PHP-FPM: تجاوز قيود الوصول إلى FastCGI عبر IPv6

تم اكتشاف ثغرة في PHP CVE-2026-91768، تتعلق بالتحقق غير الصحيح من عنوان IP في آلية listen.allowed_clients. هذا الإعداد في PHP-FPM يقيّد قائمة العملاء المسموح لهم بالاتصال بـ FastCGI. بسبب خطأ في معالجة IPv6، قارن البرنامج أول 96 بت فقط بدلاً من العنوان الكامل المكون من 128 بت.

يجب أن يكون المهاجم على شبكة يمكن الوصول إلى نقطة نهاية FastCGI منها، ويستخدم عنوان IPv6 تتطابق أول 96 بت منه مع تلك الخاصة بعميل مسموح به. لأن المقارنة غير مكتملة، يسمح الفحص بهذا الاتصال حتى لو لم يتطابق العنوان الكامل مع العنوان المسموح به. يمكن للمهاجم تجاوز قيود الشبكة والوصول إلى FastCGI دون التفويض المطلوب. إذا كانت الواجهة قابلة للوصول من شبكة مخترقة أو مجاورة، فقد يؤدي ذلك إلى تفاعل غير مصرح به مع PHP-FPM والكشف عن بيانات سرية.

المقال: https://daubois.dev/blog/cve-2026-91768-php-fpm-ipv6-allowed-clients-bypass/