في هذه الصفحة
في 21 أكتوبر 2026، أصدر مشروع PHP الإصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. تعالج هذه الإصدارات ثغرتين حرجتين، CVE-2026-109618 وCVE-2026-109619، وهما الثنائي المعروف باسم php2shell. في ظروف معينة، تتيح هاتان الثغرتان لمهاجم غير مصادق عليه تنفيذ تعليمات برمجية على خادم يعمل بـ PHP. وتقولها PHP Foundation بوضوح: إذا كنت تستخدم PHP، فحدّث الآن.
قامت Vodlix بترقيع أنظمتها قبل الإعلان العلني عن الثغرات. ولم يكن على عملاء Vodlix فعل أي شيء.
الترقيع لا يحمي أحدًا ما لم يُثبّت على خادمك. وبالنسبة لأي عمل في مجال الفيديو، هذا هو جوهر php2shell.
ما هو php2shell؟
php2shell هو الاسم الذي يُطلق على ثغرتين مترابطتين لتنفيذ التعليمات البرمجية عن بُعد في PHP، هما CVE-2026-109618 وCVE-2026-109619. تقع كلتاهما في إدارة الذاكرة ومعالجة الأخطاء، وهي أجزاء من PHP تمر بها كل طلب تقريبًا. تصنّف تنبيهات مشروع PHP هاتين الثغرتين على أنهما حرجتان، وصدرت الإصدارات المصحّحة في 21 أكتوبر 2026.
تشير PHP Foundation وتنبيهات مشروع PHP إلى الثغرتين بأرقام CVE الخاصة بهما، لذا استخدم هذه الأرقام عند البحث في تنبيهات مورّديك وشركات الاستضافة التي تتعامل معها.
CVE-2026-109618: تلف في الذاكرة عند نفاد ذاكرة PHP
إذا وصل طلب ما إلى حد memory_limit في PHP في اللحظة الخطأ تمامًا، فقد يترك PHP بيانات داخلية مُهيّأة جزئيًا ثم يتعامل معها لاحقًا على أنها صالحة. على Apache مع mod_php، يمكن لطلب غير مصادق عليه أن يُطلق ذلك قبل تشغيل أي كود للتطبيق، وتقول PHP Foundation إن تنفيذ التعليمات البرمجية عن بُعد بشكل كامل تم إثباته بالإعدادات الافتراضية. كما تم تأكيد تنفيذ التعليمات البرمجية عن بُعد على PHP-FPM عبر مسارات كود التطبيق.
CVE-2026-109619: حالة قديمة متبقية من طلب سابق
يمكن لخطأ فادح يحدث في اللحظة الخطأ أن يترك حالة داخلية تشير إلى ذاكرة كانت تخص طلبًا سابقًا. وعندها يمكن لطلب لاحق على نفس الـ worker أن يستخدم تلك الذاكرة المُحرّرة. وبحسب PHP Foundation، أثبت المُبلّغ تنفيذ التعليمات البرمجية عن بُعد ضد تطبيق حقيقي على Apache مع mod_php.
ما إصدارات PHP التي تعالج ثغرة php2shell؟
الإصدارات المصحّحة هي PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، وقد صدرت جميعها في 21 أكتوبر 2026. وكل إصدار أقدم في هذه الفروع الأربعة متأثر، بحسب تنبيه مشروع PHP الخاص بـ CVE-2026-109618. إذا كنت تستخدم PHP 8.1 أو أقدم، فلا يوجد ترقيع لفرعك.
فرع PHP لديك | المتأثر | التحديث إلى |
|---|---|---|
8.5 | أقدم من 8.5.12 | 8.5.12 |
8.4 | أقدم من 8.4.27 | 8.4.27 |
8.3 | أقدم من 8.3.36 | 8.3.36 |
8.2 | أقدم من 8.2.35 | 8.2.35 |
8.1 وما قبله | لم يعد مدعومًا | فرع مدعوم، مثل 8.5.12 |
TechCrunch تذكر أن هذه الثغرات موجودة في كل إصدارات PHP منذ PHP 5 الذي صدر عام 2004، وأن PHP 8.1 وما قبله لم يعد مدعومًا. والمواقع التي تعمل بتلك الإصدارات أمامها عمل أكبر من مجرد تحديث بسيط.
من اكتشف الثغرات، ومتى؟
أبلغ الباحث Ryan A من شركة الأمن Calif مشروع PHP عن أول حالة تنفيذ تعليمات برمجية عن بُعد في 11 أغسطس 2026، خلال تدقيق بدأ في 30 يوليو 2026. ثم أبلغت Wiz وOpenAI عن مسارات هجوم إضافية. ويعود السبب الجذري إلى مشكلة في الذاكرة لاحظها فريق PHP لأول مرة في 2024.
يوضّح سرد PHP Foundation نفسها تسلسل الأحداث:
2024: خلال أول تدقيق أمني خارجي لـ PHP منذ سنوات، عثر أحد المطورين الأساسيين على أولى علامات مشكلة نفاد الذاكرة. لم يُعثر حينها على مسار هجوم ملموس، وتوقف الإصلاح.
30 يوليو 2026: بدأت Calif تدقيقًا لـ PHP ضمن برنامج Patch the Planet.
11 أغسطس 2026: أبلغ Ryan A من Calif عن تنفيذ تعليمات برمجية عن بُعد غير مشروط بنفس السبب الجذري. وأبلغت OpenAI بشكل مستقل عن نفس السبب الجذري.
24 أغسطس 2026: أبلغت Wiz عن نواقل هجوم إضافية.
18 سبتمبر 2026: أبلغت OpenAI عن نواقل هجوم إضافية.
21 أكتوبر 2026: أصدر PHP الإصدارات المصحّحة.
المؤسسة صريحة بشأن هذه الفجوة: فهي تصف التأخير بعد 2024 بأنه «فشل هيكلي» في عملية اتخاذ القرار داخل فريق الأمن ونقص موارده، وتقول إن الفريق يغيّر طريقة عمله.
ما مدى خطورة php2shell، وكيف تفاعل الإنترنت؟
الأمر خطير لأن PHP موجود في كل مكان، والسيناريو الأسوأ هو مهاجم ينفّذ تعليمات برمجية على خادمك. تذكر TechCrunch أن PHP يشغّل نحو 70% من مواقع الويب، وأن وكالة الأمن القومي الأمريكية نصحت بإيقاف الموقع عن العمل إذا تعذّر ترقيعه فورًا.
كما تذكر TechCrunch أن هذه الثغرات قد تتيح للمهاجمين الوصول إلى نظام الملفات في الخادم أو إلى قاعدة بيانات يستخدمها تطبيق الويب. ووقت نشر تقريرها في 21 أكتوبر، قالت OpenAI إن الباحثين اكتشفوا الثغرات قبل المهاجمين، ولم تكن هناك تقارير عن استغلال فعلي. لكن الإفصاح يغيّر ذلك، لأن التفاصيل أصبحت علنية الآن.
تحرك مزودو الخدمات السحابية في اليوم نفسه. فقد نشرت AWS النشرة الأمنية 2026-143-AWS في 21 أكتوبر 2026، مصنّفة «Important (requires attention)»، لبيئات تشغيل ويب PHP المتأثرة بكلتا الثغرتين.
ماذا يعني php2shell لمنصة بث أو موقع فيديو؟
يعني فحص كل جزء من عملك في مجال الفيديو يعمل بـ PHP، وليس المشغّل فقط. فموقع البث هو متجر، وصفحة تسجيل دخول، ومسار فوترة، وغالبًا موقع تسويقي أو مدونة. إذا كان أي من هذه يعمل بـ PHP على خادم تديره أنت أو شركة الاستضافة، فهو بحاجة إلى إصدار مصحّح.
الأمن هنا ليس مهمة تقنية فقط، بل مسألة تجارية. فموقع الفيديو الذي يتوقف عن العمل في انتظار ترقيع يتوقف عن بيع الاشتراكات والتأجير طوال فترة التوقف.
WordPress حالة شائعة. تذكر TechCrunch أن WordPress قال إن الثغرة ليست خاصة بـ WordPress، وأن المواقع التي تستخدمه يجب أن ترقّع خوادمها وتتعاون مع شركات الاستضافة.
الترقيع طبقة واحدة من الحماية. يغطي دليلنا حول أساسيات أمن OTT لحماية محتواك ومشاهديك الطبقات الأخرى، وتتناول صفحتنا حول أمن تسجيل الدخول لمنصات البث حسابات المشاهدين.
كيف تعاملت Vodlix مع php2shell؟
قامت Vodlix بترقيع أنظمتها ضد CVE-2026-109618 وCVE-2026-109619 قبل الإعلان العلني عن الثغرات في 21 أكتوبر 2026. في Vodlix، البرمجية الوسيطة وحدها هي التي تستخدم PHP، وهي ما تم ترقيعه. ولم يكن على عملاء Vodlix اتخاذ أي إجراء.
على منصة مُدارة مثل Vodlix، تُطبّق التحديثات الأمنية كهذه نيابة عنك. إذا أردت الإبلاغ عن مخاوف أمنية تخص Vodlix، فراسل [email protected].
ماذا تفعل إذا كنت تدير مواقع PHP الخاصة بك؟
حدّث كل تثبيت PHP تديره إلى إصدار مصحّح، أو اطلب من شركة الاستضافة القيام بذلك، واقرأ تنبيهات مزوديك. إذا تعذّر التحديث فورًا، فاتبع توجيهات وكالة الأمن القومي التي نقلتها TechCrunch وأوقف الموقع عن العمل حتى تتمكن من ذلك.
احصر كل ما يعمل بـ PHP. أدرج موقعك الرئيسي، وأي موقع أو مدونة WordPress، وصفحات الهبوط، وأدوات الإدارة.
تحقق من كل إصدار. قارنه بالجدول أعلاه.
حدّث أو اطلب من شركة الاستضافة. انتقل إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35. مع استضافة مُدارة، اطلب منهم تأكيد تاريخ التحديث.
خطّط لترقية الفروع القديمة. PHP 8.1 وما قبله لم يعد مدعومًا، لذا لن يصدر ترقيع لها.
اقرأ تنبيهات مورّديك. ابدأ بشركة الاستضافة ومزود الخدمات السحابية. وقد نشرت AWS تنبيهًا بالفعل.
تأكد من أن الإصدار الجديد قيد التشغيل. تحقق مجددًا بعد التحديث، على كل خادم.
الخطوة التالية
إذا كنت من عملاء Vodlix، فلا تحتاج إلى فعل أي شيء بخصوص php2shell. للاستفسارات، تفضّل بزيارة مركز مساعدة Vodlix أو تواصل مع فريق Vodlix.
إذا كنت تفكر في منصة مُدارة تتولى مثل هذه التحديثات نيابة عنك، فاطّلع على ميزات منصة Vodlix أو اطلب عرضًا توضيحيًا من Vodlix.
الأسئلة الشائعة
ما هو php2shell؟
php2shell هو الاسم الشائع لثغرتين حرجتين في PHP، هما CVE-2026-109618 وCVE-2026-109619. تستخدم التنبيهات الرسمية، مثل تنبيهات PHP Foundation، أرقام CVE. وكلتاهما ثغرة في إدارة الذاكرة ومعالجة الأخطاء في PHP تتيح، في ظروف معينة، لمهاجم غير مصادق عليه تنفيذ تعليمات برمجية على الخادم. عالجهما PHP في 21 أكتوبر 2026.
ما إصدارات PHP التي تعالج CVE-2026-109618 وCVE-2026-109619؟
تعالج الإصدارات PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35 كلتا الثغرتين. وقد صدرت في 21 أكتوبر 2026. وأي إصدار أقدم في الفروع 8.5 و8.4 و8.3 و8.2 متأثر. PHP 8.1 وما قبله لم يعد مدعومًا، لذا تحتاج المواقع التي تعمل بتلك الإصدارات إلى الانتقال إلى فرع مدعوم.
هل يحتاج عملاء Vodlix إلى فعل أي شيء بخصوص php2shell؟
لا. في Vodlix، البرمجية الوسيطة وحدها هي التي تستخدم PHP، وقد رقّعتها Vodlix قبل الإعلان العلني عن الثغرات في 21 أكتوبر 2026. ولم يكن على العملاء اتخاذ أي إجراء. إذا أردت الإبلاغ عن مخاوف أمنية تخص Vodlix، فيمكنك مراسلة [email protected].
هل يتأثر WordPress بثغرة PHP لشهر أكتوبر 2026؟
يعمل WordPress بـ PHP، لذا فإن مواقع WordPress معرّضة عبر إصدار PHP على الخادم. تذكر TechCrunch أن WordPress قال إن الثغرة ليست خاصة بـ WordPress، وأن المواقع التي تستخدمه يجب أن ترقّع خوادمها وتتعاون مع شركات الاستضافة. تحديث WordPress نفسه لا يغني عن تحديث PHP.
هل تم استغلال php2shell قبل صدور الإصلاح؟
ذكرت TechCrunch في 21 أكتوبر 2026 أنه، بحسب OpenAI، اكتشف الباحثون الثغرات قبل المهاجمين ولم تكن هناك تقارير عن استغلال فعلي في ذلك الوقت. والآن بعد أن أصبحت التفاصيل علنية، باتت الخوادم غير المُرقّعة أكثر عرضة للخطر، ولهذا نصحت وكالة الأمن القومي بإيقاف المواقع التي يتعذر ترقيعها.
ماذا أفعل إذا تعذّر عليّ تحديث PHP فورًا؟
تذكر TechCrunch أن وكالة الأمن القومي الأمريكية نصحت بأنه إذا تعذّر ترقيع موقع ويب فورًا، فيجب إيقافه عن العمل حتى يتسنى ذلك. اسأل شركة الاستضافة متى ستطبّق PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، واقرأ تنبيهها وتنبيه مزود الخدمات السحابية لديك، مثل نشرة AWS 2026-143-AWS.
هل أعجبك ما قرأته؟
اشترك للحصول على آخر الأخبار والاستراتيجيات والرؤى على الأعضاء التي تم تسليمها مباشرة إلى صندوق البريد الخاص بك.
