- هذا الإصدار تحديث أمني يمنع الأطراف الخارجية من التلاعب بالخوادم التي تعمل بلغة PHP. وبحسب مشروع PHP، فإن الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 تعالج ثغرتين تسمحان لمهاجم دون مصادقة بتنفيذ شيفرة على الخادم ضمن شروط معينة.
- تُفسد الثغرة الأولى البيانات الداخلية في اللحظة التي يصل فيها طلب إلى حد استخدام الذاكرة تماماً (memory_limit). وتعيد الثانية استخدام ذاكرة طلب سابق بعد خطأ قاتل. ويذكر المقال الأصلي أن تنفيذ الشيفرة عن بُعد جرى عرضه بالإعدادات الافتراضية في بيئة Apache mod_php.
- وبحسب المقال الأصلي، ظهرت مؤشرات المشكلة الأولى لأول مرة خلال تدقيق خارجي في 2024، لكن لم يتم التأكد من مسار هجوم فعلي في ذلك الوقت. ثم كشفت تقارير من Calif وOpenAI وWiz نطاق التأثير، فأصبحت أولوية قصوى منذ أغسطس.
- في أكتوبر 20، تسربت معرّفات الثغرات أولاً إلى المنتديات ووسائل التواصل الاجتماعي، فقدّم فريق PHP موعد الإشعار المسبق وقدّم موعد الإصدار يوماً واحداً. ونشرت شركة أمنية بالخطأ فيديو إثبات مفهوم، وبحسب المقال الأصلي وزّعت Chainguard صورة تتضمن الإصلاح قبل الكشف العلني.
O: قد يكون هذا مفيدًا لمسؤول يشغّل PHP 8.4 أو 8.5 على خادم ويب داخلي، عندما يقارن قائمة الإصدارات التي نُشرت اليوم بالنسخ المثبتة ويحدد ترتيب التحديث بالرجوع إلى توصية php.net.
X: وصف الثغرة وإمكانية الهجوم في هذه المقالة هما ادعاء من مشروع PHP الذي أعلن الثغرة، لذا ينبغي قراءة حجم الضرر على أنه شرح من جهة الإعلان.