إصدارات PHP الأمنية في ديسمبر 2025: ‏8.5.1 و8.4.16 و8.3.29 و8.2.30 والإصدار الأخير 8.1.34

في 18 ديسمبر 2025 أصدر مشروع PHP الإصدارات 8.5.1 و8.4.16 و8.3.29 و8.2.30 و8.1.34 بوصفها إصدارات أمنية. وكان ذلك أول تحديث أمني للفرع 8.5 الذي صدر قبل شهر، وآخر إصدار لفرع PHP 8.1 الذي انتهى دعمه في 31 ديسمبر 2025. وتشمل الإصلاحات انهيارًا في اقتباس PDO، وتجاوزًا في ذاكرة الكومة داخل array_merge()، وتسريبًا للذاكرة في getimagesize()، ومشكلة البايت الفارغ في دوال DNS، إضافةً إلى خلل في مكتبة URI يخص الفرع 8.5 وحده.

نظرة سريعة

ما هي الثغرات

• انهيار اقتباس PDO ‏CVE-2025-14180 (GHSA-8xr5-qppj-gvwj): عند استخدام مشغّل PostgreSQL في PDO مع تفعيل PDO::ATTR_EMULATE_PREPARES، قد يجعل تسلسل محارف غير صالح في معامل عبارة محضّرة الدالة PQescapeStringConn تعيد NULL، فيحدث انهيار بسبب مؤشر فارغ. يصنّفها إشعار PHP بخطورة متوسطة (6.3 وفق CVSS 4.0)، بينما يمنحها سجل CVE الذي نشره المشروع 8.2 (عالية).
• تجاوز ذاكرة الكومة في array_merge() ‏CVE-2025-14178 (GHSA-h96m-rvf9-jgm2، متوسطة، 6.5 وفق CVSS 3.1): عندما يتجاوز مجموع عناصر المصفوفات المضغوطة حدود 32 بت، قد يؤدي فيض عددي في حساب الحجم إلى إفساد الذاكرة أو الانهيار. وتتطلب الثغرة مصفوفات ضخمة جدًا، فهي تهم أساسًا حين يتحكم المستخدم في أحجام المصفوفات.
• تسريب ذاكرة في getimagesize() ‏CVE-2025-14177 (GHSA-3237-qqm7-mfv7، متوسطة، 6.3 وفق CVSS 4.0): عند قراءة الصور على دفعات متعددة، مثلًا عبر php://filter، قد تنتهي بيانات غير مهيأة من الذاكرة داخل مقاطع APPn في النتيجة، ما قد يكشف بيانات حساسة.
• البايت الفارغ في dns_get_record() (GHSA-www2-q4fc-65wf، منخفضة، بلا CVE): لم تكن دوال DNS ترفض الأسماء التي تحتوي على بايت فارغ، وهي من فئة إصلاح fsockopen() السابق نفسها، مع احتمال استغلالها في تزوير الطلبات من جهة الخادم.
• تكرار غير محدود في uriparser ‏CVE-2025-67899 (في 8.5.1 فقط): سمحت مكتبة uriparser التي يستخدمها امتداد URI في PHP 8.5 بتكرار غير محدود مع مدخلات مصممة. ويمنحها سجلها (الجهة المصدرة MITRE) درجة 2.9 (منخفضة) وفق CVSS 3.1.

لا تظهر أي من هذه الثغرات في كتالوج CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).

هل أنت متأثر؟

البناءات الرسمية الأقدم من الإصدارات أعلاه متأثرة كلٌّ في فرعه. تحقق من كل بيئة:

php -v
php -r 'echo PHP_VERSION, PHP_EOL;'
php -m | grep -i pdo_pgsql

تستخدم Debian أرقام إصدارات خاصة بها، فقارن الحزمة المثبتة بالإشعار. فقد تلقى Debian 13 ‏(trixie) الإشعار DSA-6088-1 في 21 ديسمبر 2025، وتلقى Debian 12 ‏(bookworm) الإشعار DSA-6154-1 في 2 مارس 2026:

# Debian 13 (trixie): fixed in 8.4.16-1~deb13u1 or later
apt policy php8.4-fpm php8.4-cli
# Debian 12 (bookworm): fixed in 8.2.30-1~deb12u1 or later
apt policy php8.2-fpm php8.2-cli

وعلى Ubuntu راجع إشعارات Ubuntu الأمنية الخاصة بإصدارك.

طريقة التحديث

على Debian أو Ubuntu نفّذ sudo apt update ثم sudo apt upgrade، فتحصل على أحدث بناء أمني لإصدارك، وهو يتضمن هذه الإصلاحات وما تلاها. أما البناء من المصدر وWindows والحاويات فانتقل فيها إلى أحدث إصدار من فرعك من صفحة التنزيلات في php.net، أي حتى 31 أكتوبر 2026 أحد الإصدارات 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35.

لمستخدمي PHP 8.1: كان 8.1.34 آخر إصدار رسمي، ولم تصدر بعده إصدارات للفرع 8.1؛ وبالنسبة إلى ثغرات php2shell في أكتوبر 2026 اكتفى فريق أمن PHP بنشر تصحيحات مصدرية محدودة للفرع 8.1 وما قبله. خطط للترقية إلى 8.3 أو أحدث.

هل تحتاج إلى إعادة تشغيل؟

لا حاجة لإعادة تشغيل الخادم. أعد تشغيل PHP-FPM وApache (إن كنت تستخدم mod_php) وعمّال PHP طويلي الأمد:

sudo systemctl restart php8.4-fpm   # or php8.2-fpm on bookworm
sudo systemctl restart apache2      # only with mod_php

المصادر

• php.net/releases/8_5_1.php
• php.net/releases/8_1_34.php
• php.net/archive/2025.php
• php.net/archive/2026.php
• php.net/ChangeLog-8.php#8.5.1
• github.com/php/php-src/security/advisories/GHSA-8xr5-qppj-gvwj
• github.com/php/php-src/security/advisories/GHSA-www2-q4fc-65wf
• github.com/php/php-src/security/advisories/GHSA-h96m-rvf9-jgm2
• github.com/php/php-src/security/advisories/GHSA-3237-qqm7-mfv7
• cve.org/CVERecord?id=CVE-2025-14180
• cve.org/CVERecord?id=CVE-2025-14178
• cve.org/CVERecord?id=CVE-2025-14177
• cve.org/CVERecord?id=CVE-2025-67899
• security-tracker.debian.org/tracker/DSA-6088-1
• lists.debian.org/debian-security-announce/2025/msg00254.html
• security-tracker.debian.org/tracker/DSA-6154-1
• lists.debian.org/debian-security-announce/2026/msg00063.html
• packages.debian.org/source/trixie/php8.4
• php.net/supported-versions.php
• php.net/eol.php
• cisa.gov/known-exploited-vulnerabilities-catalog