ثغرة PHP2Shell الخطيرة تهدد ملايين المواقع .. ما الإصدارات المصابة وكيف تحمي موقعك؟
أصدر فريق تطوير لغة البرمجة PHP يوم 21 أكتوبر 2026 تحديثات أمنية عاجلة لإصلاح ثغرتين خطيرتين أُطلق عليهما اسم «PHP2Shell»، تسمحان لمهاجم من خارج الموقع بتنفيذ أوامر على السيرفر بدون تسجيل دخول، وتؤثران على كل المواقع التي تعمل بإصدار PHP 5.4 أو أحدث، ومنها مواقع ووردبريس ودروبال وجوملا.
ما هي ثغرة PHP2Shell؟
الثغرتان مسجلتان برقمي CVE-2026-109618 وCVE-2026-109619، وتحدثان عندما يرسل المهاجم طلبات مصممة بطريقة خاصة تجعل PHP يتجاوز حد الذاكرة أو يقع في خطأ قاتل، فتبقى بيانات تالفة في الذاكرة يستخدمها طلب لاحق، وهو ما يسمح للمهاجم بالسيطرة على السيرفر أو سرقة بيانات أو إيقاف الموقع. وتصل درجة خطورتها إلى 9.2 من 10.
هل الثغرة تُستغل الآن؟
نعم، رصدت شركة كلاودفلير هجمات فعلية تستهدف مواقع عملائها، ومحاولات لتعديل الهجمات لتجاوز الحماية، كما تسربت معلومات عن الثغرة قبل موعد الإعلان الرسمي، واضطرت مواقع كثيرة حول العالم للتوقف مؤقتًا لتطبيق الإصلاح.
الإصدارات الآمنة من PHP
| الفرع | الإصدار الآمن |
|---|---|
| PHP 8.5 | 8.5.12 أو أحدث |
| PHP 8.4 | 8.4.27 أو أحدث |
| PHP 8.3 | 8.3.36 أو أحدث |
| PHP 8.2 | 8.2.35 أو أحدث (ينتهي دعمه 31 ديسمبر 2026) |
| PHP 8.1 والأقدم | لا يوجد تحديث رسمي |
أما الإصدارات 8.1 و8.0 و7.4 فقد انتهى دعمها، ونشر فريق PHP إصلاحات مصدرية لها يحتاج تطبيقها إلى خبرة تقنية، لذلك الحل الأفضل هو الانتقال إلى إصدار مدعوم.
كيف تحمي موقعك؟
- اعرف إصدار PHP على موقعك من لوحة الاستضافة.
- حدّث PHP إلى الإصدار الآمن من الجدول السابق. تحديث ووردبريس أو الإضافات وحده لا يحل المشكلة لأن الثغرة في لغة PHP نفسها.
- لو موقعك على استضافة مشتركة، اطلب من شركة الاستضافة تطبيق التحديث فورًا.
- لو تستخدم كلاودفلير، تأكد من تفعيل قواعد الحماية حتى تنتهي من التحديث.
- قلّل حجم الملفات المسموح برفعها مؤقتًا، فهذا يقلل الخطر لكنه لا يغني عن التحديث.
علامات تدل على أن موقعك مستهدف
- أخطاء متكررة بسبب تجاوز حد الذاكرة بعد طلبات رفع ملفات غير معتادة.
- ظهور الخطأ 500 بشكل متكرر.
- ملفات تعريف ارتباط PHPSESSID بحجم كبير أو شكل غريب.
- إعادة تشغيل عمليات PHP على السيرفر بدون سبب واضح.
كيف تم اكتشاف الثغرة؟
اكتشف باحثون أمنيون الثغرة الأولى في 19 أغسطس 2026 مستعينين بأدوات ذكاء اصطناعي، وأبلغوا فريق PHP في 24 أغسطس، وتم الإعلان عنها مع صدور الإصلاح في 21 أكتوبر.
أسئلة شائعة
هل موقع ووردبريس الخاص بي في خطر؟
نعم لو كان يعمل بإصدار PHP غير محدث، لأن الثغرة في PHP نفسها وليست في ووردبريس.
هل يكفي تحديث ووردبريس؟
لا، يجب تحديث PHP على السيرفر.
ما الإصدار الآمن من PHP 8.4؟
8.4.27 أو أحدث.
