(في داخل (سي اي سي ايه ايه ايه ايه ايه ايه

في 21 تشرين الأول/أكتوبر 2026، أصدر المركز الوطني للأمن السيبرى في المملكة المتحدة إنذاراً، أيّ تدبير، غير عاديّ: The two CVEs behind it — CVE-2026-109618 and CVE-2026-109619 'mdash; are rated 9.2 under CVSS 40, are remote code execution flaws, and have proof-of-concept code in circulation. إذا لمست عقارك الإنترنت العام، هناك فرصة جيدة جدا PHP هو في مكان ما في شعاع الانفجار. A deserialization comment in a framework, a path traversal in a plugin, an SQL injection in a CMS — these are the bread and Fellowship of vulnerability management, and they are almost always scoped to a particular application, a particular module, or a particular formation. CVE-2026-109618 و CVE-2026-109619 ليست كذلك. ويعيشون في المترجم نفسه، في استخدامات جهاز PHP لمعالجة الأخطاء القاتلة والظروف الخارجة عن الذاكرة. هذا يعني أن التعرّض ليس معرّفاً بالتطبيق الذي تديره، لكن بحقيقة أنّك تُدير (بي.إتش بي) على الإطلاق. هذا التمييز مهم جداً لطريقة ردك عندما يكون مركب الـ"سي إس" ضعيفاً، تُعالجُ البلوغَ أَو تُزيله. وعندما يكون الوقت غير مناسب، يرث كل طلب يقدم في ذلك الوقت المتكرر العيب " ؛ وبوابة العملاء، والواكي الداخلية، وموقع التسويق المنسي المصغر من عام 2019، وجهاز البائع الذي يُجمع بشكل هادئ مجموعة لا يوثقها أحد من كبار الشخصيات. تُظهر إرشادات NCSC بالضبط هذا: تحديد منشآت PHP Note: The NCSC explicitly states that organisations using пem.any/. version of PHP are affected and should update to the latest fixed release. لا تفترض النسخة الأخيرة مأمونة إلى أن يؤكد المستشار الاستشاري للبائع أن المواصفات موجودة. وتستخدم آلية مكتبة CHP لكشف الستار عندما يحدث خطأ مميت أو حالة خارجية. في العملية العادية، هذا ضمان مسيطر عليه: شيء ما يحدث خطأ، المترجم يقفز إلى نقطة آمنة معروفة، وتنشأ الحشرات عندما يحدث ذلك الإنقاذ في اللحظة الخاطئة بالضبط، مما يترك تعارضاً داخلياً بين الدولة والولاية. العيب الأول هو مشكلة إدارة تدفق التحكم فعندما تؤدي حالة خارج الذاكرة إلى استهلال نظام " إيكوديونغ جيمب " ، بينما لا تُستهل بيانات الطلب الداخلي إلا جزئيا، يمكن أن يعالج مسار التنظيف ذاكرة غير صالحة وغير مبدئية كما لو كان صحيحا. النتيجة هي فساد الذاكرة ولأن المهاجم يتحكم في الزناد، فإن حالة منظمة الأمم المتحدة للهجرة هي شيء يمكن أن تثور عليه بطلب مصاغ؛ وتصف الوحدة 42 الاستغلال على أنه " قابل للتنفيذ " ، وهي كلمة ينبغي أن يأخذها المدافعون على محمل الجد. Reliable RCE means the barrier between a alien researcher and a working exploit is low./p>. العيب الثاني هو الداعر، وببعض الطرق، أكثر غموضا. هنا، الدولة الداخلية التي تملك الطلب يمكن أن تنجو بعد أن تم تحرير ذاكرتها PHP workers 'mdash; the processes that handle requests, particularly under persistent models like PHP-FPM 'mdash; then pick up the next request and may use that stale state before normal initialisation resets it. وفي الواقع، يمكن أن يترك أحد الطلب ميراثاً مسموماً للميراث التالي الذي يتعامل معه نفس العامل. ويمكن فيما بعد قراءة تلك المناطق المحررة أو تقسيمها، مع وجود رقابة كافية على مخططات السحب، التي تصبح طريقاً إلى تنفيذ المدونة التعسفية. وتقود المنظمة المهاجمة إلى الفساد وإلى فسادها وضبطها/ترتيبها. الخطأ المميت في التعامل مع الأوراق العالمية يشير إلى حرية الذاكرة/التذكرة استؤنفت الولاية القضائية من جديد بطلب لاحق بشأن نفس العامل/العاملة التي أُعيدت إلى الشركة/العاملة/العاملة/الكاتبة/المحلية كلاهما غير ملوث ليس هناك سجل للالتفاف لأنه لا يوجد شيء للتسجيل في " مضمار " ؛ وسطح الهجوم هو الطلب نفسه، قبل أن يكون شفرة تطبيقك أي قول في المسألة. هذا ما يدفع النتيجة إلى 9.2 وما يجعل لغة NCSC مباشرة جداً هذا الرقم يُحسب الخدمات على الإنترنت حيث تُشير البصمة إلى أنّه مُجرّد ظفر ضغط الدم ضعيف، ومن المؤكد تقريباً أنّه مُخدّر عندما تُعامل في الأجهزة، والوصلات البينية الإدارية المتأصلة، والنظم الداخلية التي يمكن الوصول إليها من محطة عمل مُعرّضة للخطر. وتفيد الوحدة 42 أيضاً بأن حكومة أوروبية واحدة على الأقل أخذت موقعها على شبكة الإنترنت على شبكة الإنترنت كإجراء احترازي؛ وهو قرار يخبرك بشيء عن مدى جدية طريقة أخذ اثبات المفهوم من قبل أشخاص رأوه. من أجل المدافع، السؤال غير المريح ليس "هل ندير الشرطة؟" لكن "أين لا نعرف أننا ندير الشرطة؟" :: نظم إدارة المحتوى، ومنابر التذاكر، والرسوم الأمامية لإدارة المخاطر المؤسسية، وأجهزة رصد الطوابق، والأجهزة الشبكية المزودة بوحدات التشغيل الموحدة على شبكة الإنترنت، وأجهزة بناء الخواديم، وصور قاعات الحاويات جميعها بشكل روتيني مع مترجم شفوي من PHP تحتها. The NCSC-NL inventory of software products with a PHP dependency is a useful starting point precisely because it captures that second-order exposure. الحذر: غلطة شائعة في الـ 48 ساعة الأولى من الضعف مثل هذا هو فحص الخيط الإصداري الذي أبلغ عنه مديرو الطرود فقط. وكثيراً ما تُصلّع أو تُصنّف سفن PHP التي لا تعلن عن مستوى رقعتها الحقيقي. معالجة نسخة الكشف كتلميح، وليس حكما. What to do, in priority order أعمال المجلس ذات الأولوية تستحق المتابعة عن كثب، لأنها متتالية بشكل معقول لحادث من هذا الشكل. لا تتصفح بالنسخة Enumerate interpreter installations across servers, containers, and appliances, then rank by external reachability. دفعة إلى آخر نشرة ثابتة لـ PHP. The PHP project has published the security update; apply it and continue to track future releases. إذا كنت في فرع نهاية الحياة، انتقل إلى نسخة مدعمة بالكامل بدلا من تقديم التقارير. مراقبة البائعين من الأطراف الثالثة. التطبيقات والخدمات التي تحتاج إلى تحديثات خاصة بها رصد الاستشارات المتعلقة بالبائعين باستمرار، ليس مرة واحدة. إذا كنت لا تستطيع التصحيح على الفور، تطبيق التخفيف المؤقت الذي نشره فريق PHP. إذا كانت هذه غير عملية أو بطيئة للغاية، اخلع النظام عن الخط. إذا لم تتمكن من تحديث أو تعطيل نظام، و/أو تقييمه لإثبات الحل التوفيقي ولغير المهاجمين لا يزيل الاصطدام على التطفل المقتحم. وهذه النقطة الأخيرة تستحق التركيز. وهذه عيوب غير مشفوعة بدليل عام على المفهوم. فالنافذة بين الإفصاح والاستغلال تقاس في ساعات، لا أسابيع، وعاملة في الشرطة المدنية المهددة مكان ممتاز لإخفاء " المضرب " ، ورث المهاجم امتيازات الخادم الشبكي، ووثائق تفويض قاعدة بياناته، ومركزه الشبكي الخارجي. إذا كان نظاماً قد تم كشفه ولم يتم تجهيزه لأي فترة ذات مغزى، يفترض حلاً توفيقياً إلى أن تُظهر خلاف ذلك، وتُحضر مُقدّماً للردّ على الحوادث المُؤمّنة من المجلس الوطني إذا لم تكن لديك القدرة الداخلية للقيام بذلك التحليل الجنائي. ومن منظور الاختبار، فإن التحدي العملي الذي يواجه الحشرات على مستوى المترجمين الشفويين هو أنهم يتركون بصمات قليلة في سجلات التطبيقات. إن الطلب الذي يحفز منظمة غير حكومية لا يبدو وكأنه هجوم على مأدبكم التابع للمنظمة؛ ويبدو وكأنه حمل كبير، أو تقليد طبي، أو جثة مشوشة بعمق، أو مجرد طلب يطلب أكثر من اللازم. الاستغلال يحدث تحت الطبقة التي يشاهدها سجلك وهذا يعني أن الاكتشاف يجب أن يميل إلى إشارات البنية التحتية: تحطم العمال غير المتوقع وتركيبهم، وضغوط الذاكرة الشاذة على مجمعات PHP-FPM، والمدافن الأساسية التي تظهر حيثما لا ينبغي لها ذلك، والوصلات الخارجية من الخواديم إلى وجهات غير مألوفة. ومن ناحية الوقاية، يمكن للربط الافتراضي من خلال الضوابط الأمنية للشبكات أن يشترى وقتاً " ؛ وقد غطى منع التهديد المسبق من جانب بالو ألتو مع شركة " ليفر " للشحن الافتراضي هذه المواصفات عن طريق التوقيع على الرمز code.543004/code. منذ 20 تشرين الأول/أكتوبر 2026 " ، ولكن التصحيح الافتراضي هو جسر وليس مقصد. The interpreter still needs the real fix./p. recyclingIf you want to validate your own exposure before an attacker does, the genuine approach is to test the runtime directly: confirm the patch level of every interpreter you find, exercise the OOM and fatal-error paths in a controlled environment, and verify that worker state does not leak between requests. وهذا هو بالضبط نوع التقييم على مستوى التفرغ الذي يميل إلى تفويته فحص المطالِب بالطلب، وهو المكان الذي يكتسب فيه اختبار الاختراق المركّز للحفاظ على هشاشة هذه الفئة. وما يجعل CVE-2026-109618 و CVE-2026-109619 ملحوظين ليس أن PHP كان لديه حشرة مؤمنة بالذاكرة؛ وكل قاعدة مشفرة كبيرة في نهاية المطاف. إنه التذكير بأن المترجم هو جزء من سطح الهجوم الخاص بك، وهو الجزء الذي تخزن فيه معظم المنظمات بعناية أقل. ونحن نميل إلى معرفة تطبيقاتنا بشكل وثيق وسرعتنا بالكاد على الإطلاق. عندما تهبط العيوب في الزمان، ذلك عندما يصبح التماثل هو الضعف المنظمات التي تأتي من خلال هذا بشكل نظيف ستكون هي التي كانت لديها بالفعل إجابة موثوق بها لـ "أين يركض حزب العمال الكرواتي، وفي أي نسخة؟" إذا لم يكن لديك ذلك الجواب في 21 تشرين الأول/أكتوبر، البناء الآن هو الشيء الأكثر قيمة الذي يمكنك القيام به هذا الأسبوع، قبل عيب المترجم الشفوي التالي الذي سيتبع حتما