PHP2Shell هو الاسم المتداول لثغرتين خطيرتين في لغة PHP، تحملان الرقمين CVE-2026-109618 وCVE-2026-109619. ويقول فريق PHP إنهما قد تسمحان بتنفيذ أوامر عن بُعد من دون مصادقة. حصلت كل منهما على درجة خطورة 9.2 وفق CVSS v4.0، وأصدرت PHP تحديثات أمنية عاجلة في 21 أكتوبر 2026.
ما هي ثغرة PHP2Shell؟
PHP لغة برمجة تعمل على الخوادم وتستخدمها مواقع وتطبيقات ويب. ويشير اسم PHP2Shell إلى مسار محتمل قد يحول طلبًا مصممًا لاستغلال الثغرة إلى تنفيذ أوامر على خادم غير محدّث. ويلخص Google Cloud إحدى الثغرتين بأنها خلل في تعامل PHP مع الذاكرة أثناء نفادها، والأخرى بأنها بقاء بيانات طلب سابقة في عامل الخدمة بعد تحرير الذاكرة. بما أن الخلل في PHP نفسها، فإن تحديث قالب الموقع أو إضافاته وحده لا يصلح بيئة التشغيل.
قد يتيح التنفيذ عن بُعد للمهاجم العمل بالصلاحيات الممنوحة لعملية خدمة الويب. وبحسب إعداد الخادم وصلاحياته، قد يشمل الأثر الوصول إلى ملفات أو أسرار التطبيق أو تعديل محتوى الموقع أو توسيع الاختراق. يختلف الأثر من خادم إلى آخر؛ ووجود إصدار متأثر لا يثبت وحده أن موقعًا بعينه اختُرق.
ما إصدارات PHP المتأثرة؟
يفيد Google Cloud بأن الإصدارات من PHP 5.4 وحتى PHP 8.5.11 متأثرة. وأصدرت PHP الإصدارات المصححة PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. أما PHP 8.1 وما قبله فقد انتهى دعمها، ولا يوفر مشروع PHP إصلاحات لها؛ لذا ينبغي لمسؤولي المواقع ترتيب الانتقال إلى فرع مدعوم بالتنسيق مع شركة الاستضافة.
ما الخطوات التي ينبغي لمشغلي المواقع اتخاذها؟
- اسأل شركة الاستضافة عن إصدار PHP الذي يخدم الموقع مباشرة، بما يشمل العمال أو بيئات الاختبار المنفصلة.
- حدّث سريعًا إلى أحدث إصدار مصحح ضمن فرع مدعوم، ثم تأكد من تطبيق التحديث فعلًا.
- إذا تعذر على الاستضافة التحديث، اسأل عن عزل خدمة PHP المتأثرة أو تعطيلها مؤقتًا ريثما يُجهز تحديث آمن. تقول PHP إنه لا يوجد حل بديل كامل؛ والتحديث هو الإجراء الآمن.
- راجع سجلات الخادم والتطبيق بحثًا عن طلبات غير معتادة أو تغييرات غير متوقعة في الملفات، خصوصًا قرب فترة الإعلان. إذا اشتبهت باختراق، تواصل مع الاستضافة أو مختص استجابة للحوادث، وغيّر بيانات الدخول المكشوفة واستعد نسخة سليمة عند الحاجة.
أفادت Amazon Threat Intelligence برصد محاولة استغلال PHP2Shell ضد خادم مصيدة في 17 أكتوبر، أي قبل الإعلان العام بأربعة أيام. يؤكد ذلك وجود نشاط استهداف مبكر، لكنه لا يثبت أن موقعًا محددًا تعرض لهجوم أو اختراق.
المصادر وحقوق الصورة
إصدارات PHP الأمنية · الشرح التقني من Google Cloud · Amazon Threat Intelligence. الصورة: Tony Webster، بترخيص CC BY 2.0.