PHP2 Shell blow up: CVSS 9.2, the day before the opening, and the two holes were in code for 10 years.

أولا، النتيجة هي:وأصدر حزب العمال الكردستاني رمزاً نائياً غير مأذون به لمحطة CVSS 9.2, والأرقام CVE-2026-109618 وCVE-2026-109619، مع اسم مستعار PHP2 Shell. في الـ20 من أكتوبر، تم نشرها، وفي 21 من أكتوبر في الساعة 1400 تم إطلاقها، في حين تم تسجيل أغطية عسل (أمازون) في 17 أكتوبر - أربعة أيام قبل الافتتاح.

ما هو أسوأ من ذلك هو الشيء الآخر: هذان الثقوبان هما أول من يصل إلى PHP 5.4، مما يعني...لقد تم في الرمز لأكثر من عقد.لا أعلم وفي عام 2024، عندما إكتشفت مراجعة حسابات المطورين الأساسيين لـ (بي.إتش بي) مسار (أووم)، التقى الفريق لمناقشة كيفية إصلاحه.لم نتفق و بعدها لم نصلحهلا أعلم السبب هو أنه لا أحد يعتقد أنه يمكن استخدامه حقا.

وهذه العبارة الآن تبدو مفارقة خاصة. والسبب في عدم القدرة على القيام بذلك ليس أن الثقب لا يذكر، ولكن السلسلة معقدة للغاية بحيث تتجاوز القدرة المادية للباحثين البشريين. ثمّ جاءَ AI وكتبَه.

أولا، الحصول على كلمة "الاستجابة الطارئة المتعددة الجنسيات" من الطريق. انظر

الكلمة المفضلة لحفلة العنوان هي "إنذار عالمي" إنها ليست مبالغة هذه المرة، لكنها نتيجة واضحة.

• PHP Official: صدر إشعار مسبق في 20 تشرين الأول/أكتوبر، ينص على أن يفرج في الساعة 14:00 من يوم 21 تشرين الأول/أكتوبر في صيغة مأمونة إذا كانت التفاصيل قد سربت أو أرسلت. As a result, the CVE number was challenged to Hacker News the same day, and the release scheduled for October 22 was forced to a day earlier.
• CERT-EU: release advisory 2026-018 and include both CVEs.
• كلودفلورفي الـ21 من أكتوبر، قال (سيتو دان نيتشت) مباشرةً "الهجوم المبكّر شوهد ليظهر" لكنه شدد على نفسه أنه مجرد توقف، والحل الحقيقي هو التصحيح.
• معلومات تهديد الأمازون: MadPot honey cans were caught trying on October 17, and another batch was caught on October 21, and the payload and infrastructure pointed to a number of different attackors. php2shell "هو بالفعل مستخدم على نطاق واسع."
• شاهد (تود): Both holes are re-emerged, while attempts to exploit both are observed.

إذاً "الهجوم تم العثور عليه" ليس أمراً مثيراً لكن حقيقة والرد على حالات الطوارئ المتعددة الجنسيات ليس ضربة، بل فقط أن المواضيع الرئيسية للرد هي الصانعين، و CDNs، ومنظمات الطوارئ، وليس أي حكومة في البلد.

حفرتان، طريقتان مختلفتان تماماً للموت

الكثير من الناس يعتقدون انها حفرة مع رقمين، لا. هذه طريقتان منفصلتان للهجوم، كل منهما 9.2.

CVE-2026-109618: قنبلة عندما تستنفد الذاكرة

ويتوقف تجهيز الطلب عندما يفشل توزيع ذاكرة الشرطة. المشكلة هي:At this point, the internal request data may have been only half-initialized, and the subsequent clean-up logical would have used this unincorporated piece of bad data as valid data.

طريقة الزناد بسيطة: بناء طلب متعدد الجوانب لتفجير الذاكرة. الشيء الغريب هوحجم الطلب يبدو أنه يطابق سقفكإنه ليس حجم البريد الذي وضعته، إنه التحلل واستهلاك التجهيز الداخلي.

الأسوأ هو الـ(مود php). حرف "ميد" من أجل "أباتشي" عندما طلب البدء فشلما زال سينظفحتى يمكن إكمال هذه السلسلة قبل أن يُطبق أي قانون. شفرة الشرطة الخاصة بك نظيفة جدا، ليس هناك ثغرة، ليس هناك إيقافه.

الشرطة ستقتل العامل عندما يفشل في البدء فقط لقطع السلسلة رسمياً لكن إنتبه هذا لا يعني أن الـ إف بي إم آمنبعد بداية ناجحةولا تزال هناك إمكانية للاستغلال.

CVE-2026-109619: Dirty state between requests

هذا أسوأ وسيعيد حزب العمال الكرواتي استخدام عملية العمال لتجهيز الطلبات المتعددة. آخر طلب للإفراج عن ذاكرة المرشد يبقى في الولاية الداخلية، ويأتي الطلب التالياقرأي العنوان الفارغ قبل البدء الطبيعيلا أعلم

وتقطع الأخطاء البشعة (نضوب الذاكرة، وتوقيت الأداء) عملية تنظيف الدولة. بل والأسوأ من ذلك أن بعض التشخيصات غير الفتاكة أثناء الإغلاق كانت ستستبدل الحالة الخاطئة.أعدهالا أعلم

وتشمل المسارات التي تم تأكيدها رسمياً ما يلي: امتحانات التشغيل التي تنطوي على خطأ مميت عندما مكّن البرنامج 8-5 من حدوث أخطاء في السمات (فتح الباب) ودورة الحياة، امتحانات التشغيل المستندة إلى المحركات والمركبات.session.upload_progress عن طريق التقصير، يمكنك التصرف كمستهلك مبكر في حالة القذارة.وليس هناك حاجة لطلب (اتصالات)لا أعلم

هذه الحفرة لا تزال عالقة.تسرب الذاكرةلا أعلم ماذا كان التسريب؟ هي كلمة السر، (توكين)، مفتاح (آبي)، شهادة طلبات أخرى في ذاكرة العملية. (ويز) مُقارنةً مباشرةً بالقلب، وهذا ليس كثيراً.

الوقت، أكثر من العنوان

الوقت	ماذا حدث؟
السنة 2024	ووجدت مراجعة حسابات المطورين الأساسيين في حزب العمال الكردستاني أن المنظمة، وتلك الحشرة، لم يكن لدى الفريق أي توافق في الآراء بشأن القانون، وعلقته.
2026-08	(رايان أوستن) من (كاليف) يُحدّد الثغرات مع (إف بي تي 5.6 سول)
2026-10-17	أمازون مادبوت، العسل يمكن تسجيل محاولة، أربعة أيام قبل الافتتاح.
2026-10-20	CVE number leaked in Hacker News and Social Media, PHP
2026-10-21	14:00 UTC Publication 8.5.12 / 8.4.27/ 8.3.36 / 8.2.35

السابع عشر من أكتوبر يجب أن يُفردكان اليوم العام 20، لكن الهجوم وقع على 17.ومقترح الأمازون صريح: لا ينبغي أن تكون نقطة الانطلاق في تاريخ الكشف، بل ينبغي أن تكون إلى 17 تشرين الأول/أكتوبر على الأقل.

فيما يتعلق بكيفية حصول المهاجمين على المعلومات مسبقاً قال الأمازون "ليس واضحاً" لا يمكنني الدخول في هذا، لكن عليك أن تقبل حقيقة.يوم الإفصاح لم يكن يوم الهجوم أبداً لكن اليوم الذي عرفته أخيراً

أربعة، هذه المرة هو حقا AI.

ويتضمن مدونة ويز جملة قرأتها مرتين: " كانت هذه العيوب الأساسية قائمة منذ عقود، ولكن لإثبات أنها يمكن استخدامها، فإنها تحتاج إلى سلسلة من الخطوات معقدة بشكل استثنائي، على هامش القدرات الفعلية للباحثين البشريين.ويقلل نموذج خط المراقبة الأمامي هذا الحد بدرجة كبيرة.لا أعلم

محدد: ريان أوستن، باحث في كاليف، وُجد في مشروع " اكسب الكوكب " مع GPT-5.6 Sol. وجد (ويز) نفس المشكلة بشكل مستقل ولكي نستخدمه، نحتاج إلى سلسلة من الأخطاء ونستهدف كل هدف.تخطيط الذاكرة بشكل متكرريقول (ويز) أن نموذج الخط الأمامي يسمح لهم بتطوير تطبيقات قابلة للاستخدام في غضون ساعات

هذا لا يعني "آي آي" ربح مرة أخرىالمغزى هو أن "مركب" يفشل

ولم يتعرض العديد من الثغرات القديمة للضرب في العقدين الماضيين، ليس لأنها ليست خطيرة، وإنما لأن عتبة الاستخدام مرتفعة جدا - أي بضعة أسابيع من الاستثمار من جانب كبار الباحثين وقليل من الحظ. لذا وضعتهم في عمود "مخاطرة نظرياً" الآن هذا السياج ذهب

تلك الثقوب التي تبلغ من العمر 10 سنوات والتي تكمن في نظامك وتُقيّم بأنها "صعبة وغير مجهزة" يجب إعادة تقييمها

خمسة، أي واحد يجب أن تذهب إليه؟

الفرع	النسخة المتأثرة	التخلص
PHP 8.5	< 8.5.12	رفع إلى 8.5.12.
PHP 8.4	< 8.4.27	إرتفع إلى 8.4.27.
PHP 8.3	< 8.3.36	إرتفع إلى 8.3.36.
PHP 8.2	< 8.2.35	إرتفع إلى 8.2.35.
PHP 7.4 / 8.0 / 8.1	كل شيء	غير منشورة رسميا، المستوى المصدري فقط
PHP 5.4 - 7.3	كل شيء	الحكومة لا تصلحه الأعمال

عدة رسائل تذكيرية حقيقية:

• Linux Release and LTS Vendorحصلت على رقعة مقدما.تحقق من استشارة الصانع بحزمة توزيع لا تسرعي برمز المصدر
• الاستخدام rpms.remirepo.net Note: PHP officially stated the source on October 21st.No updateحتى تتمكن من التحول إلى حزمة توزيع أو جعله من رمز المصدر.
• The Windows binary of PHP 8.5 is also on the official download page.
• لا أعتقد أنه لا بأس بالهروب في الحاوية يجب فحص نسخة PHP من مرآة الحاوية

ستة، إذا كنت لا يمكن الحصول على رقعة، وجعل هذه أربعة أولا.

الولاية الأولى:لا شيء من هذا سيجعلك آمنةالعبارة الرسمية PHP هي "الإقلال من التعرض لمسارات هجوم محددة، ولكن لا تجعل المنشآت أكثر أماناً". قيمتها أن تعطيك الوقت للحصول على رقائق.

وضع حد للذاكرة

الغرض: من أجل التخلص من كبسولة ذاكرة PHP التي يمكن التنبؤ بها، أي أن CVE-2026-109618 قد أكدت الشرط الذي يعتمد عليه.

المغزى هوكيف؟: to be set in places where application is unaltered, such as the FPM Pool php_admin_value أو "أباتشي" يجب أن تتأكدي من عدم وجود البوب، الدليل، وضع الطلبات لإضافة الحدثمّ يُعيدُ كُلّ عامل.

السعر واضح: أنت خارج سياج ذاكرة الشرطة، وفشل التوزيع السفلي قد لا يزال على ذلك الطريق الخطير. لذا يجب أن تكون حاوية أو مجموعة من أجل الحد من الغطاء لكنها مجرد استراتيجية لـ "قتل الأشخاص المتضررين"لا تستخدم أبداً مادة RLIMIT AS أو RLIMIT DATAهذان الأثنان هما بالضبط نوع فشل التوزيع الذي يخلق الثغرات

تخفيض حجم الوظيفة

أماكن بدون ملف 8M لتقديم 32M وضمان upload_max_filesize أقل من ذلك وفي الوقت نفسه، تُضاف حدود إلى الخادم الشبكي أو الطبقة العميلة - أي حجم الطلبات التي تم فكها، وعدد الحقول، وعدد الأجزاء المتعددة الأطراف، وعدد الرؤساء، وعمق العش.ويجب أن تشمل هذه القيود الطلبات التي لا تنطبق على المضمونأو سندور حوله

3 - إيقاف الدورة.

session.upload_progress.enabled = 0

It is written in php.ini, FPM tool or server formation.ويجب أن تكون فعالة قبل الطلب.لا أعلم الاستخدام ini_set() أو FPM. .user.ini كان متأخراً جداً كان قذراً التغيير أيضاً لإعادة تشغيل جميع العمال

PHP 8.5 واحدة أخرى

fatal_error_backtraces = 0

هذا المبنى أكد فقط حدوث أخطاء مميتة بدون متغيرات أخرى ويحتاج أيضاً إلى تحديد مستوى الإدارة + عامل إعادة التشغيل.

وبالإضافة إلى ذلك، ذكر المسؤول أن الكثيرين سيتجاهلون ما يلي:اصلح الاخطاء القاتلة التي يمكن للمهاجمين ان يطلقوها وينفذوهابما في ذلك الدعم والتحميل وتجهيز الواردات والفشل في التنظيف و...التكوينات القديمة أو غير القانونية المفروضة بناء على طلب- يبصقون المعلومات التشخيصية قبل أن يتم البدء فيها وتغذية التسرب.

وهذه الجملة الأخيرة يسهل فهمها:لا يعمل لإخفاء التشخيص عن طريق الإبلاغ عن الأخطاء أو أخطاء العرض أو @.هذا لن يحدث

سابعا - الدروس الحقيقية من هذا

لا أريد أن أنهي كلامي بكتابة "أغلق الرقعة" بالطبع انها رقعة إنه اليوم لكن بعض الأحكام يجب أن تتغير

1. مصطلح "من الصعب استخدامه" لم يعد كما هو "مسجل"PHP هذه سلسلة دخول هذه الحفرة معقدة بما فيه الكفاية لتحتاج مساعدة من AI، الذي ساعد بالفعل. الثقوب القديمة في قائمة الأصول الخاصة بك التي علامة "مخاطرة نظرية" ينبغي إعادة تقييمها.
2. اللغة تجري في نقطة واحدة(وورد برس)، (دروبال)، (جوملا)، (ماغنتو)، (وسيمو ويكي) يركضون جميعاً في قسم الشرطة، (ب) الإيقاع التعويضي لطبقات البنية التحتية، مع فصل طبقات التطبيق.
3. "رمز التطبيق مكسور بدون تشغيل." WAF يمكن فقط تأخير.قال (كلودفلور) نفسه أنّه كان مُتوقفاً. وضع برنامج الأغذية العالمي كحل يعادل إعطاء الحياة للتغطية الأساسية.
4. هناك الكثير من المواقع القديمة في البلد باستخدام PHP.أما المحطات التي تدار على PHP 5.6/7.0، والتي لم تكن محتفظة بها منذ وقت طويل وعلقت على إطار سحابي رئيسي، فهي في هذا التعرض البالغ 1.3 إلى 1.9 مليون. لن يتلقوا أي إشعار

وتسجل معايرة البيانات: وتقول شركة W3Techs إن شركة PHPs تمثل 69.3 في المائة من اللغات المعروفة بالخدمة، و Wiz 70 في المائة؛ ومضيفو التعرض، وباحث الأمن سيلاس كاتلر يقدرون أكثر من 1.3 مليون، وشركة هينك بولي للبحث عن شودان أكثر من 1.9 مليون. هذه الأعداد مختلفة من العيارات ولا تستخدمها كقيم دقيقة، ولكن الحجم هو نفسهالملايين على الصعيد العالمي

وثمة تفاصيل أخرى جديرة بالتذكير: عندما تم تسريب رقم CVE، كانت نقاط CVSS التي ظهرت هي 10.0، تم التأكيد رسمياً على PHP.تلك النتيجة كانت خاطئةإنها في الواقع 9.2 لا أحد يعرف أي شيء عن هذه التفاصيل، ولكن سيكون دائما في التداول. رؤية 10، أنت تعرف ما هي الموجة.

حفرة مدتها 10 سنوات، شهرين من البحث المدعوم من منظمة العفو الدولية، أربعة أيام من الاستخدام المبكّر، نافذة واحدة ليوم واحد. وهذا الجدول الزمني هو المعتاد لجميع البرامج الأساسية التي تلي ذلك.

تحقق من النسخة الآنphp -vأو أنظر إلى مرايا حاويتك عند العلامة لا تنتظري غداً