ثغرة PHP2Shell التي كشفها الذكاء الاصطناعي: هل موقعك بـPHP محدَّث؟ اختبره مجانًا

في 21 أكتوبر 2026 أصدر فريق PHP تصحيحات عاجلة لثغرتين خطيرتين في محركه. وتشغّل PHP نسبة 70,3 % من المواقع المعروفة لغة الخادم فيها، حسب W3Techs (أغسطس 2026): WordPress وWooCommerce وPrestaShop وJoomla وجزء كبير من المواقع المطوَّرة حسب الطلب. إن كان موقعك منها، فالسؤال ليس هل أنت معني، بل هل حُدِّث خادمك.

تريد الجواب فورًا؟ اختبر موقعك مجانًا: تصلك النتيجة في 10 ثوانٍ.

ماذا حدث مع PHP في 21 أكتوبر 2026؟

أصدرت PHP الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35. وهي تصحح ثغرتين سُمّيتا PHP2Shell، مرجعهما CVE-2026-109618 وCVE-2026-109619، بتقييم 9,2 من 10 (CVSS 4.0). وقد قُدِّم موعد النشر يومًا واحدًا بعد تسرّب التفاصيل قبل التاريخ المقرر.

تتعلق الثغرتان بطريقة إدارة محرك PHP للذاكرة. الأولى تحدث عندما يبلغ طلبٌ حدّ الذاكرة في لحظة غير مناسبة: فتحتفظ PHP ببيانات نصف مكتملة وتعيد استعمالها. والثانية تترك، بعد خطأ فادح، حالة داخلية تشير إلى ذاكرة طلب سابق. وفي الحالتين، قد يصل المهاجم إلى تنفيذ شيفرة على الخادم.

وحسب مؤسسة PHP، ثبت تنفيذ الشيفرة عن بُعد بالإعدادات الافتراضية على Apache مع mod_php دون أي مصادقة، وتأكّد على PHP-FPM عبر مسارات تمر بشيفرة التطبيق.

لماذا يُقال إن الذكاء الاصطناعي هو من اكتشف الثغرة؟

لأن أهم البلاغات جاءت من فرق تعمل بنماذج الذكاء الاصطناعي. أبلغت شركة Calif فريق PHP بالمشكلة في 11 أغسطس 2026، وقدّمت Wiz سيناريوهات هجوم أخرى في 24 أغسطس، وأبلغت OpenAI من جهتها عن السبب نفسه ثم عن مسارات جديدة في 18 سبتمبر. وتقول Wiz إنها استعملت أدواتها الخاصة وعدة نماذج ذكاء اصطناعي لإيجاد الثغرة وتطوير الهجوم والتحقق من التصحيح.

وتوضح مؤسسة PHP أن إنسانًا يتخذ كل قرار ويعمل على كل تصحيح. لقد سرّع الذكاء الاصطناعي البحث، لكنه يسرّع أيضًا عمل المهاجمين. فقد رُصدت محاولات استغلال في الأيام التالية، بل وقبل النشر الرسمي، حسب SecurityWeek وThe Hacker News.

هل موقعك معني؟

نعم، إن كان يعمل بـPHP ولم يُحدَّث إصدار خادمه منذ 21 أكتوبر. وحسب Wiz، تكاد كل إصدارات PHP تتأثر بإحدى الثغرتين على الأقل، بما فيها إصدارات تعود إلى PHP 5.4.

والحالة الأخيرة ليست نادرة: حسب W3Techs، يعمل 63,1 % من المواقع التي تستعمل PHP بالإصدار 8 (أغسطس 2026). أما البقية فتعمل بإصدارات أقدم لم تعد تتلقى أي تصحيح أمني من PHP.

توضيحان يجنّبانك الاطمئنان الزائف. تحديث WordPress أو WooCommerce أو إضافاتك لا يغيّر إصدار PHP على الخادم. والموقع المبني بـNext.js، مثل المواقع التي نطوّرها، لا يستعمل PHP: فهو غير معني بهذه الثغرة تحديدًا، وإن كانت له تحديثاته الخاصة.

كيف تتحقق من إصدار PHP في 10 ثوانٍ؟

الطريقة الأسرع هي اختبارنا المجاني لإصدار PHP. يحمّل صفحتك الرئيسية مرة واحدة كما يفعل المتصفح، ويقرأ ما يعرضه الخادم علنًا، ثم يعطيك حكمًا. لا يرسل أي طلب هجوم، وهو مخصص لمالك الموقع: يطلب بريدًا إلكترونيًا من نطاقه وتصريحًا.

إذا كان موقعك يُخفي إصداره، وهي ممارسة جيدة، فتحقق منه بنفسك:

1. في لوحة الاستضافة: تعرض cPanel أو Plesk أو مساحة العميل لدى مزوّد الاستضافة إصدار PHP للموقع، غالبًا في « محدد إصدار PHP ».
2. في WordPress: الأدوات، ثم صحة الموقع، ثم معلومات، ثم الخادم: يعطي سطر « إصدار PHP » الرقم الدقيق.
3. على الخادم: يعرض الأمر php -v الإصدار. انتبه، فقد يستعمل الموقع إصدارًا مختلفًا عن سطر الأوامر.

الرقم المتبوع بلاحقة، مثل 8.1.2-1ubuntu2.19، يدل على إصدار يوفّره النظام (Ubuntu أو Debian). وقد يدمج المورّد التصحيح دون تغيير الرقم: اطلب من مزوّد الاستضافة تأكيد ذلك كتابيًا.

ماذا تفعل إن لم يكن موقعك محدَّثًا؟

موقف مؤسسة PHP واضح: يجب التحديث الآن. وتؤكد Wiz أن تحديث PHP يبقى العلاج الكامل الوحيد.

1. حدّث PHP إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 حسب الفرع، أو اطلب ذلك من مزوّد الاستضافة اليوم.
2. إن كنت على PHP 8.1 أو أقدم، خطّط للانتقال إلى إصدار مدعوم. قد يلزم تكييف القالب أو الإضافات أو الشيفرة: اختبر على نسخة قبل التحويل.
3. أخفِ الإصدار الذي ينشره الخادم (الإعداد expose_php = Off): فعرض رقم الإصدار يدلّ الروبوتات على ما يجب مهاجمته.
4. فعّل جدارًا ناريًا للتطبيقات إن كان متاحًا لك. فقد نشرت Cloudflare مثلًا قواعد ضد PHP2Shell. تقلّل هذه القواعد الخطر، لكنها لا تغني عن التحديث.
5. راقب علامات الهجوم التي رصدتها Wiz: أخطاء متتالية في حد الذاكرة، واستجابات 500 متكررة، وملفات تعريف جلسة طويلة بشكل غير طبيعي.

إن كنت لا تعرف من يدير خادمك، أو لم يردّ مزوّدك، صِف لنا موقعك: نتحقق من الإصدار الفعلي على الخادم، ونطبّق التصحيح أو الترحيل، ونتأكد من أن كل شيء يعمل بعد ذلك.

ما الذي يجب أن تحتفظ به للمستقبل؟

تذكّر هذه الثغرة بقاعدة كثيرًا ما تغيب عن عروض الأسعار: الموقع لا ينتهي يوم إطلاقه. فأمانه يتوقف على تحديثات منتظمة، منصوص عليها في عقد صيانة مكتوب. وهي من بنود قائمة التحقق التي نقترحها لتقييم عرض سعر متجر إلكتروني.

وإن كان موقعك يعمل بإصدار من PHP لم يعد يتلقى تصحيحات، فهذا أيضًا الوقت المناسب للحسم: الترحيل، أو إعادة بناء موقع أخف وأسهل في التحديث. اقرأ Next.js أم WordPress: كيف تختار، واطّلع على خدمتنا في إعادة التصميم والترحيل.

---

اقرأ أيضًا — لماذا Next.js لموقع شركة في تونس · موقع تعريفي أم متجر إلكتروني: كيف تختار