ثغرة PHP2Shell: كيف استجابت Script لأحدث ثغرة حرجة في PHP

في 21 أكتوبر 2026، أصدر مشروع PHP تحديثات طارئة لثغرتين حرجتين أطلق عليهما الباحثون الأمنيون اسم PHP2Shell. إذا كان موقعك يعمل بلغة PHP — كما هو حال معظم مواقع WordPress وWooCommerce وLaravel والأنظمة المخصصة للشركات — فهذه الثغرة تعنيك. وخلال ساعات من الإعلان، كان فريق Script يحدّث خوادم عملائه.

إليك ما حدث، وما قمنا به، وما الذي عليك فعله إن وُجد.

ماذا حدث

‏PHP2Shell عبارة عن خللين منفصلين في لغة PHP نفسها، وليس في إضافة أو تطبيق بعينه. ويتيح كلاهما للمهاجم تشغيل أوامره الخاصة على خادم الويب دون تسجيل الدخول. وقد صُنّفت كل منهما بدرجة 9.2 من 10 (حرجة).

• CVE-2026-109618: طلب رفع مصمَّم بعناية يمكن أن يدفع PHP إلى نفاد الذاكرة وإفسادها.
• CVE-2026-109619: خلل من نوع «الاستخدام بعد التحرير» (use-after-free) يمكن فيه استغلال بيانات متبقية من طلب سابق في الطلب التالي.

تعود الثغرتان إلى الإصدار PHP 5.4، لذا فإن معظم خوادم PHP التي تقدّم صفحات الويب معرّضة للخطر، سواء كانت تعمل عبر PHP-FPM أو Apache mod_php أو php-cgi أو LiteSpeed أو FrankenPHP. والحل هو التحديث إلى أحد الإصدارات التالية أو أحدث منها:

انتهى الدعم المنتظم للإصدار PHP 8.1 وما قبله، ولا تتوفر لها سوى إصلاحات محدودة. وقد ظهرت أكواد إثبات مفهوم للاستغلال خلال يوم واحد. وتقول Rapid7 إن أيًّا منها ليس موثوقًا على نطاق واسع بعد، لكنها تتوقع هجمات فعلية قريبًا، فيما دعت CISA إلى التحديث الفوري.

كيف استجابت البحرين

تحرّك المركز الوطني للأمن السيبراني في البحرين في اليوم نفسه الذي صدر فيه التحديث. فقد أصدر الفريق الوطني للاستجابة لطوارئ الحاسب الآلي (Bahrain National CERT) النشرة NCSC-TAD-2610-002 بعنوان «ثغرات حرجة في PHP – يلزم الاستعداد الفوري» في 21 أكتوبر 2026، ودعا فيها المؤسسات إلى:

1. حصر جميع أنظمة PHP لديها، بما فيها المواقع التي تستضيفها جهات خارجية.
2. التحديث فور توفر الإصلاحات، بدءًا بالأنظمة المتصلة بالإنترنت.
3. الاتفاق مع مالكي التطبيقات ومزوّدي الخدمة على الجهة المسؤولة عن تحديث PHP.
4. تقييد الوصول إلى التطبيقات المكشوفة أو عزلها إذا تعذّر تحديثها سريعًا.
5. مراقبة السجلات والإبلاغ عن أي اختراق مشتبه به إلى Bahrain National CERT.

كيف استجابت Script

تعاملنا مع PHP2Shell كحالة طارئة منذ لحظة صدور النشرة، واتبعنا الخطوات نفسها التي أوصى بها المركز الوطني للأمن السيبراني:

1. التقييم. راجعنا نشرات PHP والمركز الوطني للأمن السيبراني، وحددنا جميع الأنظمة العاملة بلغة PHP التي نديرها لعملائنا.
2. الحماية. حيث تطلّب التحديث نافذة صيانة، طبّقنا أولًا إجراءات حماية مؤقتة: تعطيل تتبّع تقدّم الرفع في الجلسات وتشديد حدود حجم الطلبات.
3. التحديث. حدّثنا PHP على خوادم العملاء إلى الإصدارات المُصحَّحة.
4. التحقق. راجعنا سجلات الخوادم بحثًا عن أي مؤشرات على محاولات استغلال.
5. التواصل. أبقينا العملاء المعنيين على اطلاع طوال الوقت، حتى لا يبقى أحد متسائلًا عن سلامة أنظمته.

ما الذي عليك فعله

إذا كانت Script تدير استضافة موقعك أو صيانته: لا شيء. تم تحديث خوادمك، وسنتواصل معك مباشرة إذا احتاج أي أمر إلى انتباهك.

إذا كان موقعك مستضافًا لدى جهة أخرى:

• اسأل مزوّد الاستضافة عن إصدار PHP الذي يعمل عليه موقعك.
• تأكد من أنه 8.2.35 أو 8.3.36 أو 8.4.27 أو 8.5.12 أو أحدث.
• إذا كنت تستخدم PHP 8.1 أو أقدم، فخطّط للترقية، فهذه الإصدارات لم تعد تحصل على إصلاحات أمنية كاملة.
• لست متأكدًا؟ تواصل معنا وسنتحقق من ذلك نيابةً عنك.

الأمان جزء من خدمتنا

لا تنتظر ثغرات مثل PHP2Shell ساعات العمل الرسمية. لهذا نتابع النشرات الأمنية يوميًا، ونُبقي خوادم عملائنا على إصدارات PHP المدعومة، ونسارع إلى التحديث حين يكون الوقت حاسمًا. إذا كنت تريد فريقًا يراقب أمان موقعك عنك، تواصل مع Script Solutions.