PHP2Shell (CVSS 9.2): ماذا تعني هذه الثغرة الحرجة في PHP لموقعك؟

في 22 أكتوبر 2026، كُشف عن ثغرتين حرجتين في PHP، اللغة التي تُشغّل الغالبية العظمى من مواقع الويب: ووردبريس، PrestaShop، جوملا، دروبال، وعدد كبير من المواقع المطوَّرة حسب الطلب. تُعرف الثغرتان باسم PHP2Shell (CVE-2026-109618 وCVE-2026-109619)، وقد قُيّمتا بدرجة 9.2 من 10 على سلّم CVSS، أي في مستوى «حرج».

إليك الأهم، دون مصطلحات معقّدة.

وضع متطوّر. تُنشر يومياً معلومات جديدة حول هاتين الثغرتين. نتابع الوضع عن كثب وسنحيّن هذا المقال تبعاً للمستجدات.

لماذا الأمر خطير؟

هذه المرّة، لا يأتي المشكل من إضافة سيئة البرمجة أو من قالب مخترق، بل من محرّك PHP نفسه. تتعلّق الثغرتان بطريقة إدارة المحرّك للذاكرة.

يتيح استغلالهما لمهاجم، دون حساب ودون كلمة مرور، تنفيذ شيفرته الخاصة على الخادم. عملياً، قد يجد الموقع المعرَّض نفسه:

وقد سُرقت بيانات حرفائه أو قاعدة بياناته؛
مصاباً ببرنامج خبيث أو معاد التوجيه نحو مواقع احتيالية؛
مستعملاً لإرسال البريد المزعج، ما يضرّ بسمعة رسائلك الإلكترونية؛
مشوَّهاً أو خارج الخدمة.

وتشير عدّة شركات متخصصة في الأمان إلى أولى محاولات الاستغلال. لذلك يجب التحرّك بسرعة.

من المعني؟

حسب التحاليل المنشورة، جميع إصدارات PHP من 5.4 إلى إصدارات 8.x معنية. أي عملياً تقريباً كل مواقع PHP المتاحة اليوم على الإنترنت.

وقد نشر مشروع PHP إصدارات مصحَّحة للفروع التي ما زال يدعمها: 8.2.35 و8.3.36 و8.4.27 و8.5.12. أما الإصدارات القديمة (7.4 و8.0 و8.1) التي لم تعد مدعومة رسمياً، فلا توجد لها سوى تصحيحات على مستوى الشيفرة المصدرية. وهذا سبب إضافي لعدم البقاء على إصدار PHP منتهي الدعم.

لا يحتاج موقعك أن يكون «سيئ الإنجاز» ليكون معرَّضاً: موقع ووردبريس محيَّن بالكامل يبقى معرَّضاً إذا لم يكن PHP على الخادم محيَّناً.

ما قمنا به للمواقع المستضافة لدى OVS Corp

فور الإعلان، طبّق فريقنا إجراءات حماية على كامل منصّة الاستضافة:

تحييد نقطة الدخول التي تستعملها هذه الهجمات؛
تشديد الحدود المطبَّقة على كل موقع؛
وحدة حماية إضافية، تمنع أيضاً ثغرتين أخريين في PHP لم تُصحَّحا رسمياً بعد.

هذه الحماية مفعّلة على جميع المواقع التي نستضيفها منذ 22 أكتوبر 2026. لا يحتاج عملاؤنا إلى تطبيق أي تصحيح أو تحديث لإصدار PHP. ونواصل متابعة ما ينشره مشروع PHP، ونطبّق كل تصحيح رسمي فور توفّره لبنيتنا التحتية.

هذا بالضبط دور الاستضافة المُدارة: المراقبة، والتفاعل في نفس اليوم، وحماية مواقعك قبل أن تضطرّ للانشغال بذلك.

ما يمكنك القيام به من جهتك

يبقى أمان المواقع مسؤولية مشتركة. وبعض العادات البسيطة تقلّل المخاطر بشكل كبير:

حيّن ووردبريس وPrestaShop وقوالبك وإضافاتك فور توفّر تحديث؛
احذف الإضافات غير المستعملة، حتى المعطَّلة منها؛
استعمل كلمات مرور قوية وفعّل المصادقة الثنائية على حسابات المسؤولين؛
احتفظ بنسخك الاحتياطية الخاصة، إضافة إلى نسخ مزوّد الاستضافة.

موقعك ليس مستضافاً لدينا؟

اسأل مزوّد الاستضافة إن كان قد طبّق التصحيح الرسمي أو إجراءات حماية ضد PHP2Shell، ومنذ متى. وإن لم يستطع إجابتك بوضوح، تواصل معنا: يمكننا التحقّق من مدى تعرّض موقعك واقتراح نقله إلى استضافة الويب الآمنة لدينا.

المصادر: النشرات الصادرة عن مشروع PHP وعن هيئات وشركات الأمان، ومنها Tenable والوكالة السيبرانية في سنغافورة.