إحاطة · 23 أكتوبر 2026
PHP2Shell: ما ينبغي لكل شركة صغيرة فعله هذا الأسبوع
تسرّبت تفاصيل ثغرتين حرجتين في PHP قبل صدور أي إصلاح. نبيّن هنا ما حدث، وسبب امتداد أثره إلى شركات لم تسمع بـ PHP من قبل، والإجراءات الخمسة الواجب اتخاذها الآن.
ما الذي حدث
في 20 أكتوبر 2026 تسرّبت تفاصيل ثغرتين حرجتين في PHP — CVE-2026-109618 وCVE-2026-109619، وتُعرفان الآن باسم PHP2Shell — قبل موعد الكشف المقرر عنهما. وتتيح كلتاهما للمهاجم تنفيذ تعليمات برمجية على خادم الويب دون تسجيل دخول. وقد بلغ تقييم كلتيهما 9.2 على مقياس الخطورة CVSS 4.0.
وقدّم فريق PHP موعد إصدار الإصلاحات وأطلقها في 21 أكتوبر، وهي الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35. ورُصدت حركة هجمات قبل توافر الإصلاحات. أما فروع PHP الأقدم فلم تحصل على أي إصلاح رسمي.
لماذا يمسّكم الأمر حتى لو لم تسمعوا بـ PHP من قبل
تشغّل PHP حصة كبيرة جدًا من الويب، ومنها WordPress ومعظم لوحات التحكم في الاستضافة. وهي مدمجة في الأجهزة المتخصصة والحاويات ومنتجات الجهات الخارجية. فإذا كان لدى شركتكم موقع إلكتروني أو نظام حجوزات أو بوابة عملاء أو جهاز تخزين شبكي، فمن المرجّح أن PHP موجودة في موضع ما من السلسلة، يشغّلها أحد المورّدين لا أنتم.
الهيئات الوطنية للأمن السيبراني في دول الخليج وحول العالم وجّهت المؤسسات إلى تحديد منتجات الجهات الخارجية والأجهزة المتخصصة والحاويات التي تتضمن إصدارات PHP المعرّضة للثغرة. وهذا التوجيه موجَّه إليكم بقدر ما هو موجَّه إلى أقسام تقنية المعلومات.
خمسة إجراءات يجب اتخاذها هذا الأسبوع
1. اسألوا مزوّد استضافة موقعكم كتابةً عما إذا كانت الخوادم التي تشغّل موقعكم قد حُدّثت إلى إصدار PHP مُصحَّح وأُعيد تشغيلها. فوجود ملف مُحدَّث على القرص لا يفيد ما دامت الشيفرة القديمة لا تزال تعمل في الذاكرة.
2. وجّهوا السؤال نفسه إلى كل مورّد تصلون إلى منتجه عبر صفحة ويب — مثل الحجوزات والحسابات وإدارة علاقات العملاء وإدارة العيادات والدعم عن بُعد.
3. إذا كنتم أنتم أو مزوّد خدمات تقنية المعلومات لديكم تشغّلون أي نظام بأنفسكم، فحدّثوا PHP، وأعيدوا تشغيل خدمة الويب، وتأكدوا من الإصدار العامل فعليًا. ولاحظوا أن بعض توزيعات Linux تُبقي رقم الإصدار القديم بعد التحديث، فراجعوا سجل تغييرات الحزمة.
4. إذا تعذّر تحديث أحد الأنظمة هذا الأسبوع، فاسألوا مزوّد خدمات تقنية المعلومات لديكم عن إجراءات التخفيف المؤقتة المنشورة؛ فهي تقلّل التعرّض للخطر لكنها ليست إصلاحًا.
5. احتفظوا بكل رد تتلقونه. وإذا كان أي نظام مكشوفًا على الإنترنت وغير محدَّث بعد 20 أكتوبر، فانظروا في تغيير كلمات المرور والمفاتيح التي كان بإمكان ذلك النظام الوصول إليها، وافحصوا سجلاته ابتداءً من ذلك التاريخ.
تحقّقوا من موقعكم الآن — مجانًا
كيف يبدو إنجاز المهمة
سجل موجز يبيّن: الأنظمة والمورّدين الذين شملهم النطاق، ومن سألتم، وماذا أجابوا، وما الذي حُدِّث ومتى. هذا ما ستطلب الاطلاع عليه شركة التأمين وجهة التقييم وعملاؤكم — لا هذا الأسبوع، بل عندما يسألون لاحقًا.
وإذا كنتم تفضّلون أن يتولى غيركم ذلك نيابةً عنكم — هذه المرة وفي كل مرة — فهذا هو دور مكتب الطوارئ السيبراني من Cyber-Safe. ابدأوا بالفحص المجاني لموقعكم الإلكتروني بحثًا عن PHP2Shell.
المصادر
PHP release announcements, 21 October 2026 · Canadian Centre for Cyber Security, AL26-026 · BleepingComputer, 20 October 2026
في المرة القادمة، اعلموا بالأمر قبل أن تنشره الأخبار
يفحص هذا التحقّق موقعًا واحدًا، مرة واحدة. أما مكتب الطوارئ فيحصر كل ما تعتمدون عليه، ويتابع التنبيهات، ويلاحق مورّديكم، ويسلّمكم الأدلة — في كل مرة.