمات عشوائية بصلاحيات عملية PHP دون الحاجة إلى المصادقة.

وتؤكد النشرات الأمنية التي أصدرها فريق PHP في 21 أكتوبر هذه المعلومات. وتصيب الثغرتان إصدارات PHP 5 و7 و8. وحتى وقت النشر، فإن الفروع المدعومة هي 8.2 حتى 8.5. أما الفروع الأقدم، بما فيها PHP 8.1 و8.0 و7.x و5.x، فقد بلغت نهاية دورة حياتها، لكن نظرًا للخطورة الحرجة للثغرتين صدرت تحديثات مرتجعة أيضًا للإصدارات 7.4 و8.0 و8.1. ويقدر خبراء Sansec أن الاستغلال الواسع النطاق قد يبدأ خلال 15 دقيقة من إصدار التحديث.

إجراءات موصى بها للمسؤولين

أوصت كاسبرسكي المسؤولين عن خوادم ويب PHP المتاحة للعامة باتخاذ خطوات قبل توفر التحديث، منها جرد جميع الأنظمة القائمة على PHP في البنية التحتية مثل خوادم الويب ولوحات التحكم والبرامج الخارجية.

كما نصحت بتعطيل تقدم الرفع عبر ضبط session.upload_progress.enabled = Off باستخدام php_admin_flag في تجمعات PHP-FPM، وحظر طلبات multipart على خوادم nginx وApache، والنظر في عزل تطبيقات PHP المتصلة بالإنترنت مؤقتًا إلى حين صدور الإصلاحات، والاستعداد لتركيب التحديث فور صدوره، والتخطيط لترحيل الخوادم العاملة بإصدارات غير مدعومة (8.1 وما قبلها) إلى أحدث فرع من PHP.

الكشف عبر حلول كاسبرسكي

تكشف حلول كاسبرسكي النشاط الخبيث الموصوف في مراحل مختلفة من الهجوم. فعند محاولة استغلال ثغرتي تنفيذ التعليمات عن بعد، ينبه Kaspersky Endpoint Detection and Response المستخدم بسرعة إلى الإجراءات المشبوهة المنفذة في سياق خادم ويب، على أجهزة Linux وWindows، عبر قواعد منها creating_windows_shell_from_a_web_servers_process وpossible_web_shell_creating_via_exploit وspawning_process_from_webserver_more_filters_linux وwebserver_interpreter_execution_linux وexecutable_file_in_www_folder.

ويكشف Kaspersky Anti Targeted Attack (KATA) استغلال ثغرة PHP2Shell في حركة الشبكة عبر الحكمين Exploit.CVE-2026-109618.HTTP.C&C وExploit.CVE-2026-109619.HTTP.C&C. ويكشف Kaspersky Endpoint Security، المتاح الآن باسم Kaspersky Next، النشاط الخبيث بعد الاستغلال عبر مكوّن Behavior Detection بأحكام مثل PDM:Exploit.Linux.Generic وPDM:Exploit.Win32.Generic. ويكشف حل Kaspersky Vulnerability Management إصدارات البرامج المصابة عبر مكوّني فحص الثغرات والفحص الأسود دون وكيل (Agentless black-box scanning).

ويكشف خدمة Kaspersky Managed Detection and Response استغلال الثغرتين عبر مراقبة نشاط مميز لتنفيذ التعليمات عن بعد، منها إنشاء عمليات مشبوهة بواسطة خادم الويب، وإنشاء ملفات تنفيذية أو نصوص برمجية مشبوهة في مجلد تطبيق الويب، وإنشاء ملفات بامتدادات غير مألوفة في المجلد نفسه، وتنفيذ أوامر استطلاع أو أوامر استمرارية بواسطة عملية خادم الويب، وتسليم قواصف ويب (web shells) وتشغيلها على الخادم. كما تكشف الخدمة نشاطًا خبيثًا آخر غير مرتبط مباشرة بتنفيذ التعليمات عن بعد.

ولحماية الشركات التي تستخدم نظام Kaspersky SIEM، يتضمن مستودع المنتج قواعد تساعد في كشف تنفيذ ملفات تنفيذية مشبوهة بواسطة عمليات خادم الويب على أجهزة Windows وLinux، منها R300_04_Windows shell started by a web application وR152_08_A running Linux shell process has a suspicious parent process، وكشف أوامر الاستطلاع بواسطة عملية خادم الويب عبر R286_05_Possible web-shell (Linux).

وتوصي كاسبرسكي أيضًا بمراقبة إنشاء نصوص برمجية أو ملفات تنفيذية في مجلد خادم الويب عند تطوير قواعد كشف خاصة أو إجراء تتبع التهديدات.