احجز استشارة
EN احجز استشارة
تنبيه أمني · ثغرة PHP حرجة · أكتوبر ٢٠٢٦

php2shell: تنفيذ أوامر عن بُعد في PHP دون مصادقة

ثغرتان حرجتان في محرّك PHP نفسه (CVE-2026-109618 و CVE-2026-109619) تتيحان لمهاجمٍ غير مُصادَق تنفيذ أوامر على خادمك. تؤثران على كل تطبيق PHP مهما كانت جودة شيفرته، وقد بدأ استغلالهما فعليًا. صدرت التصحيحات في ٢١ أكتوبر ٢٠٢٦.

افحص مدى تعرّضك الآن هل أنا متأثر؟
  • CVSS 9.2 — حرجة
  • دون مصادقة
  • يُستغَل فعليًا · على قائمة CISA KEV
  • في محرّك PHP — كل تطبيق متأثر
٠١ — نظرة عامة

ما هي php2shell؟

«php2shell» هو الاسم الذي أُطلق على ثغرتين حرجتين كُشفتا معًا في محرّك PHP في أكتوبر ٢٠٢٦. المشكلة ليست في شيفرة تطبيقك، بل في PHP نفسه الذي يعالج الطلب قبل أن تصل إلى شيفرتك — لذلك لا تحميك المصادقة على مستوى التطبيق، ويبقى الموقع عُرضةً حتى لو كان كوده سليمًا تمامًا.

تنشأ الثغرتان من أخطاء في إدارة الذاكرة أثناء معالجة الطلبات، ويمكن لمهاجمٍ بعيد وغير مُصادَق استغلالهما للوصول إلى تنفيذ الأوامر على الخادم (RCE) أو لتسريب محتوى الذاكرة.

CVE-2026-109618

تلف الذاكرة عند نفاد الذاكرة (OOM)

يتخلّى PHP عن الطلب عند فشل تخصيص الذاكرة، فتُستخدَم بياناتٌ داخلية نصف مُهيّأة أثناء التنظيف.

CVE-2026-109619

استخدام بعد التحرير (Use-After-Free)

تبقى حالةٌ من طلبٍ سابق تشير إلى ذاكرة محرَّرة، فيقرأها طلبٌ لاحق على العامل نفسه.

٠٢ — الأنظمة المتأثرة

هل أنت متأثر؟

الثغرتان في محرّك PHP، وتؤثران على جميع واجهات التشغيل: PHP-FPM و Apache mod_php و php-cgi و FrankenPHP و LiteSpeed. أي منصة تعمل بـ PHP — بما فيها Magento و WooCommerce و Shopware و WordPress — متأثرة ما لم تُحدَّث.

كودك النظيف لا يكفي. يعالج PHP الطلب قبل تشغيل شيفرتك، فلا تمنع المصادقةُ ولا مراجعاتُ الكود هذه الثغرة. التحديث هو الحل.

PHP 8.5

مُصحّحة في 8.5.12

PHP 8.4

مُصحّحة في 8.4.27

PHP 8.3

مُصحّحة في 8.3.36

PHP 8.2

مُصحّحة في 8.2.35

PHP 8.1 وأقدم

منتهية الدعم — لا تصحيح رسمي (ترقيعات مصدرية محدودة لـ 7.4 / 8.0 / 8.1)

صدرت التصحيحات في ٢١ أكتوبر ٢٠٢٦، وأضافت CISA الثغرتين إلى قائمة الثغرات المُستغَلّة المعروفة (KEV) في ٢٦ أكتوبر.

٠٣ — الخطورة

لماذا هي خطيرة بهذا القدر؟

٠١

دون مصادقة

لا يحتاج المهاجم إلى حساب أو صلاحية؛ يكفي الوصول إلى الموقع.

٠٢

على مستوى المحرّك

تؤثر على كل تطبيق PHP بصرف النظر عن جودة كوده أو إطاره.

٠٣

يُستغَل فعليًا

رُصد استغلالٌ في البرية وأُدرجت الثغرتان في قائمة CISA KEV، وتتوفّر أدوات إثبات مفهوم علنية.

٠٤

تنفيذ أوامر وتسريب ذاكرة

سيطرةٌ على الخادم أو كشفُ أسرارٍ وبياناتٍ من الذاكرة كالمفاتيح والجلسات.

٠٤ — المعالجة

كيف تتحقق وتُصلح؟

الحل الحاسم هو التحديث فورًا. إن تعذّر، طبّق الإجراءات المؤقتة ثم حدّث في أقرب فرصة.

١. تحقّق من إصدارك

اعرف إصدار PHP وواجهة التشغيل على كل خادم:

bash
php -v
php-fpm -v   # if you use PHP-FPM

٢. حدّث إلى إصدار مُصحّح

رقِّ إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 (أو أحدث) عبر مدير الحزم، ثم أعد تشغيل جميع العمال.

bash
# example (Debian / Ubuntu)
sudo apt update && sudo apt upgrade php8.3
sudo systemctl restart php8.3-fpm

٣. إجراء مؤقت إن تعذّر التحديث

عطّل تقدّم رفع الجلسة، وعلى PHP 8.5 عطّل آثار الأخطاء الحرجة، ثم أعد تشغيل جميع العمال:

php.ini
; php.ini
session.upload_progress.enabled = 0
fatal_error_backtraces = 0   ; PHP 8.5 only

٤. أنهِ الإصدارات منتهية الدعم

PHP 8.1 وأقدم لن تتلقّى تصحيحًا رسميًا؛ خطّط للترقية إلى فرعٍ مدعوم.

٥. دفاع متعدد الطبقات

شغّل PHP بأقل الصلاحيات، وفعّل جدار حماية تطبيقات (WAF) مع ترقيعٍ افتراضي، وراقب العمّال والسجلّات بحثًا عن تعطّلٍ متكرر أو سلوكٍ شاذ.

٠٥ — ريلاينت

كيف تساعدك ريلاينت؟

نُحدّد بسرعة ما إذا كانت أنظمتك مكشوفةً لـ php2shell — عبر خوادمك وتطبيقاتك وبيئاتك — ونمنحك تقريرًا واضحًا بما يجب ترقيعه ودرجة أولويته، ثم نُعيد الفحص للتأكد من إغلاق الثغرة.

  • فحص تعرّضٍ سريع لـ CVE-2026-109618 و CVE-2026-109619 عبر أصولك.
  • مراجعة إصدارات PHP وواجهات التشغيل والإعدادات.
  • اختبار اختراق لتطبيقات الويب وواجهات API.
  • تقرير قابل للتنفيذ مع خطوات الإصلاح وإعادة فحصٍ للتحقق.
افحص تعرّضك لـ php2shell كل الخدمات

هذه الصفحة محتوى توعوي أمني؛ واختبار الأنظمة يتطلّب تفويضًا من مالكها.المصادر: التنبيه الرسمي من PHP، وقائمة CISA KEV، وتحليلات Rapid7 و Unit 42 و Tenable و Datadog.حُدِّثت: ٢٧ أكتوبر ٢٠٢٦ · reliant.sa