مدونة سكاي لاين

تنبيه أمني الأمن السيبراني

إصدارات PHP الأمنية في 30 يوليو 2026: ‏8.5.9 و8.4.24 و8.3.33 و8.2.33 تعالج حقن SQL في pgsql

عالجت إصدارات PHP في 30 يوليو 2026 حقن SQL في pg_insert() وpg_select() وأخواتهما، وكتابة خارج الحدود في bccomp()، وخللًا في libgd، وانهيارًا في phar.

تاريخ النشر
مدة القراءة
4 دقائق
الكاتب
SKYLINE Engineering

تنبيه أمني ثغرة أمنية

الخطورة: عالية الحالة: تم التصحيح
معرّفات CVE
الحالة
أُصلحت في إصدارات PHP الرسمية 8.5.9، 8.4.24، 8.3.33 و8.2.33، وتحمل حزم التوزيعات الإصلاحات بأرقام إصداراتها الخاصة.
المتأثر
  • PHP 8.5 قبل الإصدار 8.5.9
  • PHP 8.4 قبل الإصدار 8.4.24
  • PHP 8.3 قبل الإصدار 8.3.33
  • PHP 8.2 قبل الإصدار 8.2.33
تاريخ النشر
آخر تحديث

ما الذي يجب عليك فعله

  • حدّث PHP، ومكتبة libgd2 على Debian، ثم أعد تشغيل خدمات PHP.
  • انقل الكود الذي يبني الاستعلامات عبر pg_insert() أو pg_update() أو pg_select() أو pg_delete() إلى استعلامات مهيأة حيثما أمكن.
  • لا تفتح أرشيفات phar أو صور GIF من مصادر غير موثوقة دون فحص الحجم والنوع.
  • راجع مقالنا عن php2shell لإصلاحات أكتوبر 2026.
التسلسل الزمني
  1. أصدر مشروع PHP الإصدارات 8.5.9، 8.4.24، 8.3.33 و8.2.33.
  2. نشرت سكايلاين هذا الملخص.

في 30 يوليو 2026 أصدر مشروع PHP الإصدارات 8.5.9 و8.4.24 و8.3.33 و8.2.33 بوصفها إصدارات أمنية. والإصلاح الأقرب إلى تطبيقات الويب المعتادة هو حقن SQL في الدوال المساعدة لامتداد PostgreSQL مثل pg_insert() وpg_select(). كما تعالج الجولة كتابة خارج الحدود في bccomp()، وتحدّث مكتبة GD المضمّنة، وتمنع انهيارًا تسببه أرشيفات phar مصممة.

نظرة سريعة

البندالتفاصيل
المنتجPHP ‏(php-src)، الفروع من 8.2 إلى 8.5
الإصدارات المصححة8.5.9، 8.4.24، 8.3.33، 8.2.33 (30 يوليو 2026)
الثغراتCVE-2026-17543، CVE-2026-9672، CVE-2026-7260 (كل الفروع)، وCVE-2026-17544 (8.4 و8.5 فقط)
الخطورةعالية (إشعارا PHP للثغرتين CVE-2026-17543 وCVE-2026-17544)
DebianDSA-6406-1 لإصدار trixie ‏(php8.4 8.4.24-1~deb13u1، 31 يوليو)، وDLA-4732-1 لإصدار bookworm ‏(php8.2 8.2.33-1~deb12u1، 11 أغسطس)

ما هي الثغرات

CVE-2026-17543: حقن SQL في الدوال المساعدة لـ pgsql

تهرّب الدوال pg_insert() وpg_update() وpg_select() وpg_delete() القيم عبر PQescapeStringConn() ثم تضعها داخل ثابت نصي من نوع E'...'. ومع الإعداد standard_conforming_strings = on، وهو الافتراضي في PostgreSQL منذ الإصدار 9.1، لا يضاعف هذا التهريب الشرطة المائلة العكسية، فقد تُنهي قيمةٌ تحتوي على شرطة عكسية يليها اقتباس النصَّ مبكرًا وتحقن SQL. ويصنفها إشعار PHP ‏GHSA-7qpv-r5mr-78m4 بخطورة عالية، ويمنحها سجل CVE درجة 8.1 وفق CVSS 4.0. ويعتمد الإصلاح ثوابت نصية لا تستخدم التهريب. أما الكود الذي يستخدم pg_query_params() أو العبارات المحضّرة في PDO فلا يمر بهذا المسار.

CVE-2026-17544: كتابة خارج الحدود في bccomp() ‏(8.4 و8.5)

قد تؤدي معاملات ومقياس يتحكم فيها المهاجم عند تمريرها إلى bccomp() إلى كتابة خارج الحدود مع إفساد المكدس والكومة. ويصنفها PHP بخطورة عالية (GHSA-x692-q9x7-8c3f، 8.1 وفق CVSS 4.0). ويذكر متتبع Debian أن الكود المعني أُضيف في 8.4.3 وغير موجود في 8.2.

CVE-2026-9672: تحديث مكتبة GD

يذكر سجل التغييرات هذا الإصلاح بوصفه ترقية لمكتبة libgd المضمّنة. وتصف إشعارات Debian لحزمتها المستقلة libgd2 خللًا قد يسبب حجب الخدمة أو ربما تنفيذ كود عند معالجة ملف GIF مشوّه. ولم يكن للثغرة سجل منشور على CVE.org عند تحققنا.

CVE-2026-7260: انهيار phar مع روابط رمزية دائرية

أرشيف phar مبني على tar ومصمم بروابط رمزية تشير إلى بعضها يسبب تكرارًا غير محدود فينهار PHP ‏(GHSA-vc5h-9ppw-p5f3، متوسطة، 5.4 وفق CVSS 4.0).

لا تظهر أي من هذه الثغرات في كتالوج CISA للثغرات المستغلة فعليًا (نسخة 30 أكتوبر 2026).

هل أنت متأثر؟

البناءات الرسمية الأقدم من 8.5.9 أو 8.4.24 أو 8.3.33 أو 8.2.33 متأثرة. وللعثور على استدعاءات pgsql المعنية في كودك:

php -v
grep -rnE 'pg_(insert|update|select|delete)\(' /var/www --include='*.php' | head

على Debian قارن بالإشعار DSA-6406-1 ‏(trixie) والإشعار DLA-4732-1 ‏(bookworm). وقد عالجت Debian مشكلة GD في مكتبة libgd2 بشكل مستقل: DSA-6409-1 ‏(trixie، 2.3.3-14~deb13u1) وDLA-4731-1 ‏(bookworm، 2.3.3-9+deb12u1). والحزمة الثنائية للمكتبة هي libgd3:

apt policy php8.4-pgsql libgd3   # trixie
apt policy php8.2-pgsql libgd3   # bookworm

ويمكن لمستخدمي Ubuntu مراجعة إشعارات Ubuntu الأمنية.

طريقة التحديث

على Debian وUbuntu يثبّت الأمر sudo apt update ثم sudo apt upgrade تحديثَي PHP وlibgd معًا. أما البناء من المصدر وWindows والحاويات فاستخدم أحدث إصدار من فرعك من صفحة التنزيلات في php.net، وهو حتى 31 أكتوبر 2026 أحد الإصدارات 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35.

هل تحتاج إلى إعادة تشغيل؟

لا حاجة لإعادة تشغيل الخادم. أعد تشغيل PHP-FPM وApache ‏(mod_php) وعمّال PHP طويلي الأمد ليحمّلوا PHP وlibgd الجديدين:

sudo systemctl restart php8.4-fpm   # or php8.2-fpm on bookworm

المصادر

المواضيع

SKYLINE Engineering

@skyline

The engineering team at SKYLINE Industrial Solutions. We publish field-tested guides drawn from real KSA and GCC deployments.

صفحة الكاتب
المزيد في الأمن السيبراني

ذات صلة: أدلة Skyline Nexus ERP

قاعدة معرفة Nexus ←
Skyline Nexus ERP

أدلة الضرائب والفوترة الإلكترونية في الخليج والشرق الأوسط

ضريبة القيمة المضافة، الفوترة الإلكترونية (زاتكا) وضريبة الشركات للسعودية والإمارات ودول الخليج.

 Skyline Nexus ERP

Skyline Nexus ERP — محاسبة سحابية وفوترة زاتكا الإلكترونية

نظام ERP سحابي من سكاي لاين: المحاسبة والفوترة والمخزون ونقاط البيع. الشهر الأول مجانًا.
SKYLINE engineering services

Need this implemented for you?

Reading is free — building it right takes a team. SKYLINE engineers ship Cybersecurity for Aramco vendors, banks, hospitals and government agencies across Saudi Arabia. Talk to us before you start.

Cybersecurity & Data Centre SACS-210, NCA ECC, SOC, 24/7 ops Firewall & Network Security Fortinet, Palo Alto, segmentation, ZTNA
Talk to a SKYLINE engineer Call +966 50 993 9334
Aramco Approved Contractor ISO 9001 · ISO 27001 SAMA CSF aligned NCA ECC ready 247+ KSA clients

Comments

0 total · 0 threads
Be the first to leave a comment.