أدوات مستقلة لأمان PHP
تبدأ الإجابة الواضحة بالإصدار الصحيح. قارن إصدارك بحد إصلاح PHP2Shell واعرف الخطوة التالية المناسبة لبيئتك.
خصوصية: تبقى المدخلات في هذا المتصفح.
PHP هي أفضل لغة في العالم
01 / تحقق من الإصدار
ألصق إصدار PHP أو مخرجات php -v أو إصدارًا في كل سطر. هذه مقارنة للإصدارات وليست اختبار استغلال.
PHP2SHELL / FRAMEWORK / CMS
عالج PHP2Shell في موقعك أو مدونتك أو متجرك: حدّد PHP المستخدم، وافحص التوافق، وأزل عوائق الترقية، ثم تحقّق من إصلاح CVE-2026-109618 وCVE-2026-109619.
PHP2SHELL / أدوات PHP2Shell
افحص موقعا عاما أو راجع الإعدادات والسجلات محليا أو ابحث عن أدوات مفتوحة. توضح كل نتيجة الأدلة وحدودها.
افحص موقعا عاما أو راجع الإعدادات والسجلات محليا أو ابحث عن أدوات مفتوحة. توضح كل نتيجة الأدلة وحدودها.
01PHP هو المحرك خلف WordPress وLaravel والإضافات. تحديث إضافة لا يحدث PHP. قد يحول خللان في الذاكرة تنظيف الطلب غير الطبيعي إلى تسريب أو تنفيذ شيفرة. الفحص العام يعطي مؤشرات فقط؛ على المسؤول تأكيد بيئة Web الفعلية وتصحيحها.
02قد يشير multipart غريب أو تنبيه WAF إلى محاولة. قد تنتج OOM وSIGSEGV/SIGABRT وارتفاع HTTP 500 عن أعطال عادية أيضا. عمليات PHP الفرعية والاتصالات والملفات والحسابات غير المتوقعة تستدعي التحقيق. تسريب الذاكرة قد لا يترك webshell أو ملفا؛ الفحص النظيف لا ينفيه.
03سجل وقت الاكتشاف والنطاق والنسخة والبيئة والأعراض وآخر حالة موثوقة. صدر السجلات الأصلية مع التوقيت وتدقيق السحابة واللقطات المصرح بها المتاحة. قيد النسخ وسجل البصمات. لا ترسل cookies أو رموزا أو بيانات عملاء إلى ماسحات عامة. لا تمسح السجلات والملفات المشبوهة قبل حفظها.
04تشرح الأبحاث أخطاء تتجاوز الطلب. يثبت CVE-2026-109618 تنفيذ mod_php؛ قابلية FPM مبنية على الشيفرة دون استغلال FPM كامل لهذا CVE. يؤكد CVE-2026-109619 مسارا منفصلا يعتمد على التطبيق لتقدم الرفع في FPM. اقرأ GHSA لكل SAPI لتحديد الأدلة.
05تجمع Cloudflare الطلب واستجابة الأصل لحجب استجابات مشبوهة قبل تسريب محتمل. يفيد ذلك دون shell. النشر التاريخي لا يضمن تغطية حسابك؛ تحقق من القواعد والمسار والاستثناءات والأحداث. الأصل المباشر والأجهزة خارج الوكيل تحتاج التصحيح أيضا.
02 / أساس التصحيح
نشره فريق أمان PHP في 21 أكتوبر 2026. قارن داخل فرعك نفسه.
PHP.net ↗
| فرع PHP | الإصدارات الأصلية الأقل من | أول إصدار مصحح | نهاية الدعم الأمني |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 ديسمبر 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 ديسمبر 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 ديسمبر 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 ديسمبر 2026 |
لا يوجد إصدار PHP اعتيادي لهذه الفروع. تتوفر تصحيحات مصدر محدودة لـ 7.4 و8.0 و8.1؛ يجب التحقق من دعم المورّد منفصلًا. اقرأ الدليل ↗
03 / من الفحص إلى الإصلاح
اعثر على كل بيئات PHP ومصادر الحزم ومعالجات المواقع.
ثبّت البناء المصحح أو تصحيح المورّد الموثق.
استبدل العمليات النشطة وتحقق من كل نسخة.
حدّد php*-common وحزمة معالج Web وافحص الثغرتين في المتتبع.
اقرأ الدليلميّز حزم النظام وتدفقات التطبيق والمصادر الخارجية.
اقرأ الدليلإعادة تشغيل الحاوية نفسها لا تثبت تصحيحًا.
اقرأ الدليلقد يختلف PHP اللوحة عن النظام.
اقرأ الدليلتحديث WordPress أو Drupal أو Joomla لا يغيّر PHP.
اقرأ الدليلPHP2SHELL / CVE
PHP2Shell عائلة من أخطاء أمان الذاكرة في PHP نفسه. قد يعمل تطبيق محدّث على مفسر لم يُصحح بعد.
تخص CVE-2026-109618 خروج OOM المبكر الذي يترك ذاكرة غير مكتملة التهيئة لتستخدم أثناء التنظيف. يضيف التصحيح معالجة ذاكرة مرنة وصلبة. تأكد RCE كامل على mod_php. يعد FPM معرضًا لمسارات تطبيقية، دون إثبات استغلال كامل لهذه الثغرة عليه.
اقرأ الدليل ↗تترك CVE-2026-109619 مراجع إلى ذاكرة محررة. قد يستخدمها طلب لاحق للعامل نفسه قبل التهيئة. تشمل المسارات المؤكدة backtrace الأخطاء القاتلة في PHP 8.5 وتقدم رفع الجلسات. ثبت RCE على mod_php وFPM عبر مسار تطبيقي مناسب.
اقرأ الدليل ↗لا. ينهي FPM العملية الابنة عند فشل بدء الطلب، فيمنع بعض تسلسلات البداية. تبقى المسارات التطبيقية وبين الطلبات. لا تتساوى كل البيئات مع عرض mod_php، لكن FPM يحتاج التحديث أيضًا.
قد تحتفظ Ubuntu وDebian ولينكس المؤسسي برقم قديم مع مراجعة مصححة. الرقم 8.3.6 وحده ليس دليلًا. طابق النظام والمستودع والمعمارية والمراجعة مع كلتا الثغرتين. لا نخمن حدود إصدارات الحزم.
لا إصدارات PHP اعتيادية. التصحيحات المصدرية المحدودة لـ 7.4 و8.0 و8.1 استثناء؛ البناء والتحقق مسؤولية المشغّل. قد يصون مورّد OS أو LTS الحزم. يشمل البحث من 5.4 بشروط مختلفة. انتقل وتحقق من التصحيح المؤقت.
التصحيح الكامل وحده يعالج جميع الأنماط. قد تؤثر الإعدادات على الرفع والأداء والتوفر. طبّقها إداريًا قبل تحليل الطلب وأعد تشغيل كل عامل. اقرأ التنبيهين. CDN وWAF لا يثبتان إصلاح PHP.
ابدأ بالإصدار واتبع الأدلة وتحقق من العمليات التي تخدم موقعك فعلًا.