الإجابة المختصرة: في 21 أكتوبر 2026 أعلنت رئاسة الأمن السيبراني في تركيا بدء مسح على المستوى الوطني بسبب ثغرتين حرجتين في PHP (PHP2Shell، CVE-2026-109618 وCVE-2026-109619) وأرسلت إشعارات عاجلة إلى المؤسسات. في الشركات الكبيرة نادرًا ما يكون الخطر في الموقع الرئيسي؛ بل يختبئ في مواقع حملات منسية وبوابات موزعين ونطاقات فرعية قديمة وتطبيقات داخلية. في 360 Soft نجرد جميع أصول PHP لديكم، ونحدّثها حسب الأولوية، ونتحقق من آثار الاختراق، ونسلّم تقرير إغلاق يمكن عرضه على الإدارة والمدققين.
صُممت هذه الخدمة للمجموعات القابضة والشركات الخاضعة للتنظيم والمؤسسات متعددة العلامات أو الدول أو الوكالات. إذا كنتم تحتاجون إلى حماية موقع واحد بسرعة فراجعوا إصلاح ثغرات PHP الأمنية.
مراحل الاستجابة المؤسسية لـ PHP2Shell
- الجرد الخارجي (0 إلى 48 ساعة): فحص النطاقات والنطاقات الفرعية وسجلات الشهادات ونطاقات IP، وتحديد إصدار PHP وتوقيع الخادم لكل نظام مكشوف على الإنترنت.
- ترتيب المخاطر: يُقيَّم كل نظام وفق انكشافه على الإنترنت ونوع البيانات التي يعالجها (شخصية أو مالية أو صحية) وإصدار PHP وحالة التحديث.
- إجراءات فورية: في الأنظمة التي سيتأخر تحديثها يُطبّق إعداد session.upload_progress وتقييد حد الذاكرة وقواعد WAF وتقييد الوصول الخارجي.
- التحديث وترقية الإصدار: التحقق من تحديثات المزوّد، والتخطيط للانتقال إلى 8.3 أو 8.4 للإصدارات غير المدعومة (7.x و8.0 و8.1).
- التحقق من آثار الاختراق: مراجعة سجلات الخادم وسلامة الملفات والمستخدمين غير المتوقعين والمهام المجدولة، وتغيير بيانات الدخول عند الحاجة.
- تقرير الإغلاق: الحالة لكل نظام والإجراءات المنفذة والمخاطر المتبقية والجدول الزمني، مع ملخص تنفيذي وملحق تقني.
الالتزامات حسب القطاع
يعمل فريقنا من تركيا، لذا فإن القواعد التركية أدناه جزء من قائمة التحقق المعتادة لدينا. وتنطبق إضافة إليها أنظمة بلدكم وقطاعكم، مثل أنظمة حماية البيانات الشخصية في السعودية والإمارات ومتطلبات الجهات التنظيمية المالية والأمن السيبراني المحلية، ونواءم مخرجاتنا معها بالتعاون مع فريق الامتثال لديكم.
| القطاع | سبب الأهمية | ما يجب مراعاته |
|---|---|---|
| البنوك والمدفوعات والتأمين | بيانات العملاء والمعاملات وتدقيق مستمر | لوائح أنظمة المعلومات الصادرة عن BDDK وSPK في تركيا، ملف أدلة للتدقيق الداخلي، متابعة اختبارات الاختراق |
| الرعاية الصحية | بيانات المرضى بيانات شخصية حساسة | KVKK وأنظمة حماية البيانات المحلية، سجلات الوصول، بوابات المواعيد والمرضى |
| الجهات الحكومية والبلديات | يشملها إشعار رئاسة الأمن السيبراني مباشرة | دليل أمن المعلومات والاتصالات في تركيا، بوابات المواطنين، الخدمات الإلكترونية |
| التجارة الإلكترونية والتجزئة | صفحات الدفع وحسابات العملاء وحركة الحملات | أمن المدفوعات، التحديث دون انقطاع، قواعد WAF وCDN |
| المجموعات والشركات متعددة العلامات | نطاقات كثيرة ووكالات مختلفة ومواقع قديمة | جرد مركزي، مصفوفة مسؤوليات، تقرير موحد |
| التعليم والإعلام والسياحة | حركة مرتفعة وتثبيتات WordPress كثيرة | ترقية جماعية للإصدارات، تنظيف الإضافات |
عند وقوع خرق للبيانات الشخصية يتوقع قانون KVKK إبلاغ الهيئة التركية لحماية البيانات خلال 72 ساعة من العلم به، ولأنظمة الخليج التزامات إبلاغ خاصة بها. إن ترك ثغرة معروفة دون تحديث قد يُحتسب ضدكم عند تقييم الإهمال، ونعمل مع فريقكم القانوني في التقييم القانوني.
المخرجات
- جدول جرد لجميع أصول PHP (النطاق، الخادم، الإصدار، المسؤول، درجة المخاطر)
- سجل بالتحديثات والإجراءات المؤقتة المطبقة
- نتائج التحقق من آثار الاختراق وقائمة بيانات الدخول التي جرى تغييرها
- خارطة طريق لترقية الإصدارات غير المدعومة أو تغيير المنصة
- ملخص مخاطر من صفحة واحدة لمجلس الإدارة
نماذج التعاقد
| النموذج | آلية العمل | الأنسب لـ |
|---|---|---|
| تدقيق واستجابة لمرة واحدة | نطاق محدد: جرد وتحديث وتحقق من الاختراق وتقرير إغلاق | المؤسسات التي تحتاج إلى إغلاق PHP2Shell بسرعة وإثبات ذلك |
| تدقيق مع برنامج ترقية | يتبع التدقيق مسار ترقية أو ترحيل مخطط للأنظمة غير المدعومة | البيئات التي تضم تطبيقات كثيرة على 7.x أو 8.0 أو 8.1 |
| خدمة مُدارة مستمرة | فحص مستمر وتقارير شهرية وتنسيق التحديثات ضمن إدارة الثغرات | الشركات التي تريد عملية ثابتة للثغرة الحرجة القادمة |
| فريق مخصص | مهندسون ينضمون إلى فريق الأمن أو المنصات لديكم عن بُعد أو في الموقع أو بنظام هجين | المجموعات الكبيرة التي لديها مركز SOC أو فريق منصات خاص |
الأدوار في الفريق
- قائد المشروع: النطاق والأولويات والتواصل مع الإدارة والمدققين.
- مهندسو الأمن: الجرد الخارجي والفحص والتحقق من الاختراق ومراجعة السجلات.
- مهندسو PHP وDevOps: التحديثات وترقية الإصدارات وتقوية الإعدادات وتعديلات CI/CD.
- محلل التقارير: جدول الجرد وملف الأدلة والملخص التنفيذي.
تتراوح الفرق بين شخص أو شخصين لبيئة متوسطة وفرق أكبر لمئات التطبيقات؛ ونستطيع التوسع من شخص واحد إلى أكثر من 200 شخص. يجري العمل عن بُعد أو في الموقع أو بنظام هجين، ويمكن ترتيب مناوبات على مدار الساعة في مرحلة الحادث.
مؤشرات الأداء في التقرير
| المؤشر | ما يوضحه |
|---|---|
| تغطية الجرد | نسبة أصول PHP المكتشفة ذات الإصدار والمسؤول المؤكدين |
| زمن الحماية | الوقت من الاكتشاف حتى التحديث أو الإجراء المؤقت لكل فئة مخاطر |
| الإصدارات غير المدعومة المتبقية | عدد الأنظمة على 7.x أو 8.0 أو 8.1 مع تواريخ مستهدفة |
| حالة التحقق من الاختراق | الأنظمة التي رُوجعت والنتائج وبيانات الدخول التي غُيّرت |
| الاستثناءات المفتوحة | الأنظمة التي لا يمكن تحديثها بعد مع الضوابط البديلة والمسؤول |
ما الذي يحدد حجم العمل (دون أسعار ثابتة)
- عدد النطاقات والنطاقات الفرعية والخوادم ضمن النطاق
- نسبة الأنظمة التي لا يُعرف مسؤولها أو لا توثيق لها
- عدد إصدارات PHP غير المدعومة والشيفرات الخاصة
- نموذج الوصول المطلوب (VPN أو خادم وسيط أو حضور ميداني)
- عمق التقارير الذي يطلبه المدققون أو الجهة التنظيمية
- الحاجة إلى العمل خارج ساعات الدوام أو بمناوبات مستمرة
قائمة تحقق لاختيار شريك الاستجابة
- هل يكتشف الشريك أصولًا لا تعرفونها، وليس فقط ما في قائمتكم؟
- هل يتحقق من تحديثات المزوّد بدل الاكتفاء بأرقام الإصدارات؟
- هل يتحقق من آثار الاختراق وليس من حالة التحديث فقط؟
- هل يُمنح الوصول بموجب اتفاقية عدم إفصاح ومصفوفة صلاحيات ويُغلق في النهاية؟
- هل يصلح التقرير للفريق التقني ولمجلس الإدارة معًا؟
- هل يستطيع متابعة الترقية أو الترحيل للأنظمة القديمة؟
العقد والسرية وحماية البيانات
نعمل بموجب عقد خدمات بين شركات (B2B) بنطاق عمل محدد، وتُوقّع اتفاقية عدم الإفصاح قبل أول اجتماع. تنتقل ملكية التقارير والنصوص البرمجية والإعدادات إليكم. وعند معالجة بيانات شخصية نلتزم بأنظمة حماية البيانات الشخصية المعمول بها في السعودية والإمارات وقطر بحسب الحالة، وتخضع معالجتنا في تركيا لقانون KVKK.
خدمات ذات صلة: ترقية إصدار PHP والتحويل من PHP إلى.NET للأنظمة القديمة، وإدارة الثغرات الأمنية للفحص المستمر، ومركز العمليات الأمنية SOC للرصد.
الأسئلة الشائعة
لدينا عشرات النطاقات ومواقع بنتها وكالات مختلفة، فمن أين تبدؤون؟
نبدأ بحصر جميع الأصول الظاهرة من الخارج: النطاقات والنطاقات الفرعية ونطاقات IP وسجلات الشهادات. ونجمع إصدار PHP ونوع الاستضافة والمسؤول عن كل نظام في جدول واحد، ثم نحدد ترتيب الأولوية وفق درجة المخاطر: الانكشاف على الإنترنت وحساسية البيانات والإصدار.
هل يجب أن نمنحكم وصولًا إلى خوادمنا؟
يمكن إجراء الجرد الخارجي وتحديد الإصدارات دون وصول. أما التحديث ومراجعة السجلات والتحقق من الاختراق فتحتاج إلى وصول محدود ومؤقت يُمنح بموجب اتفاقية عدم إفصاح ومصفوفة صلاحيات، ويُغلق عند انتهاء العمل ويُوثّق في التقرير.
هل تقدمون تقريرًا للمدققين ومجلس الإدارة؟
نعم. يحصل الفريق التقني على قائمة بالنتائج والإجراءات لكل نظام، وتحصل الإدارة على ملخص مخاطر من صفحة واحدة مع حالة الإنجاز. والتقرير مُعدّ ليُستخدم ملف أدلة في عمليات التدقيق الداخلي والامتثال.
ماذا تفعلون إذا كنا قد تعرضنا لهجوم بالفعل؟
نعزل النظام المتأثر أولًا، ثم نراجع السجلات والملفات مع الحفاظ على الأدلة. تُغيّر بيانات الدخول ومفاتيح API ومفاتيح الجلسات، وإذا تأثرت بيانات شخصية نجهّز المعلومات التقنية التي يحتاجها فريقكم القانوني لإجراءات الإبلاغ.
هل تعملون ليلًا وفي عطلة نهاية الأسبوع؟
نعم. في طلبات الطوارئ المؤسسية يُخطط للعمل ليلًا وفي العطل، وتُنفذ التحديثات وإعادة التشغيل في أوقات انخفاض الحركة لتقليل مخاطر الانقطاع.
ما الأنظمة التنظيمية التي تراعونها؟
يعمل الفريق في تركيا، لذا فإن KVKK ولوائح BDDK وSPK عند الاقتضاء جزء من قائمة التحقق لدينا. وتنطبق أيضًا أنظمة بلدكم وقطاعكم، ونواءم التقرير مع فريق الامتثال لديكم.
كم يستغرق التدقيق المؤسسي؟
يكتمل الجرد الخارجي خلال أول 48 ساعة. وتعتمد المدة الإجمالية على عدد الأنظمة وترتيبات الوصول وعدد الإصدارات غير المدعومة، ونشارككم الجدول الزمني بعد الجرد.
هل يمكنكم المتابعة بعد التدقيق؟
نعم. يمكن نقل الأنظمة غير المدعومة إلى مسار ترقية أو تغيير منصة، ووضع البيئة كاملة تحت إدارة مستمرة للثغرات.
هل تعملون مع مركز SOC أو مزوّد الأمن الحالي لدينا؟
نعم. يمكننا العمل بتنسيق مع مركز العمليات الأمنية أو مزوّد الخدمات الأمنية أو فريقكم الداخلي، وإدخال نتائجنا في أدواتهم وإجراءات التذاكر لديهم.
اطلبوا الاستجابة المؤسسية
أخبرونا باسم شركتكم والعدد التقريبي للنطاقات والخوادم والمسؤول التقني الذي نتواصل معه. يتصل عضو متمرس من الفريق بالطلبات المؤسسية في اليوم نفسه، وتُوقّع اتفاقية عدم الإفصاح قبل أول اجتماع. الهاتف: +90 850 335 10 87، واتساب، البريد info@360-soft.com، أو صفحة التواصل. 360 Soft Marketing Yazılım ve Danışmanlık Ltd. Şti.، Nidakule Ataşehir Batı, Barbaros Mah. Begonya Sk. No:1 D:2, 34746 Ataşehir/İstanbul.
المصادر: بيان رئاسة الأمن السيبراني التركية (21 أكتوبر 2026)، إعلان أمن PHP، ملاحظات تقنية من Tenable وWiz. آخر تحديث: 22 أكتوبر 2026.
