أمن المواقع · PHP وLaravel · آخر مراجعة 24 أكتوبر 2026
قد تؤدي ثغرة أمنية خطيرة في PHP إلى تعريض المواقع الإلكترونية وبوابات العملاء والمتاجر الإلكترونية للخطر، حتى عندما تكون برمجتها سليمة.
في 21 أكتوبر 2026، أصدر مشروع PHP تحديثات أمنية لمعالجة ثغرتين خطيرتين تُعرفان باسم PHP2Shell، وتحملان الرقمين CVE-2026-109618 وCVE-2026-109619. وقد تتيح هاتان الثغرتان تنفيذ أوامر عن بُعد على الخوادم المتأثرة، مع رصد محاولات استغلال فعلية لهما من قبل باحثين أمنيين.
إذا كان موقع شركتك يعتمد على PHP أو WordPress أو Laravel، فمن المهم التحقق من إصدار PHP المستخدم وتطبيق التحديث الأمني المناسب في أسرع وقت.
في هذا الدليل، نستعرض ثغرة PHP2Shell، والمواقع التي قد تتأثر بها، والخطوات التي تساعدك على حماية موقعك الإلكتروني وتقليل المخاطر الأمنية.
01 · نظرة عامةما ثغرة PHP2Shell؟
PHP2Shell هو الاسم الذي أطلقه باحثون أمنيون على ثغرتين في بيئة تشغيل PHP، وهي البرمجية المسؤولة عن تنفيذ شيفرة PHP على الخادم وعرض صفحات الموقع. حصلت كلتا الثغرتين على درجة خطورة 9.2 من 10 وفق مقياس CVSS v4.0، وقد تسمحان للمهاجم بتنفيذ أوامر على الخادم دون الحاجة إلى تسجيل الدخول.
وتشمل الثغرتان:
| رقم الثغرة | ما الخلل، بلغة بسيطة |
|---|---|
| CVE-2026-109618 | إذا نفدت ذاكرة PHP في لحظة غير مناسبة، قد تبقى بيانات الطلب مُعدّة جزئياً، ثم تتعامل خطوة التنظيف في نهاية الطلب مع هذه البيانات المعطوبة كأنها سليمة. |
| CVE-2026-109619 | قد تبقى بعض البيانات الداخلية لطلب ما بعد تحرير الذاكرة التي تحملها، فيستخدمها طلب لاحق على عامل PHP نفسه قبل إعادة ضبطها. |
الخلل موجود في PHP، تحت تطبيقك. فقد يكون الموقع مكتوباً بشيفرة نظيفة ومتقنة ويبقى مكشوفاً، لأن الجزء المصاب يعمل قبل أن تبدأ شيفرتك. ويقول فريق PHP إن الخطر أعلى ما يكون مع خادم Apache الذي يستخدم mod_php، حيث يستطيع طلب من شخص غير مسجّل الدخول أن يستغل الخلل قبل تشغيل أي شيفرة من التطبيق.
أعلن فريق PHP عن الإصدار قبل يوم واحد، في 20 أكتوبر. وتقول شركة الأمن watchTowr إنها رصدت محاولات استغلال فعلية منذ 21 أكتوبر، وهو يوم صدور الإصلاحات.
02 · نطاق التأثرما المواقع التي قد تتأثر بثغرة PHP2Shell؟
كل موقع أو تطبيق يستخدم PHP للرد على طلبات الويب يدخل في نطاق الخطر حتى يُصلَح إصدار PHP الذي يعمل عليه، ومن ذلك:
- مواقع WordPress: مثل مواقع الشركات والمدونات والمتاجر الإلكترونية.
- تطبيقات Laravel: مثل بوابات العملاء وأنظمة الحجز وتطبيقات الأعمال المخصصة.
- تطبيقات PHP الأخرى: بما فيها المشاريع المبنية باستخدام Symfony وأطر العمل المشابهة.
- المتاجر الإلكترونية: مثل WooCommerce وMagento وShopware. وتقول شركة الأمن Sansec إنها متأثرة حتى لو كانت شيفرة المتجر نفسها سليمة.
- المواقع المبرمجة خصيصاً للشركات: مثل أنظمة إدارة العملاء والأدوات الداخلية وبوابات الخدمات.
ما يحدد درجة التعرض هو إصدار PHP الذي يخدم طلبات الويب وطريقة تشغيله. تدرج watchTowr كلاً من PHP-FPM وApache mod_php وphp-cgi وLiteSpeed وFrankenPHP ضمن النطاق. الموقع على استضافة مُدارة ربما أصلحه المزوّد بالفعل، أما الموقع على خادم سحابي خاص أو جهاز داخل الشركة فيبقى مكشوفاً حتى يحدّثه أحد.
ابدأ بالخوادم التي لم يعد لها مسؤول: موقع حملة قديمة، أو نسخة اختبار منسية، أو بوابة بناها مورّد لم يعد يعمل معكم. وإن كانت الحالة الأخيرة مألوفة لك، فدليلنا عن استلام مشروع برمجي من مورّد آخر يشرح كيف تستعيد الوصول.
03 · الأثرما الذي قد يحدث إذا كان الخادم مكشوفاً؟
عندما يتمكن المهاجم من تشغيل شيفرة على خادم الويب، تكون خطواته المعتادة بعدها:
- قراءة ملفات الخادم، ومنها ملفات الإعدادات التي تحتوي كلمات مرور قاعدة البيانات ومفاتيح الربط البرمجية (API).
- نسخ بيانات العملاء من قاعدة البيانات. وفي المملكة العربية السعودية والإمارات، يترتب على تسرّب البيانات الشخصية التزامات بموجب أنظمة حماية البيانات.
- زرع web shell، وهو سكربت مخفي يتيح للمهاجم العودة لاحقاً حتى بعد تحديث PHP.
- استخدام الخادم لإرسال رسائل مزعجة أو مهاجمة أنظمة أخرى أو تعدين العملات الرقمية.
هذه نتائج محتملة. فالخادم المكشوف ليس بالضرورة خادماً مخترقاً، ولا تذكر النشرات الرسمية حالات اختراق مؤكدة لمواقع بعينها. لكن الاستغلال الفعلي رُصد، ولذلك يحتاج أي خادم متصل بالإنترنت ولم يُحدَّث بعد إلى معالجة اليوم. والخادم الذي بقي دون تحديث عدة أيام بعد 21 أكتوبر يستحق مراجعة لسجلاته وملفاته أيضاً.
04 · الإجراءاتكيف تحمي موقع PHP الخاص بك؟
- اعرف إصدار PHP الذي يخدم طلبات الويبقد يعمل سطر الأوامر وخادم الويب بإصدارين مختلفين من PHP، فلا يطابق ناتج
php -vفي الطرفية بالضرورة ما يصل إليه الزوار. تحقق من جهة الويب، أو اسأل مزوّد الاستضافة كتابياً. - اقرأ النشرة الرسمية ونشرة المورّدإذا كانت PHP مثبّتة من نظام التشغيل (Ubuntu أو Debian أو Red Hat) أو من لوحة تحكم مثل cPanel أو Plesk، فقد يصدر المورّد الإصلاح برقم إصدار خاص به، ونشرته الأمنية هي التي تحدد النسخة المُصلَحة.
- حدّث، ثم أعد تشغيل كل عمليات PHPثبّت النسخة المُصلَحة وأعد تشغيل مجموعات PHP-FPM وApache وعمّال الطوابير وأي عمليات PHP طويلة التشغيل. العملية التي لم يُعَد تشغيلها ما زالت تشغّل الشيفرة القديمة.
- راجع السجلاتافحص سجلات خادم الويب وPHP-FPM منذ 21 أكتوبر بحثاً عن طلبات غير معتادة أو أعطال في العمّال، وابحث عن ملفات PHP جديدة أو معدّلة في مجلدات الموقع والرفع.
- تحقق من النسخ الاحتياطية والصلاحيات والأسرارتأكد من وجود نسخة احتياطية من قبل 21 أكتوبر جرّبت استعادتها فعلاً. وإن لاحظت ما يريب، غيّر كلمات مرور قاعدة البيانات ومفاتيح API، وراجع من يملك صلاحية الدخول إلى الخادم، واتبع خطة الاستجابة للحوادث.
- أضف جدار حماية WAF طبقةً إضافيةيفحص جدار حماية تطبيقات الويب الطلبات قبل وصولها إلى الخادم ويستطيع حجب أنماط الهجوم المعروفة. لكنه لا يعالج الخلل في PHP، فهو يساند التحديث ولا يحل محله.
# command-line PHP (may differ from the web server)
php -v
# web PHP: put this in a temporary file, read
# "PHP Version", then delete the file
يدرج مشروع PHP الإصدارات المُصلَحة التالية للثغرتين الأصليتين:
| فرع PHP | الإصدار المُصلَح | ملاحظات |
|---|---|---|
| PHP 8.5 | 8.5.12 | صدر في 21 أكتوبر 2026 |
| PHP 8.4 | 8.4.27 | صدر في 21 أكتوبر 2026 |
| PHP 8.3 | 8.3.36 | صدر في 21 أكتوبر 2026 |
| PHP 8.2 | 8.2.35 | ينتهي الدعم الأمني في 31 ديسمبر 2026 |
| 8.1 و8.0 و7.4 | لا يوجد إصدار على php.net | يوفر فريق أمن PHP إصلاحات محدودة؛ راجع مورّد نظام التشغيل أو الاستضافة |
| الإصدارات الأقدم | لا يوجد | خطّط للترقية |
05 · أطر العملهل يكفي تحديث Laravel أو WordPress؟
لا. فـLaravel وWordPress والإضافات وحزم Composer كلها شيفرة تطبيق، بينما تقع ثغرة PHP2Shell في بيئة تشغيل PHP تحتها. موقع WordPress بكل إضافاته المحدّثة، إذا كان يعمل بإصدار PHP لم يتلقّ الإصلاح الأمني، يبقى مكشوفاً. والعكس صحيح أيضاً: تحديث PHP لا يعالج إضافة قديمة، لذلك حافظ على تحديث الاثنين.
ولتطبيقات Laravel تعقيد إضافي، فإصدار إطار العمل يحدد إصدارات PHP التي يمكنك تشغيلها. إذا كان إصدار قديم من Laravel يُبقي تطبيقك على PHP 8.1 أو أقدم، فلا يوجد إصلاح من php.net لفرعك، والحل الدائم هو الترقية. وتنقل خدمة ترقية التطبيقات لدينا إصدارات Laravel وPHP إلى الأمام خطوة بخطوة.
06 · قائمة المهامما الخطوات التالية للشركات؟
- أعدّ قائمة بكل خادم وحساب استضافة يعمل بلغة PHP، ومنها المواقع الصغيرة ونسخ الاختبار.
- سجّل إصدار PHP الذي يستخدمه كل منها لطلبات الويب.
- حدّث إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 أو إلى النسخة المُصلَحة من المورّد، ثم أعد تشغيل PHP.
- اسأل مزوّد الاستضافة كتابياً هل طبّق الإصلاح ومتى.
- راجع السجلات وتغييرات الملفات منذ 21 أكتوبر.
- تأكد من وجود نسخة احتياطية سليمة يمكن استعادتها.
- خطّط لترقية أي نظام يعمل على PHP 8.1 أو أقدم.
- تابع php.net لصدور النشرة الكاملة لثغرة CVE-2026-115560.
مع إشعار مسبق مدته يوم واحد واستغلال رُصد منذ يوم الإصدار، لم يكن هناك وقت كافٍ لمعرفة من يتولى كل خادم. التطبيق الذي يحظى بصيانة منتظمة لديه مسؤول عن التحديثات، وقائمة بالخوادم وإصدارات PHP عليها، ومراقبة، ونسخة احتياطية مُختبَرة. وللشركات التي تورّد برمجيات إلى الجهات الحكومية السعودية سبب إضافي، إذ تشمل الضوابط الأساسية للأمن السيبراني من الهيئة الوطنية للأمن السيبراني إدارة الثغرات والتحديثات.
وبعد تطبيق الإصلاح، يمكن أن يؤكد تدقيق أمني لتطبيق الويب أو فحص للثغرات أنه لم تبقَ ثغرات أخرى مفتوحة.
لست متأكداً من إصدار PHP الذي تعمل عليه مواقعك؟
تتطلب حماية المواقع أكثر من تحديث أمني واحد. فهي تحتاج إلى صيانة منتظمة، ونسخ احتياطية موثوقة، وإدارة مناسبة للصلاحيات، وآلية واضحة للتعامل مع الثغرات الجديدة. بصفتها وكالة رقمية في دبي، تقدم VOILA خدمات تطوير المواقع الإلكترونية والتطبيقات المخصصة وصيانتها، لمساعدة الشركات على الحفاظ على كفاءة مواقعها واستقرارها.
يمكن لفريقنا مساعدتك في مراجعة بيئة PHP، والتحقق من توافق التطبيقات، والتخطيط لترقية Laravel وPHP، وتحسين إجراءات صيانة المواقع. سواء كنت تدير موقع WordPress أو تطبيق Laravel أو منصة PHP مخصصة، فإن الصيانة المنتظمة تساعد على تقليل المخاطر التي يمكن تجنبها وتحسين موثوقية موقعك.
هل تحتاج إلى مراجعة أمنية لموقعك؟
تواصل مع VOILA لمناقشة احتياجات تطوير موقعك وصيانة تطبيقاتك.
تعرّف على خدماتنا في التدقيق والأمن وصيانة التطبيقات.
اطلب مراجعة أمنية لـPHP
المصادر: PHP، النشرة الأمنية عن ثغرات تنفيذ الشيفرة عن بُعد والنشرة الإعلامية عن تتبّع تقدّم الرفع؛ نشرات GitHub GHSA-w8hw-w9fx-j79w وGHSA-6wmf-4rv5-p3rp؛ watchTowr، الأسئلة الشائعة عن PHP2Shell؛ Sansec، بحث PHP2Shell.
