أثار الإعلان عن اكتشاف ثغرتين أمنيتين بالغتي الخطورة في لغة البرمجة PHP اهتمامًا واسعًا في الأوساط التقنية والأمنية حول العالم، نظرًا لاعتماد عدد كبير من المواقع الإلكترونية والمتاجر والأنظمة الرقمية على هذه اللغة لتشغيل خدماتها.

وتزداد أهمية هذا التحذير مع إمكانية استغلال الثغرتين لتنفيذ تعليمات برمجية على الخوادم عن بُعد دون الحاجة إلى تسجيل الدخول، مما قد يعرض بيانات المواقع ومستخدميها لمخاطر أمنية كبيرة.

في استضافة رؤيتنا لخدمات الويب، نحرص على نشر التوعية التقنية ومساعدة أصحاب المواقع والمتاجر الإلكترونية على فهم التهديدات الأمنية واتخاذ الإجراءات الوقائية المناسبة.

نستعرض في هذا المقال تفاصيل الثغرتين المعروفتين باسم PHP2Shell، والأنظمة التي قد تتأثر بهما، والإصدارات التي تتضمن الإصلاحات الأمنية، مع شرح خطوات التحقق من إصدار PHP وتحديثه بطريقة آمنة.

ما هي لغة PHP ولماذا تؤثر ثغراتها على المواقع الإلكترونية؟

PHP هي لغة برمجة تُستخدم على الخادم لمعالجة الطلبات وتشغيل الوظائف الديناميكية في المواقع والتطبيقات الإلكترونية.

وتعتمد عليها العديد من أنظمة إدارة المحتوى والتجارة الإلكترونية، ومنها WordPress وWooCommerce وDrupal وJoomla، بالإضافة إلى تطبيقات أخرى لإدارة العملاء والفواتير والخدمات الرقمية.

فعندما يسجل المستخدم دخوله إلى موقع إلكتروني، أو يرسل نموذج تواصل، أو ينفذ طلبًا عبر متجر إلكتروني، قد تتولى PHP معالجة جزء من هذه العمليات وربطها بقاعدة البيانات.

لذلك، فإن وجود ثغرة أمنية في PHP نفسها قد يؤثر على مواقع تستخدم أنظمة مختلفة، حتى لو كانت إضافاتها وقوالبها محدثة.

ما هي ثغرات PHP2Shell التي اكتُشفت في أكتوبر 2026؟

في 21 أكتوبر 2026، أعلن فريق تطوير PHP عن إصدار تحديثات أمنية طارئة لمعالجة ثغرتين حرجتين، تحملان المعرفين الأمنيين:

CVE-2026-109618: ثغرة تتعلق بمعالجة حالات نفاد الذاكرة، وقد تسمح باستغلال خلل في الحالة الداخلية للبرنامج لتنفيذ أكواد برمجية غير مصرح بها.

CVE-2026-109619: ثغرة تتعلق بإعادة استخدام بيانات داخلية في الذاكرة بعد تحريرها، وقد تؤدي إلى كشف معلومات حساسة أو تنفيذ أكواد خبيثة في ظروف معينة.

حصلت كل ثغرة على تقييم خطورة يبلغ 9.2 من 10 وفق معيار CVSS v4.0، وهو مستوى يستدعي التعامل معها بأولوية عالية.

وتكمن الخطورة الأساسية في إمكانية تنفيذ الأوامر عن بُعد (Remote Code Execution – RCE)، دون الحاجة إلى معرفة كلمة مرور الموقع أو امتلاك حساب إداري.

ومع ذلك، لا يعني استخدام PHP أن الموقع قابل للاختراق تلقائيًا؛ إذ تتوقف إمكانية الاستغلال على الإصدار المستخدم وطريقة تشغيل PHP وإعدادات الخادم وظروف الهجوم.

ما المخاطر المحتملة على المواقع والمتاجر الإلكترونية؟

قد يتمكن المهاجم، عند نجاح استغلال الثغرات في بيئة متأثرة، من تنفيذ أوامر ضمن صلاحيات عملية PHP على الخادم.

وقد تشمل النتائج المحتملة الوصول غير المصرح به إلى ملفات الموقع، أو كشف معلومات حساسة، أو الوصول إلى بيانات الاتصال بقواعد البيانات، أو تعديل الملفات وزرع برمجيات خبيثة.

وفي المتاجر الإلكترونية والمنصات التي تتعامل مع بيانات العملاء والطلبات، قد يؤدي الاختراق إلى تعطيل الخدمات أو تعريض سرية البيانات وسلامتها للخطر.

ولا تعني هذه المخاطر أن جميع المواقع التي تستخدم PHP قد تعرضت للاختراق، وإنما تؤكد ضرورة تطبيق التحديثات الأمنية وفحص الأنظمة المتأثرة دون تأخير.

ما إصدارات PHP التي تعالج الثغرتين؟

أصدر فريق PHP التحديثات الأمنية التالية بتاريخ 21 أكتوبر 2026:

هذه الإصدارات تعالج الثغرتين المعلنتين، ولا يلزم الانتقال إلى PHP 8.5 تحديدًا إذا كان موقعك يستخدم إصدارًا مصححًا ضمن فرع مدعوم آخر.

فعلى سبيل المثال، إذا كان موقعك يعمل على PHP 8.3.36، فإنه يتضمن الإصلاحات الخاصة بالثغرتين المذكورتين.

وتجدر الإشارة إلى أن بعض مزودي أنظمة التشغيل والاستضافة يوفرون تصحيحات أمنية لإصدارات أقدم دون تغيير رقم الإصدار الظاهر، وهي ممارسة تُعرف باسم Backporting. وفي هذه الحالة يجب التأكد من حالة التصحيح لدى المزود.

تنبيه: من المقرر انتهاء الدعم الأمني الرسمي لفرع PHP 8.2 في 31 ديسمبر 2026، لذا ينبغي التخطيط للانتقال إلى فرع أحدث ومدعوم بعد التأكد من توافق الموقع.

كيف تعرف إصدار PHP المستخدم في موقعك؟

يمكن لأصحاب المواقع التحقق من إصدار PHP دون الحاجة إلى معرفة تقنية متقدمة، وتختلف الطريقة بحسب نظام إدارة الموقع ولوحة الاستضافة.

الطريقة الأولى: معرفة إصدار PHP من لوحة WordPress

إذا كان موقعك يعمل باستخدام WordPress، يمكنك معرفة الإصدار الفعلي باتباع الخطوات التالية:

1. سجل الدخول إلى لوحة تحكم WordPress.
2. انتقل إلى أدوات (Tools).
3. اختر صحة الموقع (Site Health).
4. اضغط على تبويب معلومات (Info).
5. افتح قسم الخادم (Server).
6. ابحث عن خانة إصدار PHP (PHP Version).

سيظهر لك رقم الإصدار الكامل، مثل 8.3.36 أو 8.2.35.

قارن الرقم بالإصدارات المصححة الموضحة في الجدول السابق.

إذا كان الإصدار أقدم من الإصدار المصحح للفرع الذي تستخدمه، أو لم تتأكد من حالة التصحيح، فتواصل مع مزود الاستضافة للتحقق من التحديثات الأمنية.

الطريقة الثانية: معرفة إصدار PHP من لوحة cPanel

إذا كانت استضافتك تستخدم لوحة cPanel، فيمكنك اتباع الخطوات التالية:

1. سجل الدخول إلى لوحة cPanel الخاصة بموقعك.
2. انتقل إلى قسم البرامج (Software).
3. افتح أداة MultiPHP Manager – إدارة MultiPHP.
4. ابحث عن النطاق الإلكتروني الخاص بموقعك.
5. راجع إصدار PHP المخصص للنطاق.

قد يظهر لك الإصدار بصيغة PHP 8.3 (ea-php83).

مهم: هذا الرقم يوضح فرع PHP فقط، ولا يؤكد بمفرده تثبيت الإصدار الأمني الفرعي مثل 8.3.36. للحصول على تأكيد أدق، راجع معلومات الخادم داخل WordPress أو اطلب من مزود الاستضافة توضيح رقم الحزمة والتصحيحات المثبتة.

كيف تحدّث إصدار PHP بطريقة آمنة؟

تحديث PHP خطوة مهمة لمعالجة الثغرات الأمنية، إلا أن تغيير الإصدار دون مراعاة توافق الموقع قد يؤدي إلى ظهور أخطاء برمجية أو تعطل بعض الوظائف.

لذلك نوصي باتباع الإجراءات التالية:

أولًا: إنشاء نسخة احتياطية

احتفظ بنسخة احتياطية حديثة من ملفات الموقع وقاعدة البيانات، وتأكد من إمكانية استعادتها عند الحاجة.

ثانيًا: التحقق من توافق الموقع

تأكد من توافق نظام إدارة المحتوى والإضافات والقوالب والتطبيقات مع إصدار PHP المستهدف، ويفضل إجراء اختبار على بيئة تجريبية عند الانتقال بين الفروع الرئيسية.

ثالثًا: تثبيت التحديث الأمني

إذا كانت الاستضافة مشتركة، فإن تثبيت حزم PHP الأمنية على الخادم يكون عادة من مسؤولية مزود الاستضافة.

أما إذا كنت تدير خادمًا افتراضيًا VPS أو خادمًا مخصصًا، فقد تقع مسؤولية التحديث عليك أو على الجهة المسؤولة عن إدارة الخادم بحسب نوع الخدمة المتعاقد عليها.

رابعًا: اختيار الإصدار المناسب في cPanel

بعد التأكد من توفر إصدار PHP المصحح على الخادم، يمكنك الانتقال إلى MultiPHP Manager، وتحديد النطاق، واختيار الإصدار المناسب من القائمة ثم الضغط على Apply – تطبيق.

لاحظ أن هذه الخطوة تختار فرع PHP المتاح للموقع، وليست بديلًا عن تثبيت الحزم الأمنية نفسها على الخادم.

خامسًا: اختبار الموقع بعد التحديث

تأكد من عمل الصفحات الأساسية، وتسجيل الدخول، ونماذج التواصل، وعمليات الطلب والدفع، والوظائف التي تعتمد على إضافات PHP.

ويجب على مدير الخادم أيضًا التأكد من إعادة تشغيل خدمات PHP المتأثرة عند الحاجة لتفعيل الإصلاحات.

ماذا تفعل إذا لم تستطع تحديث PHP؟

إذا كان إصدار PHP المستخدم متأثرًا، وتعذّر تطبيق التصحيح مباشرة، فمن الضروري التواصل مع مزود الاستضافة وطلب خطة معالجة عاجلة.

قد تشمل الإجراءات المؤقتة تقييد الوصول إلى الخدمة المتأثرة، أو تطبيق ضوابط إضافية على مستوى الخادم، أو عزل النظام مؤقتًا إذا كانت المخاطر مرتفعة.

ولا ينبغي اعتبار جدار حماية تطبيقات الويب (WAF)، أو خدمات الحماية مثل Cloudflare، أو تغيير كلمات المرور، بدائل كاملة عن تحديث PHP.

كما يجب عدم تعديل إعدادات الذاكرة أو الجلسات أو رفع الملفات بصورة عشوائية؛ لأن بعض الإجراءات المؤقتة قد تتسبب في تعطيل وظائف الموقع، ولا تمنع جميع مسارات الاستغلال.

التحديث الأمني الفعلي هو الإجراء الأساسي لمعالجة الثغرتين.

هل تحديث WordPress أو الإضافات يكفي للحماية؟

لا.

تحديث WordPress والقوالب والإضافات أمر ضروري للحفاظ على أمان الموقع، لكنه لا يعالج بالضرورة الثغرات الموجودة في محرك PHP نفسه.

فقد يكون الموقع يستخدم أحدث إصدار من WordPress وجميع إضافاته محدثة، بينما يعمل على إصدار PHP يحتوي على ثغرة أمنية.

لذلك ينبغي الاهتمام بتحديثات نظام إدارة المحتوى وإضافاته، إلى جانب PHP ونظام التشغيل وخدمات الخادم.

ما دور شركة الاستضافة في حماية المواقع؟

تؤدي شركات الاستضافة دورًا أساسيًا في إدارة البيئة التقنية التي تعمل عليها المواقع الإلكترونية.

وفي الاستضافات المشتركة، تتولى الجهة المشغلة للخادم عادة مسؤولية توفير إصدارات PHP وتثبيت تحديثاتها الأمنية، بينما يختار صاحب الموقع الإصدار المتاح الذي يتوافق مع تطبيقه.

أما خدمات الخوادم الافتراضية والمخصصة، فتختلف فيها مسؤوليات التحديث والحماية بحسب ما إذا كانت الخدمة مُدارة أو غير مُدارة.

ولهذا ننصح أصحاب المواقع بالتواصل مع مزود الاستضافة وطلب التأكد من تطبيق الإصلاحات الأمنية المرتبطة بالثغرات:

CVE-2026-109618 وCVE-2026-109619.

ومن المهم أيضًا مراجعة سجلات الخادم عند وجود مؤشرات مشبوهة، إذ إن تثبيت التحديث يمنع مسارات الاستغلال المعروفة للثغرتين، لكنه لا يثبت عدم حدوث اختراق سابق.

تنبيه أمني إضافي بتاريخ 23 أكتوبر 2026

نشر فريق PHP تنبيهًا إضافيًا بشأن مسار استغلال غير معتاد يتعلق بميزة تتبع تقدم رفع الملفات خلال الجلسات (Session Upload Progress)، وارتباطه بتركيبة نادرة من إعدادات الجلسات وطريقة عمل التطبيق.

وأوصى الفريق بتعطيل الإعداد session.upload_progress.enabled مؤقتًا في البيئات المعنية إلى حين صدور الإصلاح المناسب، مع مراعاة أن تطبيق هذا الإجراء على مستوى الخادم ينبغي أن يتم بواسطة المسؤول التقني وبعد دراسة أثره.

ويؤكد هذا التنبيه أهمية متابعة الإعلانات الأمنية حتى بعد تثبيت التحديثات الأولية.

كيف تساعدك استضافة رؤيتنا؟

في استضافة رؤيتنا لخدمات الويب، نؤمن بأن التوعية التقنية جزء أساسي من حماية المشاريع الرقمية واستمرارية أعمالها.

ونقدم خدمات الاستضافة والحلول التقنية إلى جانب المساعدة في إدارة المواقع، ومتابعة توافق الأنظمة، وتوجيه العملاء نحو الممارسات المناسبة لتحديث مواقعهم وحمايتها.

إذا كنت غير متأكد من إصدار PHP المستخدم في موقعك، أو تحتاج إلى مساعدة في التحقق من توافق موقع WordPress أو متجرك الإلكتروني مع التحديثات الأمنية، يمكنك التواصل مع فريقنا للحصول على التوجيه التقني المناسب.

حماية موقعك تبدأ بمعرفة حالته التقنية، وتطبيق تحديثاته الأمنية، وعدم تأجيل معالجة الثغرات الحرجة.

تواصل مع استضافة رؤيتنا

المصادر والمراجع الرسمية

• PHP.net – الإعلانات الأمنية وتحديثات PHP الرسمية
• CERT-PH – التنبيه الأمني بشأن PHP2Shell
• WordPress – دليل فحص صحة الموقع
• cPanel – الدليل الرسمي لإدارة إصدارات PHP

إعداد: فريق استضافة رؤيتنا لخدمات الويب – 23 أكتوبر 2026.

هذا المقال إرشادي وتوعوي، ويستند إلى المعلومات الأمنية المتاحة وقت النشر. وقد تتغير التوصيات بصدور تحديثات جديدة من فريق PHP أو مزودي أنظمة الاستضافة.