إصدارات PHP الأمنية في مايو 2026: ‏8.5.6 و8.4.21 و8.3.31 و8.2.31 تعالج ثغرات SOAP وPDO_Firebird وFPM

في 7 مايو 2026 أصدر مشروع PHP الإصدارات 8.5.6 و8.4.21 و8.3.31 و8.2.31 بوصفها إصدارات أمنية. وكانت أول جولة أمنية في 2026، وجولة كبيرة: ثماني ثغرات عولجت في كل الفروع المدعومة، وثلاث أخرى في 8.4 و8.5، وواحدة إضافية في 8.5 وحده. وأخطرها استخدام لذاكرة بعد تحريرها في امتداد SOAP يذكر سجلها أن مهاجمًا يتحكم في محتوى طلب SOAP قد يستغلها لتنفيذ كود عن بُعد.

نظرة سريعة

ما هي الثغرات

امتداد SOAP

• CVE-2026-6722 (GHSA-85c2-q967-79q5، عالية): عندما تحتوي عقدة apache:Map على مفاتيح مكررة، يحرر مفكك SOAP كائنًا بينما يبقى مؤشر قديم إليه. ويذكر سجل الثغرة أن مهاجمًا يتحكم في محتوى طلب SOAP قد يستغل ذلك لتنفيذ كود عن بُعد، ودرجتها 9.5 وفق CVSS 4.0.
• CVE-2026-7261 (متوسطة): مع الخيار SOAP_PERSISTENCE_SESSION قد يترك فشل معالج ترويسة SOAP كائنًا محررًا مرجعيًا بين الطلبات، ما قد يسبب إفساد الذاكرة أو كشف معلومات أو انهيارات.
• CVE-2026-7262 (متوسطة في الإشعار، و2.9 وفق CVSS 4.0 في سجل CVE): يمكن إسقاط خادم مهيأ بخريطة أنواع (typemap) بإرسال عنصر apache:Map ينقصه عنصر القيمة.

قواعد البيانات والواجهات المكشوفة على الويب

• CVE-2025-14179 (GHSA-w476-322c-wpvm، عالية): أساء مشغّل Firebird في PDO التعامل مع البايتات الفارغة عند بناء الاستعلامات، فقد يسقط جزء من الاستعلام ويصبح حقن SQL ممكنًا، حتى مع القيم الممررة عبر PDO::quote().
• CVE-2026-6735 (GHSA-7qg2-v9fj-4mwv، متوسطة، و7.3 وفق CVSS 4.0 في سجل CVE): لم تكن صفحة حالة PHP-FPM تنقّي عنوان الطلب، فيستطيع المهاجم زرع سكربت في عنوان URL ينفَّذ في متصفح من يطّلع لاحقًا على صفحة الحالة بصيغة HTML، دون أن يحتاج المهاجم نفسه إلى الوصول إلى تلك الصفحة.

انهيارات وأخطاء ذاكرة

• CVE-2026-7263 (عالية، 8.4 و8.5): قد تفسد الدالة DOMNode::C14N() قائمة مترابطة، فتسبب انهيارات أو حلقات لا تنتهي.
• CVE-2026-12184 (GHSA-mhmq-mmqj-2v39، عالية، من 8.3 إلى 8.5): إذا فشل إعداد TLS أثناء اتصال غلاف HTTP، كأن تكون شهادة الخادم البعيد منتهية، فقد ينهار PHP، ويذكر الإشعار أن ذلك قد يُسقط عملية FPM بكل عمّالها.
• CVE-2026-6104 وCVE-2026-7259: قراءة خارج الحدود عندما يحتوي اسم الترميز على بايت فارغ، ومؤشر فارغ في دوال التعابير النمطية في mbstring مع ترميزات معينة.
• CVE-2026-7568: فيض في عدد صحيح موقّع داخل metaphone() مع نصوص تتجاوز 2 غيغابايت.
• CVE-2026-7258: قراءة خارج الحدود في urldecode() على المنصات التي يكون فيها char موقّعًا وتعتمد دوال ctype على جداول بحث، مثل NetBSD.
• CVE-2026-42371 (8.5 فقط): اقتطاع رقمي في مكتبة uriparser المضمّنة عند معالجة عناوين بطول غيغابايتات.

لا تظهر أي من هذه الثغرات في كتالوج CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).

هل أنت متأثر؟

البناءات الرسمية الأقدم من 8.5.6 أو 8.4.21 أو 8.3.31 أو 8.2.31 متأثرة. اعرف الامتدادات المحمّلة فعليًا لديك:

php -v
php -m | grep -Ei 'soap|pdo_firebird|mbstring|dom'
grep -R 'pm.status_path' /etc/php/*/fpm/pool.d/

على Debian قارن بالإشعارين: DSA-6256-1 لإصدار Debian 13 ‏(trixie) وDSA-6255-1 لإصدار Debian 12 ‏(bookworm):

apt policy php8.4-fpm php8.4-soap   # trixie: fixed in 8.4.21-1~deb13u1
apt policy php8.2-fpm php8.2-soap   # bookworm: fixed in 8.2.31-1~deb12u1

طريقة التحديث

نفّذ sudo apt update ثم sudo apt upgrade على Debian أو Ubuntu (ويمكن لمستخدمي Ubuntu متابعة إشعارات Ubuntu الأمنية). أما البناء من المصدر وWindows والحاويات فثبّت أحدث إصدار من فرعك من صفحة التنزيلات في php.net، وهو حتى 31 أكتوبر 2026 أحد الإصدارات 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، وكلها تتضمن أيضًا إصلاحات php2shell.

هل تحتاج إلى إعادة تشغيل؟

لا حاجة لإعادة تشغيل الخادم. أعد تشغيل PHP-FPM ‏(sudo systemctl restart php8.4-fpm أو php8.2-fpm)، وApache إن كنت تستخدم mod_php، وأي عمّال PHP طويلي الأمد.

المصادر

• php.net/releases/8_5_6.php
• php.net/releases/8_4_21.php
• php.net/archive/2026.php
• php.net/ChangeLog-8.php#8.5.6
• github.com/php/php-src/security/advisories/GHSA-85c2-q967-79q5
• github.com/php/php-src/security/advisories/GHSA-m33r-qmcv-p97q
• github.com/php/php-src/security/advisories/GHSA-hmxp-6pc4-f3vv
• github.com/php/php-src/security/advisories/GHSA-w476-322c-wpvm
• github.com/php/php-src/security/advisories/GHSA-7qg2-v9fj-4mwv
• github.com/php/php-src/security/advisories/GHSA-4jhr-8w89-j733
• github.com/php/php-src/security/advisories/GHSA-mhmq-mmqj-2v39
• github.com/php/php-src/security/advisories/GHSA-74r9-qxhc-fx53
• github.com/php/php-src/security/advisories/GHSA-wm6j-2649-pv75
• github.com/php/php-src/security/advisories/GHSA-96wq-48vp-hh57
• github.com/php/php-src/security/advisories/GHSA-m8rr-4c36-8gq4
• cve.org/CVERecord?id=CVE-2026-6722
• cve.org/CVERecord?id=CVE-2026-6735
• cve.org/CVERecord?id=CVE-2025-14179
• cve.org/CVERecord?id=CVE-2026-42371
• security-tracker.debian.org/tracker/DSA-6256-1
• lists.debian.org/debian-security-announce/2026/msg00167.html
• security-tracker.debian.org/tracker/DSA-6255-1
• lists.debian.org/debian-security-announce/2026/msg00166.html
• security-tracker.debian.org/tracker/CVE-2026-12184
• cisa.gov/known-exploited-vulnerabilities-catalog