إصدارات PHP الأمنية في سبتمبر 2026: ‏8.5.11 و8.4.26 و8.3.35 و8.2.34 تعالج 11 ثغرة

في 24 سبتمبر 2026 أصدر مشروع PHP الإصدارات 8.5.11 و8.4.26 و8.3.35 و8.2.34 بوصفها إصدارات أمنية، وتلقى كل فرع إصلاحات الثغرات الإحدى عشرة نفسها. يتعلق كثير منها بعمل PHP بوصفه عميلًا: تتبّع إعادة توجيه HTTP، والتحقق من شهادات TLS، والتخاطب مع خوادم MySQL أو SOAP. ويمس بعضها الخوادم مباشرة: انهيار نقاط SOAP، وتجاوز ضوابط الوصول في PHP-FPM.

نظرة سريعة

ما هي الثغرات

مشكلات من جهة الخادم

• CVE-2026-91765 (GHSA-rgrp-mwpx-f6rm، عالية، 7.5 وفق CVSS 3.1): كان محلل XML في SOAP يتعمق مرة لكل مستوى تداخل دون حد، فيستطيع مهاجم غير مصادق إرسال طلب شديد التداخل إلى أي نقطة SoapServer وإسقاط العملية.
• CVE-2026-91768 (متوسطة، 6.5 وفق CVSS 3.1): كان فحص listen.allowed_clients في PHP-FPM يقارن أول 12 بايت فقط من عنوان IPv6، فيطابق نطاقًا كاملًا بطول ‎/96 بدل عنوان واحد. وبذلك يمكن لمضيف يشترك في أول 96 بت مع عنوان مسموح أن يصل إلى منفذ FastCGI.

PHP بوصفه عميل HTTP وTLS

• CVE-2026-91766 (متوسطة، 5.9): عند تتبّع غلاف http:// لإعادة توجيه، كان يمرر ترويسات Authorization وCookie وProxy-Authorization التي يحددها المستخدم إلى مضيف أو منفذ مختلف، أو عند الانتقال من HTTPS إلى HTTP.
• CVE-2026-93682 (متوسطة): إعادة توجيه بترويسة Location فارغة كانت تسبب قراءة بايت واحد خارج الحدود يحدد الوجهة التالية للعميل.
• CVE-2026-91769 (متوسطة، 4.3): كان التحقق من هوية الطرف الآخر في TLS يعود إلى الاسم الشائع (CN) بعد فشل مطابقة subjectAltName، خلافًا لـ RFC 6125، فقد تُستخدم شهادة موثوقة لاسم ما لانتحال اسم آخر.
• CVE-2026-91767 (متوسطة، 6.5): شهادة خادم باسم بدل (wildcard) مصمم قد تجعل العميل يقرأ بعيدًا خارج مخزن في الكومة أثناء فحص اسم المضيف، والأثر المذكور حجب الخدمة.

عملاء آخرون وأرشيفات ومرشحات

• CVE-2025-14181 (متوسطة، 6.5): كان فحص نمو المخزن في عميل SOAP عبر HTTP يعتمد على فيض عدد صحيح موقّع، فقد يسبب خادم SOAP خبيث تجاوزًا لمخزن الكومة بحسب المترجم وترتيب الذاكرة.
• CVE-2025-1218 (منخفضة، 3.4): كان mysqlnd يقرأ خارج مخازن الحزم عندما يرسل خادم MySQL خبيث أو مخترق حزمًا مبتورة. وكما تذكر Debian، لا تتأثر التطبيقات التي لا تتصل إلا بخوادم قواعد بيانات موثوقة.
• CVE-2026-6103 (متوسطة، 4.3): فيض عددي في محلل TAR الخاص بـ phar يسمح لأرشيف مصمم بحقن مدخلات يعرضها PharData ويستخرجها كأنها حقيقية.
• CVE-2026-92842 (متوسطة، 5.9): قد تسرّب مرشحات التدفق convert.* بايتات من الكومة إلى مخرجاتها عندما يحتوي الخيار line-break-chars على بايت فارغ.
• CVE-2026-17545 (متوسطة، 6.9 وفق CVSS 4.0، على Windows فقط): لم تكن أسماء الأجهزة المحجوزة مثل CON وNUL ترفض داخل المسارات، ما قد يعلّق الطلبات ويستنزف العمّال.
• GHSA-ch8v-r6jh-4vvr (منخفضة): كان المرشح FILTER_SANITIZE_ENCODED يقرأ خانة غير مهيأة من الجدول للبايت 0xFF. وقد حصل عليه الفرعان 8.4 و8.5 مسبقًا في 8.4.25 و8.5.10 في 27 أغسطس.

لا تظهر أي من هذه الثغرات في كتالوج CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).

هل أنت متأثر؟

البناءات الرسمية الأقدم من 8.5.11 أو 8.4.26 أو 8.3.35 أو 8.2.34 متأثرة. وتحقق أيضًا مما إذا كنت تعتمد على قوائم IPv6 في FPM أو تكشف خوادم SOAP:

php -v
grep -R 'listen.allowed_clients' /etc/php/*/fpm/pool.d/
php -m | grep -i soap

على Debian قارن بالإشعار DSA-6514-1 ‏(trixie) والإشعار DLA-4819-1 ‏(bookworm):

apt policy php8.4-fpm php8.4-cli   # trixie: fixed in 8.4.26-1~deb13u1
apt policy php8.2-fpm php8.2-cli   # bookworm: fixed in 8.2.34-1~deb12u1

ويمكن لمستخدمي Ubuntu مراجعة إشعارات Ubuntu الأمنية.

طريقة التحديث

نفّذ sudo apt update ثم sudo apt upgrade على Debian أو Ubuntu. أما البناء من المصدر وWindows والحاويات فثبّت أحدث إصدار من فرعك من صفحة التنزيلات في php.net. وبعد أقل من شهر، في 21 و22 أكتوبر 2026، أصدر PHP الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 بإصلاحات لثغرتين حرجتين تدرجهما CISA ضمن الثغرات المستغلة فعليًا منذ 26 أكتوبر 2026، فانتقل إليها مباشرة.

هل تحتاج إلى إعادة تشغيل؟

لا حاجة لإعادة تشغيل الخادم. أعد تشغيل PHP-FPM وApache ‏(mod_php) وعمّال PHP طويلي الأمد:

sudo systemctl restart php8.4-fpm   # or php8.2-fpm on bookworm

المصادر

• php.net/releases/8_4_26.php
• php.net/releases/8_3_35.php
• php.net/releases/8_2_34.php
• php.net/archive/2026.php
• php.net/ChangeLog-8.php#8.5.11
• php.net/ChangeLog-8.php#8.2.34
• github.com/php/php-src/security/advisories/GHSA-rgrp-mwpx-f6rm
• github.com/php/php-src/security/advisories/GHSA-62xp-839h-2637
• github.com/php/php-src/security/advisories/GHSA-fpwc-w8rq-cr92
• github.com/php/php-src/security/advisories/GHSA-7875-c8px-7q5f
• github.com/php/php-src/security/advisories/GHSA-vvx9-73fr-5jjx
• github.com/php/php-src/security/advisories/GHSA-xr7j-rvgx-xq5p
• github.com/php/php-src/security/advisories/GHSA-cj93-vc83-wgqv
• github.com/php/php-src/security/advisories/GHSA-r6x9-5r99-36j7
• github.com/php/php-src/security/advisories/GHSA-j3wh-g957-2m85
• github.com/php/php-src/security/advisories/GHSA-88hq-2827-7pg6
• github.com/php/php-src/security/advisories/GHSA-9f67-6fw4-hpfp
• github.com/php/php-src/security/advisories/GHSA-ch8v-r6jh-4vvr
• cve.org/CVERecord?id=CVE-2026-91765
• cve.org/CVERecord?id=CVE-2026-91768
• security-tracker.debian.org/tracker/DSA-6514-1
• lists.debian.org/debian-security-announce/2026/msg00427.html
• security-tracker.debian.org/tracker/DLA-4819-1
• lists.debian.org/debian-lts-announce/2026/10/msg00011.html
• cisa.gov/known-exploited-vulnerabilities-catalog