Cognition تطلق إضافة للوكلاء لسد ثغرات PHP وNode.js بتقييم CVSS 9.2

في 21 أكتوبر 2026 صدرت تحديثات أمنية عاجلة لكل من PHP وNode.js، وتتعلق الحالتان بتنفيذ الشيفرة عن بُعد. فقد أُغلقت في PHP ثغرتا PHP2Shell (CVE-2026-109618 وCVE-2026-109619) بتقييم CVSS v4 يبلغ 9.2، ولا يتطلب استغلالهما مصادقة. وفي Node.js أُصلحت 10 ثغرات CVE، أربع منها بتصنيف High. وتقول Cognition، الشركة التي تقف وراء الوكيل Devin، إن الثغرات تُستغل بالفعل بصورة آلية، وقد أتاحت للعموم إضافة تحوّل وكيل البرمجة إلى منفّذ لعملية التصحيح بكاملها.

ما الذي تعطّل تحديدًا

تتكوّن PHP2Shell من خللين. الأول، CVE-2026-109618، هو تلف في الذاكرة بعد نفاد الذاكرة العشوائية. والثاني، CVE-2026-109619، هو حالة عامة قديمة (global state) يتركها أحد الطلبات للطلب التالي. ويتعرض للخطر أي إعداد ويب لـ PHP: PHP-FPM وphp-cgi وFrankenPHP وLiteSpeed وApache mod_php، وهذا الأخير هو الأعلى خطرًا.

أما في Node.js فالمشكلة الرئيسية هي CVE-2026-111497: كتابة خارج حدود المخزن المؤقت في مفكّك Brotli، وقد تؤدي إلى تنفيذ الشيفرة. وينبغي البدء بسد الثغرة في الخدمات المكشوفة على الإنترنت التي تفك ضغط Brotli: عملاء HTTP والخوادم والوكلاء (proxy). وترتبط ثلاث ثغرات أخرى بتصنيف High (CVE-2026-105482 وCVE-2026-105483 وCVE-2026-106069) بـ TLS والتحقق من أسماء المضيفين. وهي خطرة على الخدمات التي تتصل بعناوين يحددها المستخدم.

• PHP: الإصلاحات في الإصدارات 8.2.35 و8.3.36 و8.4.27 و8.5.12؛ أما للإصدارات 7.4 و8.0 و8.1 فنُشرت فقط تصحيحات مُرحَّلة (backports) في الشيفرة المصدرية
• Node.js: الإصدارات 22.23.4 و24.22.1 و26.12.1
• Node.js 20 والإصدارات الأقدم لم تعد مدعومة، ولن تصدر لها تصحيحات، وتبقى الثغرة قائمة؛ لذا يلزم الانتقال إلى 22+
• يحدّث إصدار Node.js مكتبات OpenSSL وc-ares وUndici وSQLite ومخزن CA، وقد أُزيلت منه شهادة الجذر eMudhra

لماذا لا يكفي «التحديث ببساطة»

يختبئ PHP وNode.js في صور الحاويات وحزم نظام التشغيل وخطوط CI وقيم Helm وTerraform وبيئات Lambda، وذلك في عشرات المستودعات. ولا بد من العثور على كل عملية نشر وتحديثها واختبارها وإطلاقها.

وثمة مطبّات. فـ Debian وUbuntu تُرحّلان الإصلاحات دون تغيير إصدار المصدر الأصلي (upstream): ففي Ubuntu 24.04 يسمى الحزمة المصححة 8.3.6-0ubuntu0.24.04.13، وسيظل الأمر `php -v` يُظهر 8.3.6. لذا يجب الرجوع إلى النشرة الأمنية للمورّد أو سجل التغييرات (changelog) الخاص بالحزمة. أما الصور المثبّتة بـ digest فتتطلب digest جديدًا، بينما يجب إعادة بناء الوسوم العائمة مثل php:8.3-fpm على صورة أساسية جديدة. وتعديل require.php أو config.platform.php في Composer لا يعالج شيئًا: فهذه الإعدادات لا تحدد بيئة التشغيل في الإنتاج.

وإذا تعذّر التحديث فورًا، يقترح PHP إجراءات مؤقتة. منها session.upload_progress.enabled=0 مع إعادة تشغيل جميع العمليات العاملة (workers)، وتقييد حجم متن الطلب وعدد أجزاء multipart على الوكيل. ولا يجوز استخدام RLIMIT_AS وRLIMIT_DATA، لأنهما تُشغّلان بنفسيهما مسار الشيفرة المعرّض للثغرة.

كيف تعمل الإضافة

بُنيت إضافة Vulnerability Fixes من العملية التي أصلحت بها Cognition بنيتها التحتية الخاصة. يبدأ الوكيل بجرد للقراءة فقط: Dockerfile والصور الأساسية والحزم وعمليات البناء من المصدر وsetup-php وsetup-node و.nvmrc وTerraform وPacker وAnsible وChef وPuppet. ثم يعرض جدولًا وينتظر لتحدد أي المستودعات يُسمح له بالتعديل عليها. وكل ما يزيد خطره على تغيير إصدار التصحيح (ترقية minor أو major، أو تغيير نظام التشغيل الأساسي، أو تعديلات محتملة على الشيفرة) يضع عليه علامة مسبقًا.

بعد ذلك يقارن الوكيل الوسوم وقيم digest وإصدارات الحزم والمجاميع الاختبارية بالسجلات الرسمية، ويشغّل الاختبارات على الإصدار الحالي كخط أساس، ثم يعيدها على صورة الإنتاج الجديدة، ويقارن بيئات التشغيل: الإضافات وإعدادات ini وإصدارات OpenSSL وICU. وتكون المحصلة طلب دمج (PR) واحدًا لكل مستودع، يتضمن الإصدارات قبل التحديث وبعده ونتائج الاختبارات ووسم المخاطرة وخطة الإطلاق والتراجع.

تتوفر الإضافة في Devin Marketplace، وكذلك على شكل Agent Skills قياسية لكل من Claude Code وCodex وCursor وFactory Droid وGitHub Copilot وGemini CLI وOpenCode: `npx skills add CognitionAI/devin-vuln-fixes`. وتعمل هذه المهارات (skills) بكامل صلاحيات وكيلك، لذا تطلب Cognition قراءتها قبل التشغيل. ويتطلب البناء والاختبار توفر git وshell وDocker والوصول إلى سجل الصور لديك.

من أين نبدأ اليوم

تنصح Cognition بأن يكون أول إجراء هو تعطيل تطبيقات PHP المكشوفة للعموم أثناء التصحيح، لأن الاستغلال مؤتمت. ثم:

• التحقق من الإصدارات وفق نشرة التوزيعة، لا وفق `php -v`
• إعادة بناء الصور ذات الوسوم العائمة واستبدال digest في الصور المثبّتة
• إدراج Node 20 والإصدارات الأقدم في خطة الانتقال إلى 22+
• إطلاق طلبات الدمج الخطرة أولًا على staging أو canary
• إعادة نشر كل خدمة بعد الدمج (merge): فالإصلاح لا يسري إلا في البناء الجديد

لا يتحقق الوكيل إلا مما تغطيه الاختبارات، لذا توصي طلبات الدمج صراحةً باستخدام staging للتطبيقات ضعيفة الاختبار. أما بيئات التشغيل المُدارة فيصلحها المزوّد، وفي الحلول العتادية الخاصة بالمورّدين وتطبيقات Electron التي تضم PHP أو Node مدمجًا، يكتفي الوكيل بوضع علامة للتحديث من جهة المورّد.

وترى Cognition أن مثل هذه الحالات ستصبح أمرًا معتادًا: فسرعة اكتشاف الثغرات تتزايد، بينما يؤتمت المهاجمون سلاسل الاستغلال باستخدام الذكاء الاصطناعي. وتوصي الشركة بمسح سطح الهجوم الخارجي باستمرار، ونقل التطبيقات الداخلية خلف VPN أو ZTNA، والانتقال إلى بيئات تشغيل وحاويات حديثة، والتخلي عن دورات التصحيح البالغة 30 يومًا. وسيعقد مدير الأمن أليكس ستاموس ندوة عبر الإنترنت في 26 أكتوبر الساعة 10:30 بالتوقيت الهادئ.