باختصار: اكتُشفت ثغرتان حرجتان في لغة PHP نفسها، وهي اللغة التي تعمل بها مواقع ووردبريس وووكومرس ولارافيل ودروبال ومعظم المتاجر الإلكترونية. تسمح الثغرتان للمهاجم بتنفيذ أوامر على الخادم دون تسجيل دخول، وبدأت الهجمات قبل أن تُحدِّث مواقع كثيرة أنظمتها. والحل هو تحديث PHP اليوم، أو الحصول على تأكيد مكتوب من شركة الاستضافة بأنها حدّثته بالفعل.
ماذا حدث؟
في 20 أكتوبر 2026 أعلن فريق PHP مسبقًا عن تحديث أمني عاجل، وفي 21 أكتوبر أصدر النسخ 8.5.12 و8.4.27 و8.3.36 و8.2.35. يعالج التحديث ثغرتين هما CVE-2026-109618 وCVE-2026-109619، وتُعرفان معًا باسم PHP2Shell. تبلغ خطورة كل منهما 9.2 من 10 وفق مقياس CVSS v4.0، وتتيح كل منهما لمهاجم عن بُعد تنفيذ أوامر على الخادم دون حساب.
تسرّبت التفاصيل قبل موعد الإفصاح المخطط له، وأبلغ باحثون أمنيون عن هجمات فعلية على مواقع حقيقية. ويؤكد فريق PHP أن التحديث هو الحل الكامل الوحيد.
هل موقعك متأثر؟
إذا كان موقعك أو متجرك أو لوحة التحكم الخاصة بك تعمل بـ PHP، فاعتبره متأثرًا حتى تتحقق. ويشمل ذلك كل ما هو مبني على:
- ووردبريس وووكومرس
- لارافيل (بما فيها لوحات التحكم المبنية بـ Filament أو Livewire)
- دروبال وجوملا
- ماجنتو وبريستاشوب وأوبن كارت
- الأنظمة ولوحات التحكم المخصصة المكتوبة بـ PHP
الثغرة في PHP نفسها، وليست في إضافة أو قالب أو في كود المطوّر. لذلك قد يكون موقع ووردبريس أو لارافيل المحدَّث بالكامل معرّضًا للخطر إذا كانت نسخة PHP على الخادم قديمة. في فرع 8.4 كل نسخة أقدم من 8.4.27 متأثرة، وفي فرع 8.5 كل نسخة أقدم من 8.5.12.
تفصيلة مهمة: كثيرًا ما تُصلح شركات الاستضافة وتوزيعات لينكس الثغرة دون تغيير رقم النسخة. فالخادم الذي يُظهر 8.4.26 قد يكون مُصلحًا وقد لا يكون، ولا يستطيع تأكيد ذلك إلا مزوّد الاستضافة.
لماذا تحدث؟ (بلغة مبسطة)
- CVE-2026-109618: عندما تنفد الذاكرة أثناء تجهيز PHP لطلب ما، قد يتوقف في منتصف الطريق. ثم تتعامل عملية التنظيف اللاحقة مع البيانات غير المكتملة على أنها سليمة، وهذا ما يستغله المهاجم.
- CVE-2026-109619: قد تبقى بيانات تخص طلبًا ما بعد تحرير الذاكرة التي كانت تشير إليها، فيعيد الطلب التالي على العملية نفسها استخدامها، وهذا أيضًا قد يؤدي إلى تنفيذ أوامر.
ماذا يستطيع المهاجم أن يفعل؟
- سرقة بيانات العملاء: الأسماء وأرقام الهواتف والبريد الإلكتروني والطلبات والفواتير.
- قراءة أسرارك: كلمات مرور قواعد البيانات ومفاتيح الربط مع خدمات الدفع وواتساب والبريد.
- زرع كود خبيث: تحويل زوارك إلى صفحات احتيال أو سرقة بيانات بطاقاتهم أثناء الدفع.
- إيقاف الموقع أو تشويهه: خسارة المبيعات والحجوزات وضرر لسمعة علامتك.
- مسؤولية قانونية: لتسرّب البيانات الشخصية تبعات وفق قانون حماية البيانات الشخصية المصري (القانون رقم 151 لسنة 2020) والقوانين المماثلة في الخليج.
كيف تعالج المشكلة؟
- اعرف نسخة PHP التي يعمل بها موقعك: اسأل المطوّر أو مزوّد الاستضافة، أو راجع لوحة تحكم الاستضافة.
- حدّث إلى نسخة مُصلحة: 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 أو أحدث.
- تعمل على PHP 8.1 أو أقدم؟ لا يوجد إصلاح رسمي لهذه الفروع، فانتقل إلى نسخة مدعومة (ينتهي دعم PHP 8.2 نفسه في 31 ديسمبر 2026، لذا الأفضل الانتقال إلى 8.3 أو أحدث).
- استضافتك مُدارة أو مشتركة؟ اطلب من المزوّد تأكيدًا مكتوبًا بتثبيت إصلاح الثغرتين CVE-2026-109618 وCVE-2026-109619.
- أضف جدار حماية لتطبيقات الويب (WAF) كطبقة إضافية؛ فهو يساعد لكنه لا يغني عن التحديث.
- تأكد أن الموقع لم يُخترق بالفعل: ابحث عن حسابات مدير لا تعرفها، وملفات PHP جديدة في مجلدات الرفع، وملفات أساسية تغيّرت مؤخرًا، وحركة صادرة غير معتادة. وإن لاحظت شيئًا مريبًا فغيّر كلمات مرور قواعد البيانات ومفاتيح الربط بعد التحديث.
تحديث: ثغرة ثالثة أقل خطورة (CVE-2026-115560)
في 23 أكتوبر 2026 كشف فريق PHP عن ثغرة أخرى قد تؤدي إلى تنفيذ أوامر، لكن في التطبيقات ذات إعدادات الجلسات غير المعتادة فقط، ويرى الفريق أنها لن تمس معظم المواقع. وإلى أن يصدر إصلاحها في تحديث دوري، يوصي PHP بإيقاف ميزة تتبع تقدم الرفع في الجلسات (session.upload_progress.enabled = 0) إن لم تكن تستخدمها.
ما الذي فعلناه من جهتنا
في شركة نكسورا لتكنولوجيا المعلومات راجعنا نسخة PHP على خوادمنا، وأوقفنا إظهار نسخة PHP في استجابات مواقعنا، وعطّلنا تتبع تقدم الرفع في الجلسات، وطلبنا من مزوّد الاستضافة تأكيدًا مكتوبًا بتثبيت الإصلاح. وإن كنا نبني موقعك أو نتولى صيانته، فسنتواصل معك بشأنه.
كيف تتجنب الثغرة القادمة؟
- احتفظ بقائمة محدّثة بكل مواقعك، ونظام إدارة المحتوى أو إطار العمل في كل منها، ونسخة PHP التي يعمل بها.
- اعتمد نسخ PHP المدعومة فقط.
- اجعل التحديثات دورية، واختبرها أولًا على نسخة تجريبية من الموقع.
- ضع جدار حماية ومراقبة أمام مواقعك، مع تنبيهات للنشاط غير المعتاد.
- احتفظ بنسخ احتياطية تلقائية خارج الخادم، حتى يكون اليوم السيئ مجرد استعادة لا إعادة بناء.
- راجع الأمان بانتظام، لا عند ظهور الأخبار فقط.
لست متأكدًا من وضع موقعك؟
أرسل لنا رابط موقعك على support@nexora-portal.com أو من خلال صفحة التواصل. سنفحص نسخة PHP وإعدادات الاستضافة، ونخبرك بوضوح أين تقف، ونساعدك في معالجة ما نجده.