CVE-2026-115560: ثغرة جديدة في PHP، دون إصلاح حتى الآن
نُشر 23.10.2026 · درجة الخطورة : متوسط · حُدّث 27.10.2026
ما يحدث: في 23 أكتوبر 2026، أبلغت PHP عن ثغرة جديدة، CVE-2026-115560، قد تسمح بتنفيذ رمز على الخادم عن بُعد. ظهرت بعد يومين من إصلاحات PHP2Shell، ولا توقفها الإصدارات المحدثة الصادرة في 21 أكتوبر.
مدى الخطورة: وفقًا لـ PHP، يتطلب الهجوم مزيجًا غير معتاد من الإعدادات والبرمجة: يجب أن يبدّل الموقع تنسيق بيانات الجلسة أثناء التشغيل، وأن تكون ميزة إظهار تقدم رفع الملفات مفعّلة. لم يتم الإبلاغ عن أي هجمات حتى الآن (CERT-FR، 27 أكتوبر 2026). ستعمل PHP على تصحيح الخطأ في الإصدار الرسمي التالي.
من المتأثر: المواقع التي تعمل على PHP — ومنها WordPress وJoomla وDrupal والعديد من المتاجر الإلكترونية — حيث تكون ميزة إظهار تقدم رفع الملفات (session.upload_progress) مفعّلة. وهي مفعّلة افتراضيًا.
ما ينبغي عليك فعله: توصي PHP بتعيين session.upload_progress.enabled=0 في ملف php.ini أو إعدادات الخادم حتى صدور الإصلاح، ثم إعادة تشغيل عمليات PHP. تُستخدم هذه الإعداد فقط لعرض التقدم أثناء رفع الملفات؛ لن يلاحظ معظم المواقع أي فرق. ثبّت الإصدار التالي من PHP فور صدوره.
هل أنت غير متأكد مما إذا كان موقعك الإلكتروني قد تأثر؟ راسلنا، وسنخبرك بما ينبغي فعله.