PHP2Shell: دليل فحص خادم PHP وتحديثه خطوة بخطوة
إذا كان موقعك يعمل على PHP فهذا المقال لك. في 21 أكتوبر 2026 أصدر مشروع PHP تصحيحات لثغرتين حرجتين، CVE-2026-109618 وCVE-2026-109619. وفي اليوم نفسه طلبت FBI وNSA والمركز الوطني للأمن السيبراني في بريطانيا (NCSC) ورئيسة وزراء اليابان من المؤسسات فحص PHP لديها. إليك الخلاصة بصيغة خطوات يمكن تنفيذها في جلسة واحدة.
الوضع في أربعة أسطر
- الثغرتان في نواة PHP نفسها، ودرجة كل منهما 9.2 على مقياس CVSS 4.0.
- وفق نشرة PHP الأمنية، يمكن للمهاجم تنفيذ شيفرة على الخادم دون تسجيل دخول.
- رُصدت هجمات قبل أن يصبح التصحيح متاحًا للعموم.
- تحديث ووردبريس أو الإضافات لا يحل المشكلة. يجب تحديث PHP نفسه.
شاهد الفيديو
الخطوة الأولى: اعرف أين يعمل PHP
ابدأ بالأجهزة المكشوفة على الإنترنت، ثم لوحات التحكم والمنتجات التي تضمّ PHP داخلها. دوّن إصدار PHP لكل خادم، وهل يستخدم mod_php أو PHP-FPM أو غيرهما. بحسب نشرة PHP، فإن mod_php هو الإعداد الأعلى خطرًا.
php -v
php-fpm -v
apachectl -M | grep -i php
ps -eo pid,ppid,user,cmd | grep -E "php-fpm|apache2|httpd" | grep -v grepالخطوة الثانية: قارن مع الإصدارات المُصحَّحة
| الفرع | الإصدار المُصحَّح |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 (ينتهي دعمه في 31 ديسمبر 2026) |
| 8.1 وما قبله | لا إصدار رسمي. اسأل مزوّدك عن تصحيح مُنقول أو انتقل إلى فرع أحدث. |
إذا جاء PHP من حزمة توزيعة لينكس، فقد يبقى رقم الإصدار قديمًا بعد نقل التصحيح. اقرأ سجل التغييرات، مثلًا على Debian وUbuntu: apt changelog php8.3-fpm | head -n 30.
الخطوة الثالثة: حدّث وأعد التشغيل وتحقق
حدّث الحزمة أو البناء، ثم أعد تشغيل العمليات التي تخدم طلبات الويب. يظل PHP-FPM العامل يستخدم الشيفرة القديمة حتى يُعاد تشغيله. بعد ذلك تحقق من الإصدار من جهة الويب أيضًا، لا من سطر الأوامر وحده.
الخطوة الرابعة: ابحث عن علامات إساءة الاستخدام
راجع السجلات منذ 20 أكتوبر. العلامة المريبة أن يشغّل مستخدم خادم الويب صدفة أوامر أو curl أو wget. وتقول FBI إنه عند ظهور دلائل على اختراق يجب عزل النظام والحفاظ على السجلات والإبلاغ لدى مكتب FBI الميداني أو على ic3.gov.
إذا تعذّر التحديث اليوم
نشر PHP إجراءات تخفيف مؤقتة على php.net، وهي تقلل الخطر ولا تلغيه. وقواعد جدار الحماية من Cloudflare وصفها مديرها التقني بأنها حل مؤقت. أما نصيحة FBI وNSA فهي إيقاف النظام عن الإنترنت إلى أن تتم المعالجة الكاملة.
لماذا هذا الاهتمام الكبير؟
نحو 69% من المواقع التي يُعرف لغة الخادم فيها تعمل على PHP، والثغرة تقع تحت كل نظام إدارة محتوى وإطار عمل. وأوقفت جهات في بلجيكا، منها مجموعة إعلامية وجامعة ومستشفيات، مواقعها احترازيًا. والشركات الآن تقيس مهلة التصحيح بالساعات، وتعامل PHP غير المدعوم كحادث أمني، وتكتب خطة مسبقة لإيقاف المواقع عند الحاجة.
أين يدخل الذكاء الاصطناعي
تشير التقارير إلى أن باحثين استخدموا أدوات ذكاء اصطناعي في العثور على الثغرتين، ويمكن للمدافعين الاستفادة من الفكرة نفسها. فمثلًا يدعم Claude Managed Agents من Anthropic التنسيق بين عدة وكلاء، بحيث يوزّع وكيل رئيسي حصر الإصدارات وتدقيق الاعتمادات ومراجعة السجلات على وكلاء منفصلين ويجمع النتيجة في تقرير واحد. اترك اعتماد أي تغيير لإنسان. وتتغير إتاحة المنتجات، فراجع وثائق Anthropic.
أسئلة شائعة
هل يحل تحديث ووردبريس المشكلة؟
لا. الثغرة في PHP نفسه، ولا بد من تحديث PHP.
هل يكفي Cloudflare؟
لا. يساعد ضد الأنماط المعروفة لكنه ليس بديلًا عن التصحيح.
أين أتعلم المزيد عن أمان PHP؟
أحتفظ بمرجع للمفاهيم والمصطلحات والتمارين: PHP Master Guide على Notion.