في هذا المقال
إذا حدثت PHP في موقع شركتك إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 بعد ثغرة PHP2Shell، فهذه خطوة صحيحة لكنها لا تغطي كل شيء. في 23 أكتوبر 2026 نشر مشروع PHP تنبيها جديدا عن ثغرة ثالثة برقم CVE-2026-115560 لا يصلحها تحديث 21 أكتوبر. الثغرة تحتاج إعدادا نادرا، ويصفها المشروع بأنها مسار غير مرجح، لكن علاجها المؤقت بسيط: اطلب من فريقك أو مستضيفك اليوم ضبط session.upload_progress.enabled على 0 وإعادة تشغيل PHP، ثم التأكد كتابيا أن تحديث 21 أكتوبر طبق فعلا.
ماذا أعلن مشروع PHP في 23 أكتوبر؟
بعد يومين من التحديث الطارئ، نشر المشروع تنبيها معلوماتيا قصيرا عن خاصية «تتبع تقدم الرفع» في الجلسات، وهي الخاصية التي تعرض للمستخدم نسبة تقدم رفع ملف كبير. يقول التنبيه إن هذه الخاصية قد تفتح مسارا لتشغيل أوامر عن بعد في حالة واحدة، وإن الإصلاح سيأتي مع الإصدار الدوري القادم لا في تحديث طارئ، مع نشرة كاملة للثغرة حينها.
المهم لصاحب العمل نقطتان. الأولى أن هذه ثغرة منفصلة، فلا يكفي أن تكون حدثت إلى الإصدارات الأربعة المذكورة. والثانية أن الإجراء المؤقت نفسه كان مذكورا في نشرة الثغرة CVE-2026-109619 يوم 21 أكتوبر، فإن كان فريقك طبقه وقتها فلا يحتاج شيئا جديدا، ويبقيه كما هو.
هل موقعك معرض لها؟
بحسب تنبيه PHP، لا تظهر المشكلة إلا إذا اجتمعت ثلاثة شروط معا:
- إعدادات PHP تضبط session.serialize_handler على php_binary أو php_serialize.
- كود التطبيق يغير هذا الإعداد إلى php أثناء التشغيل بالدالة ini_set() قبل بدء الجلسة.
- خاصية تتبع تقدم الرفع ما زالت مفعلة، وهي مفعلة افتراضيا.
معظم المواقع لا تفعل ذلك، لكن المشكلة أن صاحب العمل لا يعرف عادة ما يفعله كل سطر في نظام بني قبل سنوات أو في إضافة قديمة. لذلك الخيار الأسلم: إذا لم يكن موقعك يعرض شريط تقدم لرفع الملفات، فإيقاف الخاصية لا يكسر شيئا ويغلق الباب. أما إذا كان يعتمد عليها، فليسأل فريقك المطور هل يغير الكود هذا الإعداد أثناء التشغيل.
بعد 3 أيام: تأكد أن تحديث 21 أكتوبر طبق فعلا
الثغرتان الأصليتان CVE-2026-109618 و CVE-2026-109619 ما زالتا الخطر الأكبر. أصدر المركز الوطني الإرشادي للأمن السيبراني تنبيها برقم 2026-7949 بشأنهما، وأوصت وكالة الأمن السيبراني الأمريكية CISA بحصر كل أنظمة PHP، وتقديم المكشوفة على الإنترنت، وإيقاف النظام إن تعذر تحديثه فورا. وذكرت الوكالة أنها لم ترصد استغلالا ناجحا حتى وقت النشر، وهذا لا يعني أن الوقت في صالحك.
ثلاث نقاط يغفل عنها كثيرون:
- إعادة التشغيل لا إعادة التحميل. تنص نشرة ريد هات على أن تغيير الإعدادات يحتاج إعادة تشغيل عمليات PHP، وأن إعادة التحميل وحدها لا تكفي.
- رقم الإصدار قد يختلف على خوادم لينكس. يقول إعلان PHP إن توزيعات لينكس تسلمت الإصلاحات مسبقا، فقد ترى رقما مختلفا عن 8.5.12 مثلا رغم أن الإصلاح مطبق. اطلب من مستضيفك تأكيدا مكتوبا لا رقما فقط. وتشير ريد هات إلى أن أنظمة RHEL 8 و9 و10 كلها متأثرة.
- طريقة التشغيل تغير درجة الخطر. يعتبر مشروع PHP أن الخطر أعلى مع mod_php على خادم Apache، بينما تقول ريد هات إن الاستغلال أصعب عمليا مع PHP-FPM الافتراضي. أصعب لا يعني مستحيلا، فالتحديث يبقى ضروريا للحالتين.
5 أسئلة ترسلها لمستضيفك أو فريقك اليوم
- ما إصدار PHP على كل موقع ونظام عندنا، وهل يتضمن إصلاحات 21 أكتوبر 2026؟
- هل أعيد تشغيل عمليات PHP بعد التحديث، لا مجرد إعادة تحميل؟
- هل ضبطنا session.upload_progress.enabled على 0؟ وإن لم نفعل، هل نحتاج الخاصية فعلا؟
- هل يغير كود موقعنا إعداد session.serialize_handler أثناء التشغيل؟
- هل عندنا موقع على 8.1 أو أقدم؟ هذه الفروع خارج الدعم، وجدول الإصدارات المدعومة يبين أن دعم 8.2 الأمني ينتهي في 31 ديسمبر 2026.
نظرة أوريجامي
توالي ثلاثة تنبيهات في ثلاثة أيام أمر طبيعي بعد ثغرة كبيرة: حين يفحص الباحثون جزءا من اللغة يجدون ما حوله. لكنه يكشف شيئا عن الشركات أيضا، فمن حدث يوم 21 وأغلق الملف سيفوته تنبيه 23. الأمن هنا متابعة لا مهمة تنجز مرة واحدة.
ما نراه في المنشآت السعودية أن السؤال الصعب ليس «ما الثغرة؟» بل «من عندنا يقرأ تنبيه PHP صباح الجمعة ويعرف أي خادم يخصنا؟». في أوريجامي نبني المواقع والأنظمة ونتابع تحديثاتها من أول يوم، وإذا أردت فحص موقعك أو ضبط هذه الإعدادات دون توقف الخدمة، تواصل معنا.
الخلاصة
تحديث 21 أكتوبر ضروري وما زال الأهم، والتنبيه الجديد لا يغير ذلك. أضف إليه اليوم خطوة واحدة رخيصة: إيقاف تتبع تقدم الرفع ما لم تحتجه، مع إعادة تشغيل PHP، ثم تأكيد مكتوب من مستضيفك. وراقب الإصدار الدوري القادم من PHP لأنه سيحمل الإصلاح النهائي للثغرة CVE-2026-115560.
مصادر
- PHP: تنبيه معلوماتي عن تتبع تقدم الرفع في الجلسات، 23 أكتوبر 2026
- PHP: النشرة الأمنية الطارئة وإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، 21 أكتوبر 2026
- PHP على GitHub: نشرة الثغرة CVE-2026-109619
- المركز الوطني الإرشادي للأمن السيبراني: تنبيه PHP رقم 2026-7949
- CISA: ثغرات حرجة في PHP تتطلب تحديثا فوريا
- Red Hat: النشرة RHSB-2026-013 عن ثغرات PHP الثلاث
- PHP: جدول الإصدارات المدعومة
أسئلة شائعة
هل يكفي تحديث PHP إلى 8.5.12 أو 8.4.27 لحماية موقعي؟
يكفي للثغرتين الحرجتين في PHP2Shell، لكنه لا يصلح الثغرة الجديدة CVE-2026-115560 التي أعلن عنها في 23 أكتوبر 2026. لها يوصي مشروع PHP بضبط session.upload_progress.enabled على 0 حتى الإصدار الدوري القادم.
هل يتعطل موقعي إذا أوقفت خاصية تتبع تقدم الرفع؟
غالبا لا. الخاصية تعرض شريط تقدم أثناء رفع الملفات، ومعظم المواقع لا تستخدمها. إذا كان موقعك يعرض هذا الشريط فاسأل فريقك قبل إيقافها، وفي كل الحالات أعد تشغيل PHP بعد التغيير.
مستضيفي يقول إن الإصدار عندنا مختلف عن الأرقام المعلنة، فهل نحن معرضون؟
ليس بالضرورة. توزيعات لينكس تسلمت الإصلاحات مسبقا وقد تحمل أرقاما مختلفة. اطلب من مستضيفك تأكيدا مكتوبا بأن إصلاحات 21 أكتوبر 2026 مطبقة وأن عمليات PHP أعيد تشغيلها.
متى يصدر الإصلاح النهائي للثغرة الجديدة؟
يقول مشروع PHP إنه سيصلحها في الإصدار الدوري القادم وسينشر معه نشرة كاملة، لا في تحديث طارئ، لأن الإعداد المطلوب لاستغلالها نادر. حتى ذلك الحين يبقى الإجراء المؤقت هو الحماية.
تابع أوريجامي في نتائج قوقل
ثبت أوريجامي كمصدر مفضل، فتظهر لك مقالاتنا أولا في نتائج قوقل وفي الأخبار الرائجة.
الإضافة إلى المصادر المفضلة في Google
