الإجابة المختصرة: ثغرتان حرجتان تُعرفان باسم PHP2Shell (CVE-2026-109618 وCVE-2026-109619) قد تسمحان للمهاجم بتنفيذ أوامر على الخادم دون تسجيل دخول، وذلك في أي موقع يعمل بإصدار PHP غير مُرقَّع. أصدر مشروع PHP نسخًا مصحّحة في 21 أكتوبر 2026، وفي اليوم نفسه أعلنت رئاسة الأمن السيبراني في تركيا بدء مسح على المستوى الوطني وأرسلت إشعارات عاجلة إلى المؤسسات. في 360 Soft نتحقق مما إذا كانت مواقعكم وخوادمكم متأثرة، ونطبّق التحديث أو إجراءً مؤقتًا، ونرقّي إصدار PHP عند الحاجة دون انقطاع. يعمل فريقنا من إسطنبول لخدمة الشركات في السعودية والإمارات وقطر وبقية دول الخليج.
ماذا حدث؟ تسلسل زمني مختصر
- 20 أكتوبر 2026: تسرّبت معرّفات CVE الخاصة بالثغرتين إلى العلن، وأعلن مشروع PHP عن إصدار أمني طارئ في اليوم التالي.
- 21 أكتوبر 2026، الساعة 14:00 بالتوقيت العالمي: صدرت النسخ PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، ومنح فريق أمن PHP الثغرتين درجة 9.2 وفق CVSS v4.0.
- مساء 21 أكتوبر 2026: أعلنت رئاسة الأمن السيبراني التركية وجوب ترقية الأنظمة المتأثرة إلى إصدارات آمنة دون تأخير وتقييد الوصول الخارجي إلى خدمات PHP الحرجة.
- الوضع الميداني: أبلغت Cloudflare وwatchTowr عن أولى محاولات الاستغلال، وعرض باحثون تنفيذ أوامر عن بُعد دون مصادقة على WordPress وDrupal وJoomla وMagento.
ما إصدارات PHP المتأثرة؟
بحسب الباحثين، فإن المسار البرمجي المتأثر موجود منذ PHP 5.4، أي أن كل إصدار تقريبًا استُخدم خلال العقد الأخير معرّض للخطر. يوضح الجدول ما يجب فعله لكل فرع.
| الإصدار المستخدم | الحالة | الإجراء المطلوب |
|---|---|---|
| PHP 8.5 | متأثر قبل 8.5.12 | التحديث إلى 8.5.12 |
| PHP 8.4 | متأثر قبل 8.4.27 | التحديث إلى 8.4.27 |
| PHP 8.3 | متأثر قبل 8.3.36 | التحديث إلى 8.3.36 |
| PHP 8.2 | متأثر قبل 8.2.35 | التحديث إلى 8.2.35 مع التخطيط للانتقال إلى 8.3 أو 8.4 لأن دعم 8.2 ينتهي في 31 ديسمبر 2026 |
| PHP 8.1 و8.0 و7.4 | متأثر، ولا يوجد إصدار رسمي من PHP | تحديث من المزوّد (cPanel أو CloudLinux) مع الانتقال إلى 8.3 أو 8.4 |
| PHP 7.3 وما قبله | متأثر، ولا يتوفر إصلاح في معظم البيئات | إجراء مؤقت مع ترقية عاجلة أو تغيير المنصة |
هل موقعكم متأثر؟ فحص في 3 خطوات
- اعرفوا إصدار PHP. في WordPress افتحوا الأدوات ثم صحة الموقع ثم المعلومات ثم الخادم، وفي cPanel شاشة “Select PHP Version” أو “MultiPHP Manager”. إذا كان الإصدار أقل من الإصدار الآمن في الجدول فالموقع معرّض للخطر.
- حددوا نوع الاستضافة. في الاستضافة المشتركة يطبّق المزوّد التحديث، أما في الخوادم الافتراضية والسحابة والخوادم الخاصة فالمسؤولية عليكم.
- اجردوا جميع الأنظمة. الموقع الرئيسي ليس الخطر الوحيد عادة؛ فمواقع الحملات وبوابات الموزعين والنطاقات الفرعية القديمة وبيئات الاختبار والعرض وأنظمة CRM والتطبيقات الداخلية تحمل الثغرة نفسها.
إجراءات أول 24 ساعة
- طبّقوا التحديث. وفق إعلان PHP فإن الحل الكامل الوحيد هو التحديث.
- إذا تأخر التحديث فطبّقوا إجراءً مؤقتًا: ضبط
session.upload_progress.enabled = 0في ملف php.ini أو مجمع PHP-FPM (للثغرة CVE-2026-109619)، وتحديد سقف للذاكرة لا يستطيع التطبيق تغييره (للثغرة CVE-2026-109618)، ثم إعادة تشغيل جميع عمليات PHP. لا يكفي ملف.user.ini أو الدالة ini_set() لهذا الإعداد. - قواعد جدار حماية التطبيقات (WAF): القواعد التي تنشرها Cloudflare وImunify360 وخدمات مشابهة تحجب أنماط الهجوم المعروفة، لكنها ليست حلًا دائمًا.
- قيّدوا الوصول الخارجي: افتحوا لوحات الإدارة وخدمات PHP الحرجة لعناوين IP موثوقة فقط.
- خذوا نسخة احتياطية: احفظوا نسخة من الملفات وقاعدة البيانات خارج الخادم قبل التحديث.
علامات الاختراق
لأن الثغرة تعمل تحت مستوى التطبيق، فإن سجلات التطبيق غالبًا لا تُظهر شيئًا. من العلامات التي تستدعي الانتباه في سجلات الخادم: طلبات multipart غير معتادة تنتهي بأخطاء حد الذاكرة، وتتابع استجابات HTTP 500، وملفات تعريف PHPSESSID كبيرة الحجم بشكل غير طبيعي، وإعادة تشغيل عمليات PHP دون سبب واضح. إذا ظهرت إحدى هذه العلامات فلا يكفي التحديث وحده؛ بل يجب تغيير كلمات مرور قواعد البيانات ومفاتيح API وحسابات المديرين وفحص سلامة الملفات.
باقات الاستجابة الطارئة من 360 Soft
| الباقة | النطاق | لمن |
|---|---|---|
| التحديث الطارئ | تحديد الإصدار، نسخة احتياطية، التحديث أو الإجراء المؤقت، إعادة تشغيل عمليات PHP، تقرير تحقق | المواقع المفردة والشركات التي لديها خادم افتراضي أو خادم خاص |
| ترقية الإصدار | الانتقال من 7.x أو 8.0 أو 8.1 إلى 8.3 أو 8.4، اختبارات التوافق، تحديث الإضافات والمكتبات، خطة تراجع | تطبيقات WordPress وLaravel وCodeIgniter وتطبيقات PHP الخاصة العالقة على إصدارات قديمة |
| التدقيق المؤسسي | جرد جميع النطاقات والخوادم، فحص الثغرات، التحقق من آثار الاختراق، خطة تغيير بيانات الدخول، تقرير للإدارة والمدققين | المجموعات القابضة والقطاع المالي والصحي والحكومي والتجارة الإلكترونية والشركات متعددة العلامات |
| تغيير المنصة | نقل أنظمة PHP القديمة غير القابلة للتحديث إلى.NET أو Node.js أو Laravel حديث | الأنظمة ذات الشيفرة القديمة صعبة الصيانة التي تحمل أعمالًا حرجة |
للتفاصيل راجعوا ترقية إصدار PHP والتدقيق الأمني لـ PHP للشركات والتحويل من PHP إلى.NET. وبعد تجاوز الطوارئ تتولى خدمة إدارة الثغرات الأمنية متابعة الثغرات الجديدة في جميع أنظمتكم، بينما يراقب مركز العمليات الأمنية SOC النشاط المشبوه على مدار الساعة.
كيف نعمل مع عملاء الخليج
- العمل عن بُعد أولًا: تُنجز معظم الأعمال عبر VPN أو خادم وسيط بصلاحيات محددة المدة ومسجّلة، ويمكن تقديم دعم ميداني عند الحاجة.
- تغطية بنظام المناوبات: يمكن ترتيب مناوبات على مدار 24 ساعة طوال أيام الأسبوع للحوادث، وتُجدول التحديثات وإعادة التشغيل في أوقات انخفاض الحركة لديكم. فارق التوقيت بين إسطنبول والرياض صفر، ومع دبي ساعة واحدة.
- حجم الفريق: من مهندس واحد لموقع واحد إلى فرق أكبر لمئات التطبيقات؛ نوفر فرقًا من شخص واحد إلى أكثر من 200 شخص.
- البدء: تبدأ أعمال الطوارئ فور تحديد النطاق، وتبدأ فرق الترقية أو الترحيل عادة خلال أسبوع إلى أسبوعين.
من الأكثر عرضة للخطر؟
- البنوك وشركات الدفع والتأمين: بيانات العملاء وأمن المعاملات، وفي تركيا التزامات التدقيق وفق لوائح أنظمة المعلومات الصادرة عن BDDK وSPK.
- المؤسسات الصحية: بيانات المرضى بيانات شخصية حساسة، والمسؤولية عند الاختراق كبيرة.
- الجهات الحكومية والبلديات: الإشعار العاجل لرئاسة الأمن السيبراني التركية يشمل هذه الجهات مباشرة.
- التجارة الإلكترونية والتجزئة: صفحات الدفع وحسابات العملاء وتكلفة التوقف في مواسم العروض.
- المجموعات والشركات متعددة العلامات: عشرات النطاقات ومواقع الحملات القديمة وأنظمة بنتها وكالات مختلفة تشكّل نقطة عمياء كبيرة.
عند وقوع خرق للبيانات الشخصية، يتوقع قانون حماية البيانات التركي KVKK إبلاغ الهيئة المختصة خلال 72 ساعة من العلم بالخرق. كما تفرض أنظمة حماية البيانات الشخصية في السعودية والإمارات (PDPL) التزامات إبلاغ خاصة بها، وتنطبق أيضًا أنظمة بلدكم وقطاعكم مثل متطلبات الجهات التنظيمية المالية والأمن السيبراني المحلية. لذا أشركوا فريقكم القانوني مبكرًا، فتأخير تحديث معروف يزيد المخاطر القانونية ومخاطر السمعة.
العقد والسرية وحماية البيانات
نعمل بموجب عقد خدمات بين شركات (B2B) بنطاق عمل واضح، ونوقّع اتفاقية عدم إفصاح (NDA) قبل أول اجتماع تقني عند الطلب. تنتقل ملكية جميع النصوص البرمجية والإعدادات والتقارير المُعدّة لكم إليكم. وعند الوصول إلى بيانات شخصية نلتزم بمتطلبات أنظمة حماية البيانات المعمول بها لديكم، مثل نظام حماية البيانات الشخصية في السعودية والمرسوم بقانون الاتحادي في الإمارات، وتخضع معالجتنا في تركيا لقانون KVKK. تُمنح الصلاحيات وفق مصفوفة صلاحيات وتُغلق عند انتهاء العمل وتُوثّق في التقرير النهائي.
الأسئلة الشائعة
ما هي PHP2Shell؟
PHP2Shell هو الاسم الذي أُطلق على ثغرتين حرجتين في مفسّر PHP تحملان المعرّفين CVE-2026-109618 وCVE-2026-109619. منح فريق أمن PHP كلتيهما درجة 9.2 وفق CVSS v4.0، وقد تسمحان بتنفيذ أوامر عن بُعد دون مصادقة.
شيفرة تطبيقي آمنة، فهل أتأثر رغم ذلك؟
نعم. الثغرة ليست في شيفرة تطبيقكم بل في مفسّر PHP نفسه. لا فرق بين WordPress وLaravel وMagento وDrupal وJoomla وPHP المكتوب خصيصًا؛ فكل موقع يعمل على إصدار PHP غير مُرقَّع معرّض للخطر.
ما إصدارات PHP الآمنة؟
الإصدارات الأمنية الصادرة في 21 أكتوبر 2026 هي 8.5.12 و8.4.27 و8.3.36 و8.2.35. لم يصدر إصدار رسمي لفروع 8.1 و8.0 و7.4، ويقدّم مزوّدون مثل cPanel وCloudLinux الإصلاح ضمن حزمهم الخاصة. أما 7.3 وما قبله فلا يتوفر لها إصلاح في معظم البيئات.
أستخدم استضافة مشتركة، فماذا أفعل؟
في الاستضافة المشتركة يحدّث المزوّد حزم PHP. اطلبوا منه تأكيدًا كتابيًا بتثبيت حزمة PHP المُرقّعة وإيقاف إعداد session.upload_progress.enabled. وإذا كان موقعكم على 8.1 أو أقدم فخططوا للانتقال إلى 8.3 أو 8.4.
كيف أعرف إن كنت قد تعرضت لهجوم؟
من العلامات التي شاركها الباحثون: طلبات multipart غير معتادة تنتهي بأخطاء حد الذاكرة، وتكرار استجابات HTTP 500، وملفات PHPSESSID كبيرة بشكل غير طبيعي، وإعادة تشغيل عمليات PHP دون تفسير. غالبًا لا تُظهر سجلات التطبيق شيئًا لأن المشكلة تعمل تحته، وعند الشك يلزم تحقيق جنائي رقمي وتغيير بيانات الدخول.
ما سرعة استجابة 360 Soft؟
نجري التقييم الأول في يوم استلام الطلب نفسه. في موقع على خادم واحد يكتمل التحديث أو الإجراء المؤقت غالبًا خلال 24 ساعة. أما في البيئات متعددة الخوادم أو القديمة أو المبنية خصيصًا فنعدّ جردًا أولًا ثم نعمل حسب الأولوية.
هل تكفي قاعدة WAF؟
لا. قواعد جدار حماية التطبيقات تحجب أنماط الهجوم المعروفة وتمنحكم وقتًا، لكن المتغيرات الجديدة قد تتجاوزها. الحل الكامل هو تحديث PHP.
هل تعملون خارج ساعات الدوام وفي عطلة نهاية الأسبوع؟
نعم. تصل الطلبات إلى الفريق خارج ساعات الدوام أيضًا، ويمكن ترتيب مناوبات على مدار الساعة طوال أيام الأسبوع لأعمال الحوادث.
هل توقعون اتفاقية عدم إفصاح؟
نعم. يمكن توقيع اتفاقية عدم الإفصاح قبل أول اجتماع، ونلتزم بمتطلبات حماية البيانات المعمول بها لديكم، وتخضع معالجتنا في تركيا لقانون KVKK.
ماذا نفعل بعد التحديث الطارئ؟
خططوا لترقية الفروع غير المدعومة، وأجروا تحققًا مستقلًا مثل اختبار الاختراق، وفعّلوا إدارة مستمرة للثغرات حتى تُكتشف الثغرة الحرجة التالية وتُعالج بسرعة.
اطلبوا الدعم الطارئ
أرسلوا إلينا عنوان موقعكم والمنصة المستخدمة (WordPress أو Laravel أو PHP خاص أو Magento وغيرها) ونوع الاستضافة (مشتركة أو خادم افتراضي أو سحابة أو خادم خاص). اتصلوا بنا على +90 850 335 10 87 أو راسلونا عبر واتساب أو البريد info@360-soft.com أو من خلال صفحة التواصل. 360 Soft Marketing Yazılım ve Danışmanlık Ltd. Şti.، Nidakule Ataşehir Batı, Barbaros Mah. Begonya Sk. No:1 D:2, 34746 Ataşehir/İstanbul. جميع الخدمات: خدمات التعهيد.
المصادر: إعلان أمن PHP (21 أكتوبر 2026)، بيان رئاسة الأمن السيبراني التركية (21 أكتوبر 2026)، ملاحظات تقنية من Tenable وWiz وInMotion Hosting وPatchstack. تعكس هذه الصفحة الوضع حتى 22 أكتوبر 2026 وستُحدّث مع المستجدات.
