PHP2Shell: ثغرتان أمنيتان حرجتان في PHP – حدّث الآن
نُشر 21.10.2026 · درجة الخطورة : حرج · حُدّث 27.10.2026
ما يحدث: في 21 أكتوبر 2026، أصلحت PHP ثغرتين أمنيتين حرجتين، CVE-2026-109618 وCVE-2026-109619، المع名为 «PHP2Shell». يمكن أن تتيح كلتا الثغرتين تنفيذ كود على الخادم دون تسجيل الدخول. تتعلق الأولى بمعالجة نقص الذاكرة، بينما تتعلق الثانية ببيانات داخلية قد تستخدمها طلبات لاحقة بعد تحرير الذاكرة.
مدى الخطورة: حرج. نماذج من أكواد الهجوم متاحة للعامة، وقد رصد CERT-FR محاولات اختراق (27 أكتوبر 2026). وتدرج كلتا الثغرتين في قائمة CISA الأمريكية للثغرات التي يتم استغلالها بنشاط.
من المتأثر: جميع المواقع التي تعمل على PHP – ومنها WordPress وJoomla وDrupal والعديد من المتاجر الإلكترونية – باستخدام PHP 5.x أو7.x أو8.0 أو8.1، أو8.2 قبل 8.2.35، أو8.3 قبل 8.3.36، أو8.4 قبل 8.4.27، أو8.5 قبل 8.5.12. لم تعد PHP 5 و7 و8.0 و8.1 تتلقى تحديثات 보안.
ما ينبغي عليك فعله: حدّث إلى PHP 8.5.12 أو8.4.27 أو8.3.36 أو8.2.35 أو أحدث. اسأل مزوّد الخدمة عن إصدار PHP الذي يستخدمه موقعك. إذا كان يعمل على إصدار لم يعد يتلقى تحديثات، فيجب نقله إلى إصدار مدعوم. تتوفر إجراءات مؤقتة، لكنaccording لـ PHP فإنها لا تجعل التثبيت آمنًا؛ التحديث وحده هو ما يفعل ذلك.
اطلع أيضًا على CVE-2026-115560، وهي ثغرة جديدة في نفس المنطقة لم تُعالَج بعد. هل لديك شك بشأن موقعك الإلكتروني؟ راسلنا، وسنخبرك بما ينبغي اتخاذه.