 |
| تحذير لأصحاب المواقع: ثغرتان خطيرتان في PHP تسمحان باختراق الخادم — حدّث فورًا |
إذا كنت تملك موقعًا يعمل بـ PHP — وووردبريس ودروبال وجوملا كلها تعمل به — فهذا التحذير موجّه إليك شخصيًا، ولا يحتمل التأجيل ليوم واحد. ثغرتان خطيرتان اكتُشفتا في قلب لغة PHP نفسها، تحملان الاسم الرمزي PHP2Shell، وتصل خطورة كل منهما إلى 9.2 من 10 على مقياس CVSS، والأخطر أنهما تسمحان لمهاجم لا يملك أي حساب أو كلمة مرور بتنفيذ أكواد خبيثة على خادمك عن بُعد والسيطرة عليه. المعلومات عن الثغرتين تسرّبت يوم 20 أكتوبر 2026، وبدأت محاولات الاستغلال الفعلية في الظهور خلال ساعات، حتى إن وكالة الأمن القومي الأمريكي NSA ومكتب التحقيقات الفيدرالي FBI ووكالة الأمن السيبراني CISA أصدروا تحذيرًا مشتركًا عاجلًا: حدّث فورًا، أو أوقف الخادم غير المُحدَّث عن العمل. في هذا المقال ستعرف بالضبط ما الذي حدث، وكيف تتحقق من إصدار PHP عندك في دقائق، وخطوات التحديث الآمن دون أن يتعطّل موقعك، وماذا تفعل مؤقتًا إذا لم تستطع التحديث الآن.
ما هي ثغرتا PHP2Shell بالضبط؟
الثغرتان مسجّلتان رسميًا برقمي CVE-2026-109618 وCVE-2026-109619، وكلتاهما خطأ في طريقة تعامل PHP نفسها مع الذاكرة أثناء معالجة طلبات الويب، وليستا خطأ في إضافة أو قالب أو نظام إدارة محتوى بعينه. الثغرة الأولى تتعلق بآلية تنظيف الذاكرة عند نفادها: فعندما تنفد ذاكرة العملية أثناء معالجة طلب، تترك عملية التنظيف بيانات غير آمنة من الطلب نفسه داخل الذاكرة، فيستطيع المهاجم استغلال هذه الحالة لتنفيذ كود من اختياره. أما الثغرة الثانية فتمر عبر مسار خاص بميزة تتبّع تقدّم رفع الملفات في الجلسات (Session Upload Progress)، حيث يبقى أثر لحالة داخلية قديمة يمكن للمهاجم توجيهها لصالحه. النتيجة في الحالتين واحدة وخطيرة: تنفيذ أكواد عن بُعد RCE دون أي مصادقة، أي أن المهاجم لا يحتاج اسم مستخدم ولا كلمة مرور ولا حتى أن يكون موقعك فيه ثغرة ظاهرة؛ يكفي أن يرسل طلبًا معدًّا بعناية إلى خادم يعمل بإصدار PHP مصاب.
ولأن الخلل في اللغة نفسها، جاءت الاستجابة استثنائية في سرعتها: فريق PHP أصدر إشعارًا مسبقًا مساء يوم التسريب نفسه، ثم نشر إصلاحات طارئة يوم 21 أكتوبر 2026 الساعة الثانية ظهرًا بتوقيت UTC. الإصدارات الآمنة الآن هي: PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، فإذا كان إصدارك أقل من الرقم المقابل لخطّك فأنت مصاب. أما الإصدارات الأقدم (8.1 و8.0 و7.4) فهي خارج الدعم الرسمي أصلًا، ولم تصلها الإصلاحات إلا عبر ترقيعات خلفية في الكود المصدري لمن يبني PHP بنفسه، وهي إشارة إضافية إلى أن البقاء على هذه الإصدارات لم يعد خيارًا آمنًا.
من المتأثر؟ ولماذا الخطر أوسع مما تظن؟
لغة PHP تشغّل نحو 70% من مواقع الويب في العالم، ومنها أشهر أنظمة إدارة المحتوى: ووردبريس ودروبال وجوملا، إضافة إلى متاجر ووكومرس وماجنتو وملايين المواقع المبرمجة خصيصًا. وقدّرت شركة Palo Alto Networks عبر فريقها Unit 42 عدد النسخ المعرّضة للخطر بأكثر من 22.6 مليون نسخة منتشرة على خوادم العالم. هنا تكمن النقطة التي يخطئ فيها كثير من أصحاب المواقع: تحديث ووردبريس نفسه أو تحديث إضافاته لا يصلح هذه الثغرة إطلاقًا، لأن الخلل ليس في ووردبريس؛ الخلل في مُفسّر PHP الذي تعمل عليه الاستضافة. المسؤول عن التصحيح هو من يدير الخادم: شركة الاستضافة إن كنت على استضافة مشتركة، أو أنت شخصيًا إن كنت على خادم افتراضي VPS أو خادم مخصص.
ولا تنتظر حتى «يحدث شيء» لتتحرك؛ فقد رصدت شركتا watchTowr وCloudflare محاولات استغلال فعلية يومي 21 و22 أكتوبر، أي أن المهاجمين يمسحون الإنترنت بحثًا عن الخوادم المصابة بشكل آلي، وبعض المواقع الحكومية أُوقفت احترازيًا عن العمل حتى اكتمال التصحيح. الاختراق هنا لا يعني تشويه صفحة موقعك فحسب، بل سيطرة كاملة على الخادم: سرقة قواعد البيانات وكلمات المرور، وزرع صفحات تصيّد، واستخدام خادمك في هجمات على غيرك، وكلها أضرار يصعب التعافي منها مقارنة بدقائق تقضيها في التحديث الآن. وإذا أردت تقوية دفاعاتك عمومًا بعد إغلاق هذه الثغرة، راجع دليلنا في قسم الحماية، فقد تجد فيه ما ينقص موقعك وجهازك.
كيف تتحقق من إصدار PHP عندك خلال دقائق؟
قبل أي خطوة، اعرف رقم الإصدار الحالي عندك بدقة، فالمقارنة به مع الأرقام الآمنة المذكورة أعلاه هي ما يحدد إن كنت في خطر. أمامك ثلاث طرق سهلة:
من لوحة تحكم الاستضافة: أغلب لوحات الاستضافة تعرض إصدار PHP في الصفحة الرئيسية للوحة أو داخل قسم إعدادات الموقع؛ ابحث عن عبارة PHP Version أو «إصدار PHP» وستجد الرقم ظاهرًا، وكثير من الشركات أضافت تنبيهًا أحمر هذه الأيام إن كان إصدارك مصابًا.
من قسم PHP في cPanel: إذا كانت استضافتك تستخدم cPanel، ادخل إلى قسم Select PHP Version أو MultiPHP Manager؛ ستجد الإصدار الحالي مظلّلًا بعلامة، وهذه هي الشاشة نفسها التي ستغيّر منها الإصدار لاحقًا إن احتجت.
باستخدام phpinfo: أنشئ ملفًا مؤقتًا باسم مثل check.php داخل مجلد موقعك وضع فيه سطرًا واحدًا ينفّذ دالة phpinfo، ثم افتحه من المتصفح؛ ستظهر لك صفحة كاملة في أعلاها رقم الإصدار بوضوح. تحذير مهم: احذف هذا الملف فور انتهائك، لأن تركه يكشف للمهاجمين تفاصيل خادمك، وهو آخر ما تحتاجه في أسبوع كهذا.
من داخل ووردبريس: إن كان موقعك يعمل بووردبريس، لست مضطرًا لمغادرة لوحة التحكم أصلًا؛ ادخل إلى «أدوات» ثم «صحة الموقع» ثم تبويب «معلومات»، وافتح قسم «الخادم» لتجد إصدار PHP معروضًا بوضوح، وقد ينبّهك ووردبريس نفسه هناك إلى أن إصدارك قديم ويحتاج تحديثًا. هذه أسرع طريقة لصاحب الموقع غير التقني، لكن تغيير الإصدار نفسه يتم من الاستضافة لا من ووردبريس.
إذا وجدت إصدارك 8.5 أقل من 8.5.12، أو 8.4 أقل من 8.4.27، أو 8.3 أقل من 8.3.36، أو 8.2 أقل من 8.2.35، أو كنت ما زلت على 8.1 أو أقدم، فتعامل مع الأمر كحالة طارئة وتابع الخطوات التالية مباشرة. ومزيد من التفاصيل التقنية الموثقة حول الثغرتين وجدول الإصدارات المصابة تجدها في الأسئلة الشائعة من Tenable حول PHP2Shell.
خطوات التحديث الآمن: احمِ موقعك دون أن تعطّله
التحديث على عجل دون ترتيب قد يوقف موقعًا سليمًا بسبب تعارض إضافة قديمة مع إصدار أحدث، لذلك اتبع هذا التسلسل القصير:
أولًا: نسخة احتياطية كاملة. خذ نسخة كاملة من ملفات الموقع وقاعدة البيانات قبل لمس أي شيء، واحتفظ بها خارج الخادم نفسه إن أمكن. النسخة الاحتياطية هي خط الرجعة الوحيد إذا تعارض أي مكوّن مع الإصدار الجديد، وبدونها تتحول عملية أمان إلى مخاطرة.
ثانيًا: التحديث من الاستضافة إن كنت على خادم مشترك. في أغلب الاستضافات المشتركة، التصحيح مسؤولية الشركة نفسها، وقد طبّقته كثير من الشركات فعلًا على مستوى الخادم. راجع إعلانات شركتك أو راسل الدعم واسأل صراحة: «هل حدّثتم PHP إلى إصدار مصحّح ضد CVE-2026-109618؟» إن لم يفعلوا أو تأخروا، غيّر إصدار نطاقك من Select PHP Version أو MultiPHP Manager إلى أحدث إصدار متاح ضمن الأرقام الآمنة، ثم اختبر موقعك جيدًا.
ثالثًا: التحديث عبر مدير الحزم إن كنت تدير خادمك بنفسك. على خوادم لينكس، حدّث حزم PHP من المستودعات الرسمية أو مستودع Sury المعروف لأبونتو وديبيان باستخدام مدير الحزم (apt أو dnf)، وتأكد بعد التثبيت من رقم الإصدار الجديد بأمر php -v، ولا تنسَ إعادة تشغيل خدمة PHP-FPM أو خادم الويب حتى يعمل الكود المصحّح فعليًا.
رابعًا: الاختبار بعد التحديث. تصفّح موقعك صفحة صفحة: الصفحة الرئيسية، تسجيل الدخول، أي نماذج تواصل أو متجر، ولوحة التحكم. فإذا ظهر عطل، فغالبًا سببه إضافة أو قالب قديم لا يدعم الإصدار الأحدث، وحلّه تحديث ذلك المكوّن أو الرجوع مؤقتًا لإصدار مصحّح أقدم قليلًا — وليس البقاء على إصدار مصاب.
إجراءات مؤقتة إذا لم تستطع التحديث فورًا
إذا كان التحديث الفوري متعذرًا لسبب تقني أو لانتظار نافذة صيانة، طبّق هذه الإجراءات الوقائية مجتمعة لتقليل خطر الاستغلال — مع التأكيد أنها تخفيف مؤقت وليست علاجًا، ولا تغني أبدًا عن التصحيح:
- فرض memory_limit بقيمة -1 على مستوى الخادم: اضبط حد الذاكرة على -1 في إعدادات الخادم المركزية بحيث لا تستطيع التطبيقات تجاوزه أو تغييره، لأن أحد مساري الاستغلال يرتبط بما يحدث عند نفاد الذاكرة أثناء معالجة الطلبات.
- تعطيل تتبّع تقدّم الرفع: عيّن session.upload_progress.enabled على القيمة 0، فهذا يغلق المسار الذي تمر عبره الثغرة الثانية المرتبطة بحالة الجلسات أثناء رفع الملفات.
- إعادة تشغيل عمال PHP: بعد تغيير أي إعداد، أعد تشغيل خدمة PHP-FPM أو عمال PHP حتى تُطبَّق الإعدادات الجديدة وتُصفّى أي حالة قديمة عالقة في الذاكرة.
- تفعيل قواعد الجدار الناري إن توفرت: نشرت Cloudflare قواعد WAF تحجب أنماط الهجوم المعروفة حتى الآن؛ فعّلها إن كان موقعك خلفها، لكن تذكّر أنها تحجب الطرق المعروفة فقط ولا تصلح الخلل الأصلي في خادمك.
وطبّق قاعدة التحذير المشترك بحذافيرها: خادم لا تستطيع تصحيحه ولا حمايته مؤقتًا، الأَولى إيقافه عن العمل مؤقتًا حتى يُحدَّث، فتعطيل مخطط لساعات أهون بكثير من اختراق كامل. وبموازاة ذلك، لا تهمل حماية أجهزتك الشخصية التي تدير منها موقعك، فراجع مقارنة برامج الحماية لنظام ويندوز لتختار درعًا مناسبًا لجهازك.
أسئلة شائعة حول ثغرتي PHP2Shell
هل تحديث ووردبريس وإضافاته يكفي لحمايتي؟
لا، إطلاقًا. الثغرة في لغة PHP نفسها وليست في ووردبريس أو أي نظام إدارة محتوى، لذلك قد يكون موقعك محدّثًا بالكامل ويظل خادمه قابلًا للاختراق. العلاج الوحيد هو تحديث إصدار PHP على الخادم إلى أحد الإصدارات الآمنة: 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35.
موقعي صغير ولا يزوره أحد تقريبًا، هل أنا مستهدف فعلًا؟
نعم، لأن الهجمات الحالية آلية بالكامل؛ برامج مسح تجوب الإنترنت وتجرّب الاستغلال على كل خادم مصاب تجده بغض النظر عن حجم الموقع أو شهرته. الخادم الصغير المخترق مفيد للمهاجم كمنصة لإرسال البريد المزعج أو استضافة صفحات تصيّد، وقد رصدت شركات الحماية محاولات استغلال واسعة منذ 21 أكتوبر.
ماذا أفعل إذا كان موقعي على إصدار PHP قديم مثل 7.4 أو 8.0؟
هذه الإصدارات منتهية الدعم رسميًا، ولم تصلها إصلاحات جاهزة للتركيب السريع؛ الترقيعات موجودة فقط على مستوى الكود المصدري لمن يبني PHP يدويًا. الحل العملي هو الترقية إلى إصدار مدعوم ومصحّح (8.2 كحد أدنى بالأرقام الآمنة) بعد اختبار توافق موقعك وإضافاته، ويُفضّل إجراء ذلك على نسخة تجريبية أولًا إن أمكن.
شركة الاستضافة أعلنت أنها حدّثت PHP، هل أحتاج لفعل أي شيء؟
نعم، خطوة واحدة لا غنى عنها: تحقق بنفسك من رقم الإصدار الفعلي على موقعك بإحدى الطرق المذكورة في هذا المقال، ولا تكتفِ بالإعلان العام، لأن بعض الشركات تحدّث خوادمها تدريجيًا أو تتيح الإصدار الجديد دون تفعيله تلقائيًا على كل نطاق. فإن وجدت إصدارك ضمن الأرقام الآمنة فاختبر صفحات موقعك الأساسية ولوحة تحكمه سريعًا، وإن وجدته ما زال مصابًا بدّل الإصدار من لوحة الاستضافة بنفسك أو تابع مع الدعم حتى يتم التصحيح.
هل الإجراءات المؤقتة مثل تعطيل upload_progress تكفيني؟
تكفي فقط لكسب وقت قصير أثناء ترتيب التحديث، لا أكثر. ضبط memory_limit على -1 من الخادم وتعطيل تتبّع تقدّم الرفع وإعادة تشغيل عمال PHP وقواعد Cloudflare كلها تقلّل فرص الاستغلال، لكن الخلل يبقى موجودًا في الكود حتى يُثبَّت التصحيح الرسمي.
الخلاصة: حدّث اليوم، لا غدًا
ثغرتا PHP2Shell ليستا خبرًا عابرًا في نشرة أمنية؛ هما خلل بدرجة 9.2 في اللغة التي تشغّل معظم الويب، يُستغل فعليًا الآن، وتحذير وكالات NSA وFBI وCISA المشترك نادر الحدوث ولا يصدر إلا للخطر الأكيد. خطواتك واضحة وقصيرة: تحقق من إصدار PHP عندك من لوحة الاستضافة أو cPanel، وخذ نسخة احتياطية، وحدّث إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 عبر الاستضافة أو مدير الحزم، وطبّق الإجراءات المؤقتة إن تأخر التحديث. ساعة واحدة من العمل الوقائي اليوم توفّر عليك كارثة استرداد موقع مخترق غدًا.
