في هذا المقال
إذا كان موقع شركتك أو متجرها يعمل على ووردبريس أو ماجنتو أو لارافيل أو أي نظام مبني بلغة PHP، فاطلب من مستضيفك أو فريقك التقني اليوم تحديث PHP إلى الإصدار 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، ثم إعادة تشغيل الخادم. أصدر مشروع PHP هذه الإصدارات في 21 أكتوبر 2026 لسد ثغرتين حرجتين باسم PHP2Shell، درجة كل منهما 9.2 من 10، تسمحان للمهاجم بتشغيل أوامره على خادمك دون أي كلمة مرور. وأصدر المركز الوطني الإرشادي للأمن السيبراني في اليوم نفسه تنبيها بخطورة «حرجة» يوصي بالتحديث، ورصدت شركات أمنية محاولات استغلال قبل نشر الإصلاح بساعات.
ما الذي حدث بالضبط؟
الثغرتان تحملان الرقمين CVE-2026-109618 وCVE-2026-109619، وهما في لغة PHP نفسها، لا في إضافة أو قالب. هذا هو الفرق المهم: في مقالنا السابق عن إصلاحات ووردبريس التي تحولت إلى دليل للمهاجمين كان الخلل في برنامج فوق PHP، أما هنا فالخلل في الأساس الذي تقوم عليه كل هذه البرامج. لذلك لا يحميك أن يكون ووردبريس عندك محدثا، ولا أن تكون إضافاتك قليلة.
بحسب نشرة PHP الأمنية الأولى، الثغرة الأولى تظهر حين تنفد ذاكرة الطلب أثناء تجهيزه، فيترك PHP بيانات غير مكتملة يعاملها لاحقا كأنها سليمة. وبحسب النشرة الثانية، الثغرة الأخرى تترك بيانات من طلب سابق معلقة بعد حذفها، فيستعملها الطلب التالي على العامل نفسه. النتيجة في الحالتين واحدة: طلب ويب مصنوع بعناية يكفي لتشغيل أوامر على الخادم.
اكتشف الثغرتين فريق Wiz Research مستعينا بنماذج ذكاء اصطناعي، ويقول في تقريره إنه وجدها في 19 أغسطس 2026، وأبلغ فريق PHP في 24 أغسطس، وإن كل إصدار من PHP منذ 5.4 يتأثر بواحدة منهما على الأقل. ويقدّر الفريق أن PHP يشغّل نحو 70% من مواقع الإنترنت.
هل موقعي متأثر؟
غالبا نعم إذا كان يعمل بلغة PHP وإصداره أقدم من الأرقام أعلاه. أثبت فريق Wiz تشغيل أوامر عن بعد دون تسجيل دخول على ووردبريس ودروبال وجوملا بإعداداتها الافتراضية. ووسّعت شركة Sansec القائمة في تحليلها إلى 11 منصة، منها ماجنتو 2.4.9 وووردبريس 7.1.2 ولارافيل 13.11 وسيمفوني 8.1 وphpMyAdmin وNextcloud وWHMCS.
لمعرفة إصدار PHP عندك، افتح لوحة الاستضافة (cPanel أو Plesk أو غيرها) وابحث عن «PHP Version»، أو اسأل فريقك. وانتبه لنقطتين:
- الإصدار 8.1 وما قبله خارج الدعم ولن يصله إصلاح. بحسب جدول الإصدارات المدعومة في PHP، الفروع المدعومة الآن هي 8.2 و8.3 و8.4 و8.5 فقط.
- الفرع 8.2 نفسه ينتهي دعمه الأمني في 31 ديسمبر 2026، أي بعد شهرين ونصف. إذا كنت ستحدث الآن، فانتقل إلى 8.4 أو 8.5 وأرح نفسك من ترقية ثانية قريبة.
ماذا تفعل اليوم؟ خمس خطوات
- اعرف أين يعمل PHP عندك. الموقع، والمتجر، ولوحة الإدارة، وأي نظام داخلي أو بوابة عملاء. كثير من الشركات تنسى موقعا قديما ما زال يعمل.
- حدّث إلى إصدار مصحح. 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35. إذا كانت الاستضافة مشتركة، فاسأل المستضيف كتابيا: هل طبقتم تحديث 21 أكتوبر؟
- أعد تشغيل PHP بعد التحديث. تذكر نشرة PHP أن العامل الذي لم يُعد تشغيله يبقى على الإصدار القديم، فلا يكفي تنزيل التحديث.
- إن كان موقعك على 8.1 أو أقدم، فخطط للترقية هذا الأسبوع، واختبرها على نسخة تجريبية أولا لأن بعض الإضافات القديمة قد لا تعمل.
- راجع السجلات. يوصي فريق Wiz بالبحث عن طلبات رفع ملفات غير معتادة تليها أخطاء نفاد الذاكرة، أو أخطاء 500 متكررة، أو ملفات تعريف جلسة (PHPSESSID) كبيرة أو مشوهة.
إذا لم تستطع التحديث اليوم
تقترح نشرات PHP حلولا مؤقتة تخفف الخطر ولا تغني عن التحديث: إيقاف الإعداد session.upload_progress.enabled بجعله 0 ثم إعادة تشغيل كل العمال، وعلى الإصدار 8.5 جعل fatal_error_backtraces يساوي 0. وإذا كان موقعك لا يستقبل رفع ملفات أصلا، فيمكن حجب طلبات النماذج متعددة الأجزاء (multipart) من الخادم الأمامي.
وإن كان موقعك خلف Cloudflare، فقد نشرت الشركة في مدونتها قواعد جدار حماية لهذه الثغرات منذ الساعة 3:02 فجرا بتوقيت غرينتش يوم 21 أكتوبر، أي قبل الإعلان بنحو 9 ساعات، وهي متاحة لكل الباقات بما فيها المجانية. لكن Cloudflare نفسها تنصح بتحديث PHP حتى مع هذه الحماية، لأن المهاجمين يعدلون طرقهم.
رأي أوريجامي
هذه الثغرة تذكير بأن أمن الموقع لا يتوقف عند تحديث ووردبريس وإضافاته. تحت كل موقع لغة برمجة وخادم وإعدادات، وكلها تحتاج من يتابعها. ما نراه كثيرا عند الشركات أن الموقع بُني قبل سنوات، ثم لم يعد أحد يعرف إصدار PHP الذي يعمل عليه أو من يملك صلاحية تحديثه. إذا كان هذا وضعك، فالسؤال لم يعد «هل نحدّث؟» بل «من يحدّث اليوم؟». في أوريجامي نبني المواقع والأنظمة ونراقب تحديثاتها من البداية، وإذا أردت فحص موقعك أو ترقية PHP دون أن يتوقف، تواصل معنا.
المصادر
- المركز الوطني الإرشادي للأمن السيبراني: تنبيه PHP رقم 2026-7949
- PHP: إعلان إصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 بتاريخ 21 أكتوبر 2026
- PHP على GitHub: نشرة CVE-2026-109618
- PHP على GitHub: نشرة CVE-2026-109619
- PHP: جدول الإصدارات المدعومة
- Wiz Research: تقرير PHP2Shell
- Cloudflare: حماية جدار الحماية من ثغرات PHP2Shell
- Sansec: تحليل PHP2Shell والمنصات المتأثرة
أسئلة شائعة
هل ثغرة PHP2Shell تهدد موقع شركتي إذا كان على ووردبريس محدث؟
نعم. الثغرتان في لغة PHP نفسها لا في ووردبريس، وأثبت الباحثون تشغيل أوامر دون تسجيل دخول على ووردبريس بإعداداته الافتراضية. الحماية تكون بتحديث PHP إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 ثم إعادة تشغيل الخادم.
ما إصدارات PHP التي تسد ثغرة PHP2Shell؟
الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 الصادرة في 21 أكتوبر 2026. الإصدار 8.1 وما قبله خارج الدعم ولن يصله إصلاح، فيجب ترقيته إلى فرع مدعوم.
كيف أعرف إصدار PHP في موقعي؟
من لوحة الاستضافة مثل cPanel أو Plesk في خانة «PHP Version»، أو اسأل المستضيف أو فريقك التقني. واطلب منهم تأكيدا مكتوبا أنهم طبقوا تحديث 21 أكتوبر وأعادوا تشغيل PHP.
موقعي خلف Cloudflare، هل يكفي ذلك؟
لا يكفي وحده. نشرت Cloudflare قواعد حماية لكل الباقات بما فيها المجانية، لكنها تنصح بتحديث PHP أيضا لأن المهاجمين يغيرون طرقهم باستمرار.
تابع أوريجامي في نتائج قوقل
ثبت أوريجامي كمصدر مفضل، فتظهر لك مقالاتنا أولا في نتائج قوقل وفي الأخبار الرائجة.
الإضافة إلى المصادر المفضلة في Google
