أصدر فريق PHP يوم 21 أكتوبر 2026 تحديثات أمنية عاجلة لإصلاح ثغرتين خطيرتين قد تسمحان بتنفيذ تعليمات برمجية على الخادم دون تسجيل الدخول. وتُعرف الثغرتان المتداولتان باسم PHP2Shell، وتحملان المعرّفين CVE-2026-109618 وCVE-2026-109619.
بالنسبة لصاحب موقع أو متجر إلكتروني، السؤال العملي الآن هو: هل يستخدم موقعي نسخة متأثرة، ومن المسؤول عن تحديثها؟ إليك ما تأكد حتى 22 أكتوبر 2026.
ما هي PHP ولماذا يهم هذا الخبر؟
PHP لغة برمجة تعمل على الخادم لتوليد صفحات المواقع والتعامل مع قواعد البيانات ووظائف التطبيقات. لذلك، قد تظهر آثار مشكلة أمنية فيها على مواقع وخدمات متعددة، حتى لو كانت واجهاتها مختلفة تمامًا.
وأوضح المركز الوطني للأمن السيبراني البريطاني أن المشكلة قد تتيح للمهاجمين تنفيذ أوامر على خوادم تستخدم PHP، ودعا المؤسسات إلى اتخاذ إجراءات عاجلة. وجود موقع يعمل بصورة طبيعية لا يكفي وحده للحكم على سلامة نسخته.
ما خطورة ثغرتي PHP2Shell؟
وفق Google Cloud، حصلت كل ثغرة على درجة خطورة 9.2 ضمن نظام CVSS. وترتبط المشكلتان بطريقة إدارة الذاكرة والحالة الداخلية للطلبات في PHP، وقد تفتحان المجال لتنفيذ تعليمات برمجية عن بُعد أو كشف محتويات من الذاكرة.
لكن إعلان وجود ثغرة لا يعني أن كل موقع يستخدم PHP قد اختُرق بالفعل. يجب التمييز بين وجود نسخة معرضة للخطر وبين اكتشاف اختراق فعلي، وهو أمر يحتاج إلى فحص النظام وسجلاته.
هل صدر إصلاح رسمي؟
نعم. أكد CERT-EU صدور الإصلاحات يوم 21 أكتوبر في الإصدارات التالية:
سلسلة PHP| الإصدار الذي يتضمن الإصلاح
PHP 8.2| 8.2.35
PHP 8.3| 8.3.36
PHP 8.4| 8.4.27
PHP 8.5| 8.5.12
لذلك، إذا صادفت خبرًا قديمًا يقول إن الإصلاح لم يصدر بعد، فتحقق من توقيت نشره. تطورت المعلومات خلال يوم الإعلان نفسه، وأصبحت التحديثات متاحة بالفعل.
ماذا يفعل صاحب الموقع الآن؟
الخطوة الأساسية هي التأكد من تطبيق إصلاح PHP على الخادم. ويشدد فريق PHP على أن الإجراءات المؤقتة لا توفر حماية كاملة بديلة عن التحديث.
إذا كنت تستخدم استضافة مُدارة، اطلب من الدعم تأكيد تطبيق إصلاحي الثغرتين بالمعرّفين المذكورين. وقد توفر بعض شركات أنظمة التشغيل إصلاحات مدمجة في حزمها؛ لذلك اسأل عن حالة الحزمة الأمنية، ولا تعتمد على رقم الإصدار الظاهر وحده.
يمكنك إرسال هذا السؤال إلى شركة الاستضافة:
«هل جرى تطبيق إصلاحات CVE-2026-109618 وCVE-2026-109619 على الخادم الذي يستضيف موقعي؟ أرجو تأكيد إصدار PHP وحالة التحديث الأمني».
واحتفظ بنسخة احتياطية قبل تغيير بيئة تشغيل موقعك، ثم اختبر الصفحات وتسجيل الدخول والنماذج بعد التحديث.
ما علاقة الذكاء الاصطناعي بهذه القضية؟
توضح Wiz أن نماذج الذكاء الاصطناعي ساعدت الباحثين على تطوير اختبارات عملية وتكييفها مع تطبيقات مختلفة، وهي أعمال كانت تتطلب وقتًا وخبرة كبيرين.
هذه نقطة تستحق الانتباه: الذكاء الاصطناعي يساعد على اكتشاف العيوب والتحقق من إصلاحها، لكنه يضغط أيضًا على الوقت المتاح للمدافعين للاستجابة. ولهذا تصبح متابعة التحديثات الأمنية جزءًا أساسيًا من إدارة أي موقع.
تحديث: ماذا أُعلن بعد إصلاحات 21 أكتوبر؟
إضافة بتاريخ 27 أكتوبر 2026: نشر فريق PHP يوم 23 أكتوبر تنبيهًا عن الثغرة CVE-2026-115560. ترتبط هذه المشكلة بتركيبة غير معتادة من إعدادات الجلسات وكود التطبيق؛ لذلك لا يصح وصفها بأنها تؤثر بالطريقة نفسها في جميع المواقع التي تستخدم PHP.
يوصي التنبيه بتعطيل ميزة تتبع تقدم رفع الملفات عبر الإعداد session.upload_progress.enabled=0 إلى حين الإصدار التصحيحي المعتاد. ويوصي CERT-EU بإعادة تشغيل عمليات PHP العاملة بعد تطبيق الإعداد. إذا كنت تستخدم استضافة مُدارة، اطلب من الدعم مراجعة انطباق التنبيه على بيئتك وتنفيذ الإجراء المناسب.
هذا التنبيه منفصل عن إصلاحي CVE-2026-109618 وCVE-2026-109619؛ وتبقى ترقية PHP إلى الإصدارات المصححة المذكورة في المقال ضرورية لمعالجة الثغرتين الأصليتين.
تنبيه إضافي لمستخدمي PHP على Windows
أصدر الفريق يوم 26 أكتوبر حزم Windows المحدثة: 8.5.12-1 و8.4.27-1 و8.3.36-1 و8.2.35-1، لمعالجة مشكلة منفصلة في مكتبة Brotli. اللاحقة -1 تعني إعادة بناء حزمة Windows بتبعيات محدثة، مع بقاء إصدار PHP الأساسي نفسه.
مصادر التحديث
