شرح ثغرة PHP2Shell: من المسؤول عن ترقيع موقعك، وكيف تفعل ذلك
في 21 أكتوبر 2026 تم الكشف عن ثغرة أمنية خطيرة في PHP، لغة البرمجة التي تشغّل نحو ثلاثة من كل أربعة مواقع على الإنترنت. أُوقفت مواقع حكومية في هولندا وفرنسا وكندا مؤقتًا كإجراء احترازي، وأصدرت الوكالة الكورية الجنوبية KISA (Korea Internet & Security Agency) إرشادات استجابة عاجلة. ويطلق مجتمع الأمن السيبراني على هذه الأزمة اسم PHP2Shell.
الخبر الجيد أن التحديثات الأمنية صدرت بالفعل، وأن معظم شركات الاستضافة الكبرى طبّقتها. المشكلة أن الجهة المسؤولة عن ترقيع موقعك تختلف تمامًا حسب طريقة استضافته. يوضح هذا الدليل من يجب أن يتحرك الآن، وما التحديثات المتاحة، وكيف تعاملت شركات الاستضافة الكبرى مع الأمر.
أهم النقاط
- PHP2Shell هو اسم ثغرتين خطيرتين لتنفيذ التعليمات البرمجية عن بُعد في PHP نفسها (CVSS 9.2)، ويمكن استغلالهما دون تسجيل الدخول.
- تحديث ووردبريس أو الإضافات لا يحل المشكلة. يجب ترقيع PHP نفسها.
- الإصدارات المرقّعة هي 8.5.12 و8.4.27 و8.3.36 و8.2.35 أو أحدث. لا يوجد إصدار رسمي لـ PHP 8.1 وما قبلها.
- في الاستضافة المشتركة أو المُدارة تتولى شركة الاستضافة ترقيع PHP، لكن عليك التحقق من ذلك. أما على خادم VPS أو خادم مخصص فعليك الترقيع بنفسك وإعادة تشغيل PHP.
- للثغرة الثالثة (CVE-2026-115560) حل مؤقت:
session.upload_progress.enabled = 0.
ما هي ثغرة PHP2Shell؟
PHP2Shell هو الاسم الذي يُطلق على ثغرتين لتنفيذ التعليمات البرمجية عن بُعد (RCE) اكتُشفتا في نواة PHP.
- CVE-2026-109618: ثغرة تلف في الذاكرة تُستغل عبر حالات نفاد الذاكرة
- CVE-2026-109619: ثغرة تعيد استخدام حالة عامة سبق تحريرها من الذاكرة
تحمل الثغرتان درجة خطورة CVSS 9.2 من 10، والأخطر أنه يمكن استغلالهما دون تسجيل دخول ودون أي حساب. تقع الثغرتان في مرحلة معالجة الطلبات داخل PHP نفسها، لا في ووردبريس أو في إضافة، لذلك ينجح الهجوم قبل أن يبدأ تشغيل كود موقعك أصلًا. مهما حافظت على ووردبريس محدّثًا، فلن يفيدك ذلك إذا لم تكن PHP مرقّعة.
يُعتقد أن جميع إصدارات PHP تقريبًا منذ 5.4 متأثرة، ووفقًا لـ W3Techs فإن نحو 75% من المواقع المعروفة لغة الخادم فيها تستخدم PHP. اكتشفت الثغرتين شركتا الأمن Calif وWiz خلال تحليل باستخدام نماذج ذكاء اصطناعي (OpenAI GPT-5.6 Sol وGoogle Gemini 4 Argon)، وأبلغتا فريق PHP بهما في أغسطس. تسرّبت التفاصيل أثناء إعداد التحديثات، ما دفع إلى تقديم موعد الإعلان يومًا واحدًا. بدأت محاولات الهجوم الفعلية منذ يوم الإعلان، وأبلغت Cloudflare عن ملايين المحاولات. لم يتأكد حتى الآن أي اختراق ناجح على نطاق واسع، لكن أدوات الهجوم تتطور باستمرار، لذا فإن عبارة “لم نتعرض لهجوم بعد” ليست سببًا للاطمئنان.
ثم في 23 أكتوبر كُشف عن ثغرة ثالثة مرتبطة هي CVE-2026-115560. لا تعمل إلا مع تركيبات معينة من الإعدادات، لذلك يوصي فريق PHP بحل مؤقت بدلًا من تحديث طارئ. التفاصيل في قسم التحديثات أدناه.
من يجب أن يتحرك؟
الأمر كله يتلخص في سؤال واحد: “من يدير PHP على موقعي؟” فالإجابة تحدد ما عليك فعله.
| وضعك | من يتولى الترقيع | ما الذي يجب فعله |
|---|---|---|
| تدير خادم VPS أو خادمًا مخصصًا بنفسك | أنت (أولوية قصوى) | لن يقوم أحد بذلك نيابة عنك. حدّث PHP وأعد تشغيل خدمة PHP فورًا. اتبع قسم التحديثات في هذا الدليل خطوة بخطوة. |
| استضافة مشتركة أو مُدارة (Hostinger وSiteGround وغيرهما) | شركة الاستضافة | اقرأ إعلان شركة الاستضافة وتحقق من أن التحديث طُبّق فعلًا على موقعك، من خلال رقم الإصدار أو تاريخ البناء. لا تفترض ذلك، بل تأكد منه. |
| المواقع التي تعمل بـ PHP 8.1 أو أقدم | أنت + التحقق مع شركة الاستضافة | لا يوجد تحديث رسمي لهذه الإصدارات. تحقق مما إذا كانت شركة الاستضافة توفر نسخة خاصة بها مع ترقيع منقول (backport). وإن لم تفعل، فخطط فورًا للترقية إلى PHP 8.3 أو أحدث. |
| الوكالات والعاملون المستقلون وشركات الصيانة | أنت | افحص جميع مواقع العملاء التي تديرها. النقاط العمياء هي المواقع القديمة المهملة، وخوادم الاختبار والتجهيز (staging)، والمواقع المصغّرة الخاصة بالفعاليات. |
| خوادم Docker أو الخوادم التي بنيتها بنفسك | أنت | أعد بناء صور الحاويات انطلاقًا من صورة أساسية مرقّعة ثم أعد نشرها. تحديث نظام تشغيل المضيف وحده لا يكفي. |
| المواقع الثابتة التي لا تستخدم PHP، والزوار العاديون | — | غير معنيين. هذه ثغرة في الخادم، فلا شيء يلزم فعله على أجهزة الزوار. |
ما التحديثات المتاحة؟
التحديثات الرسمية (21 أكتوبر 2026)
| إصدار PHP لديك | الإصدار المرقّع |
|---|---|
| PHP 8.5.x | 8.5.12 أو أحدث |
| PHP 8.4.x | 8.4.27 أو أحدث |
| PHP 8.3.x | 8.3.36 أو أحدث |
| PHP 8.2.x | 8.2.35 أو أحدث (ينتهي دعم PHP 8.2 في 31 ديسمبر 2026، لذا يُنصح بالانتقال إلى 8.3 أو أحدث) |
| PHP 8.1 أو أقدم | لا يوجد إصدار رسمي (انظر الترقيعات المنقولة أدناه) |
إذا كنت تدير خادمك بنفسك، فالطريقة المعتادة هي التحديث عبر حزم التوزيعة التي تستخدمها. وقد أصدرت Ubuntu وDebian وAlmaLinux وAmazon Linux وغيرها حزمًا مرقّعة بالفعل.
# Debian / Ubuntu example
sudo apt update
sudo apt upgrade php8.3-fpm php8.3-cli php8.3-common
sudo systemctl restart php8.3-fpmإذا لم تُعد التشغيل، فلن يُطبّق التحديث. إذا حدّثت الحزم دون إعادة تشغيل PHP-FPM أو Apache، فستواصل نسخة PHP القديمة المحمّلة في الذاكرة معالجة الطلبات. وتحذّر إرشادات KISA من ذلك صراحة. وإذا كنت تستخدم مستودع Remi على نظام من عائلة CentOS، فاعلم أن Remi لم يكن يحتوي على تحديث يوم الإعلان، لذا فكّر في الحزم الافتراضية لتوزيعتك أو في بناء PHP بنفسك.
PHP 8.1 أو أقدم: الترقيعات المنقولة (Backports)
انتهى دعم PHP 8.1 و8.0 و7.4، لذلك لا توجد إصدارات رسمية مرقّعة. ومع ذلك تبقى أمامك خيارات.
- نشر فريق PHP ترقيعات مصغّرة للكود المصدري (backports) للإصدارات 7.4 و8.0 و8.1، ويمكنك تطبيقها إذا كنت تبني PHP بنفسك.
- تتضمن حزم Ubuntu وDebian من مستودع Ondřej Surý ترقيعات منقولة للإصدارات من 5.6 إلى 8.1.
- أصدرت بعض شركات الاستضافة (Hostinger و20i وxCloud وغيرها) نسخًا مرقّعة خاصة بها تشمل الإصدارات القديمة. تحقق أولًا مما إذا كانت شركة الاستضافة لديك توفر ترقيعًا منقولًا.
لكن الترقيعات المنقولة حل مؤقت فقط. هذه فرصة مناسبة للانتقال إلى PHP 8.3 أو أحدث.
الثغرة الثالثة CVE-2026-115560: حل مؤقت حتى صدور التحديث
الثغرة الثالثة التي كُشف عنها في 23 أكتوبر مرتبطة بميزة تتبّع تقدّم رفع الملفات في الجلسة (session upload progress) في PHP. يصعب استغلالها مع الإعدادات المعتادة، لذلك لم يصدر تحديث طارئ، وسيُضمَّن الإصلاح في الإصدار الدوري القادم. وحتى ذلك الحين، يتمثل الحل الرسمي المؤقت في إعداد واحد:
; Add to php.ini or your PHP-FPM pool config, then restart PHP
session.upload_progress.enabled = 0ما لم يكن موقعك يعرض شريط تقدّم لرفع الملفات، فلن تخسر شيئًا يُذكر. وكما يوضح جدول شركات الاستضافة أدناه، فقد عطّلت الشركات الكبرى هذا الإعداد بالفعل على مستوى الخادم.
إجراءات تخفيف مؤقتة قبل الترقيع (ليست حلًا كاملًا)
- تعطيل session.upload_progress: كما سبق. يسدّ هذا مسار هجوم معروفًا لثغرة CVE-2026-109619.
- قواعد جدار الحماية WAF من Cloudflare: طبّقت Cloudflare قواعد طارئة على جميع الخطط، بما فيها الخطة المجانية، قبيل الإعلان مباشرة. لكن Cloudflare نفسها تقول إنها “حماية مؤقتة وليست بديلًا عن الترقيع”، وقد رُصدت بالفعل محاولات للالتفاف عليها.
- قواعد جدار الحماية لدى شركة الاستضافة: أدوات مثل ModSecurity تحجب أنماط الهجوم قبل وصولها إلى الخادم. إنها تمنحك وقتًا، لكنها لا تعالج أصل المشكلة.
موقف فريق PHP الرسمي واضح: “لا يوجد تخفيف كامل. التحديث هو الخيار الآمن الوحيد.”
كيف تعاملت شركات الاستضافة الكبرى مع الأمر
لحسن الحظ، تحركت شركات الاستضافة المعروفة بسرعة. فيما يلي وضع كل شركة استنادًا إلى إعلاناتها الرسمية. القاسم المشترك: صدّ الهجمات أولًا بقواعد جدار الحماية والإعدادات، ثم نشر التحديث على جميع الخوادم فور صدوره.
| شركة الاستضافة | ما قامت به | ما عليك فعله |
|---|---|---|
| Hostinger | صدّت الهجمات بقواعد جدار الحماية وعطّلت session.upload_progress يوم الإعلان. أكملت ترقيع جميع خوادم الاستضافة باستثناء VPS في الساعة 06:44 UTC يوم 22 أكتوبر، وأكدت في 23 أكتوبر أن الإجراءات نفسها تغطي الثغرة الثالثة. | لا شيء. لاحظ أن الاستضافة المُدارة رُقّعت على مستوى البناء دون تغيير رقم الإصدار، لذا فالتحقق الموثوق هو أن يكون Build Date في hPanel → PHP Info بتاريخ 21 أكتوبر أو بعده. |
| SiteGround | طبّقت قواعد تخفيف على مستوى الخادم في جميع خوادمها قبل الإصدار الرسمي، وعطّلت الميزة المتأثرة في جميع الإصدارات المدعومة. | لا شيء (أعلنت أن الحماية مطبّقة). |
| GoDaddy | رقّعت ووردبريس المُدار والاستضافة القياسية واستضافة Windows في 22 أكتوبر. تستخدم الاستضافة القياسية نسخًا مرقّعة منقولة من CloudLinux، لذا قد لا يتغير رقم الإصدار. | لا شيء. في الاستضافة القياسية تحقق من أن Build Date بتاريخ 21 أكتوبر أو بعده بدلًا من النظر إلى رقم الإصدار. أما عملاء VPS فيحدّثون بأنفسهم عبر EasyApache 4. |
| WordPress.com / Pressable / WordPress VIP (Automattic) | تعاونت مسبقًا مع فريق PHP وطبّقت الحماية قبل الإعلان. | لا شيء |
| WP Engine | طبّقت أولًا إجراءات تخفيف على مستوى شبكة توصيل المحتوى (Cloudflare وFastly)، ثم أكملت نشر التحديث في الساعة 01:19 UTC يوم 22 أكتوبر. | لا شيء |
| Kinsta | صدّت الهجمات بقواعد Cloudflare أثناء اختبار كل إصدار، ثم نشرت التحديث لجميع إصدارات PHP في الساعة 23:25 UTC يوم 22 أكتوبر. | لا شيء |
| Cloudways وPantheon وFlywheel وOVHcloud | رُقّعت بحلول 22 أكتوبر وفقًا لمتتبعات القطاع. يغطي تحديث Pantheon إصدارات PHP من 8.2 إلى 8.5. | لا شيء. إذا كنت تستخدم إصدارًا قديمًا فراجع إعلان شركة الاستضافة. |
| Bluehost | رقّعت معظم خوادمها، وقيّدت مؤقتًا حجم الملفات المرفوعة أثناء العمل. | لا شيء |
| 20i | أكملت النشر، بما في ذلك الترقيعات المنقولة للإصدارات القديمة، في الساعة 20:01 UTC يوم 22 أكتوبر. | لا شيء |
| xCloud | نشرت نسخًا مرقّعة (من 8.2.35 إلى 8.5.12) على جميع الخوادم، كما حصلت خوادم NGINX على ترقيعات منقولة للإصدارات القديمة. | بعض الإعدادات، مثل الإصدارات القديمة من OpenLiteSpeed، تتطلب إجراءً من العميل. |
| InstaWP | ثبّتت الإصدارات المرقّعة على الخوادم المُدارة في 21 أكتوبر، بما في ذلك نسخ مرقّعة منقولة للإصدارات القديمة. | لا شيء |
| RunCloud | عطّلت session.upload_progress على جميع الخوادم ورقّعت PHP 8.2 وما بعده تلقائيًا. | لا يوجد تحديث لـ 8.1 أو أقدم، لذا قم بالترقية إلى 8.2 أو أحدث. |
| cPanel (EasyApache 4) / CloudLinux | أصدرت نسخًا مرقّعة في 21 و22 أكتوبر. | يطبّق مديرو خوادم cPanel التحديث من خلال WHM. |
| Cloudflare | طبّقت قواعد WAF طارئة على جميع الخطط، بما فيها الخطة المجانية. | ليست بديلًا عن الترقيع. ما زال خادمك الأصلي بحاجة إلى التحديث. |
يتغير وضع كل شركة استضافة باستمرار، لذا إن لم تجد شركتك في القائمة أو لم تكن متأكدًا من وضعها، فراجع صفحة الحالة وإعلاناتها مباشرة. وبعبارة أخرى: إذا التزمت شركة الاستضافة لديك الصمت دون أي إعلان، فهذا بحد ذاته مؤشر خطر.
كيف تفحص موقعك (3 دقائق)
- تحقق من إصدار PHP: في ووردبريس انتقل إلى أدوات ← صحة الموقع ← معلومات ← الخادم، وانظر إلى إصدار PHP.
- قارنه بالإصدارات المرقّعة: إذا كان 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 أو أحدث فموقعك مرقّع.
- لا تستنتج أن الرقم الأقل يعني أنك مكشوف: بعض الشركات، مثل Hostinger، تُبقي رقم الإصدار كما هو وترقّع البناء نفسه. في هذه الحالة يكون المعيار هو أن يكون Build Date في PHP Info بلوحة الاستضافة بتاريخ 21 أكتوبر 2026 أو بعده.
- إذا كنت على PHP 8.1 أو أقدم: راجع إعلانات شركة الاستضافة أو اسألها إن كانت توفر ترقيعًا منقولًا. وإن لم تفعل، فحدد موعدًا للترقية.
- على خادم VPS أو خادم مخصص: نفّذ
php -vفي الطرفية، وتأكد من أنه نفس إصدار PHP الذي يستخدمه خادم الويب فعليًا (حسب phpinfo). فمن الشائع وجود عدة إصدارات من PHP على الخادم نفسه.
الترقيع ليس النهاية: الفحوصات اللاحقة
التحديث يمنع الهجمات المستقبلية فقط. فإذا تعرّض موقعك للاختراق قبل الترقيع، فلن يُصلح التحديث ما حدث. ولأن التفاصيل تسرّبت قبل صدور التحديث وبدأت الهجمات قبل الإعلان، توصي KISA بما يلي:
- مراجعة السجلات: ابحث عن طلبات مشبوهة في سجلات خادم الويب وPHP، بما في ذلك الفترة التي سبقت الترقيع.
- البحث عن ملفات Web Shell: تحقق من وجود ملفات PHP أُنشئت أو عُدّلت مؤخرًا، أو حسابات مدير غير معروفة، أو مهام cron غريبة.
- تغيير بيانات الاعتماد: على الخوادم التي كانت مكشوفة، غيّر كلمات مرور قاعدة البيانات ومفاتيح API وكلمات مرور المدير.
- تأمين النسخ الاحتياطية: احتفظ في موقع خارجي بنسخ احتياطية مُختبرة وقابلة للاستعادة من قبل الترقيع وبعده.
- إذا وجدت آثار اختراق، فلا تُعد تشغيل الخادم (ستفقد الأدلة الموجودة في الذاكرة). اقطع الاتصال بالشبكة وأبلغ مختصًا.
قائمة التحقق النهائية
- تحقق من إصدار PHP في موقعك ومن الجهة التي تدير PHP
- تأكد من أنك على إصدار مرقّع (8.5.12 / 8.4.27 / 8.3.36 / 8.2.35) أو أن تاريخ البناء 21 أكتوبر أو بعده
- على خوادم VPS أو الخوادم المخصصة، حدّث PHP بنفسك وأعد تشغيل خدمة PHP دائمًا
- إذا كنت على PHP 8.1 أو أقدم، تحقق من توفر ترقيع منقول وخطط للترقية إلى 8.3 أو أحدث
- عطّل session.upload_progress بسبب الثغرة الثالثة (أو تأكد من أن شركة الاستضافة فعلت ذلك)
- راجع السجلات وابحث عن ملفات Web Shell من الفترة السابقة للترقيع
- أدرج في قائمة جردك مواقع الاختبار والتجهيز والفعاليات المنسية
الأسئلة الشائعة
هل يحميني تحديث ووردبريس من PHP2Shell؟
لا. الثغرتان في PHP نفسها، لا في ووردبريس ولا في الإضافات. وحدها نسخة PHP المرقّعة تحمي موقعك.
أستخدم استضافة مشتركة. هل يلزمني فعل شيء؟
عادةً ما تتولى شركة الاستضافة ترقيع PHP نيابة عنك، لكن تحقق من ذلك. تأكد من أن إصدار PHP لديك مرقّع، أو أن تاريخ بناء PHP هو 21 أكتوبر 2026 أو بعده.
هل تكفي Cloudflare لحماية موقعي؟
لا. قواعد WAF من Cloudflare حماية مؤقتة، وقد رُصدت بالفعل محاولات للالتفاف عليها. ما زال خادمك الأصلي بحاجة إلى تحديث PHP.
هل تتأثر المنصات التي لا تستخدم PHP مثل Wix؟
لا. PHP2Shell ثغرة في PHP على الخادم، لذلك لا تتأثر المنصات التي لا تعمل بـ PHP، مثل Wix، ولا المواقع الثابتة.
هل تحتاج إلى مساعدة؟
إذا كنت تدير عدة مواقع أو لم تكن متأكدًا من أن شركة الاستضافة طبّقت التحديث، تواصل مع We Design Orange. نساعدك في كل شيء: من التحقق من إصدار PHP ونسخة البناء في كل موقع، إلى ترقيع خادم VPS، والبحث عن آثار الاختراق، واختبار موقعك بعد ترقية PHP.
تلخّص هذه المقالة المعلومات العامة المتاحة حتى 23 أكتوبر 2026. وهي معلومات تقنية، وليست تقييمًا أمنيًا ولا استشارة قانونية. يستند وضع كل شركة استضافة إلى إعلاناتها الرسمية وقد يتغير. إذا كنت تشك في حدوث اختراق، فتواصل مع شركة أمنية أو مع فريق الاستجابة لطوارئ الحاسوب (CERT) في بلدك.