ما هو PHP2Shell؟
يجمع PHP2Shell الثغرتين CVE-2026-109618 وCVE-2026-109619 في ذاكرة PHP نفسه، بتقييم CVSS v4.0 يبلغ 9.2 لكل منهما. أُثبت تنفيذ كود دون مصادقة وتسريب ذاكرة. نشرت الإصلاحات في 21 أكتوبر 2026، ولا تقتصر على نظام إدارة محتوى معين.
أي بيئات تحتاج فحصًا؟
حدّث جميع بيئات Web: FPM وmod_php وphp-cgi وFrankenPHP وLiteSpeed. ترث WordPress وDrupal وJoomla وMediaWiki وLaravel والتطبيقات المخصصة الخطر. احصر لوحات الإدارة والأجهزة والاختبارات والحاويات. تحديث التطبيق لا يستبدل PHP.
هل يُستثنى FPM؟
لا. ينهي FPM العملية الابنة عند فشل بدء الطلب، فيمنع بعض تسلسلات البداية. تبقى المسارات التطبيقية وبين الطلبات. لا تتساوى كل البيئات مع عرض mod_php، لكن FPM يحتاج التحديث أيضًا.
تصحيحات التوزيعات
قد تحتفظ Ubuntu وDebian ولينكس المؤسسي برقم قديم مع مراجعة مصححة. الرقم 8.3.6 وحده ليس دليلًا. طابق النظام والمستودع والمعمارية والمراجعة مع كلتا الثغرتين. لا نخمن حدود إصدارات الحزم.
PHP 8.1 والأقدم
لا إصدارات PHP اعتيادية. التصحيحات المصدرية المحدودة لـ 7.4 و8.0 و8.1 استثناء؛ البناء والتحقق مسؤولية المشغّل. قد يصون مورّد OS أو LTS الحزم. يشمل البحث من 5.4 بشروط مختلفة. انتقل وتحقق من التصحيح المؤقت.
التدابير المؤقتة غير كاملة
التصحيح الكامل وحده يعالج جميع الأنماط. قد تؤثر الإعدادات على الرفع والأداء والتوفر. طبّقها إداريًا قبل تحليل الطلب وأعد تشغيل كل عامل. اقرأ التنبيهين. CDN وWAF لا يثبتان إصلاح PHP.
التصحيح لا ينفي الاختراق
مقارنة الإصدار لا تكشف استغلالًا سابقًا. احفظ السجلات والصور وافحص الأعطال والملفات والعمليات والاتصالات الخارجية. غياب الأخطاء ليس دليلًا. عند الاشتباه اعزل، وبعد الاحتواء بدّل الأسرار المكشوفة من بيئة موثوقة.
طريقة التقييم
يقارن الفحص اليدوي الإصدارات المستقرة الكاملة لأربعة فروع منشورة. تحتاج حزم المورد إلى أدلة على كلا CVE وتبقى البنى المجهولة مجهولة. يجمع الفحص العام إصدارات معلنة ومؤشرات وليس إثبات استغلال. الترويسات المخفية أو CDN أو نسخة محدثة واحدة لا تثبت سلامة كل البيئات. تشير التواريخ إلى المراجعة التحريرية.
هل يثبت ماسح مجاني الاختراق؟
لا بشكل قاطع. الترويسات والأنماط تعطي مؤشرات دون البيئة الكاملة والتاريخ المفقود وتسريب الذاكرة. احصر واحفظ واربط. عند حسابات أو عمليات أو تسريب غير مفسر اعزل واستعن بالاستضافة أو فريق الاستجابة.
محاولة هجوم أم اختراق ناجح؟ →