ما هو PHP2Shell؟
يجمع PHP2Shell الثغرتين CVE-2026-109618 وCVE-2026-109619 في ذاكرة PHP نفسه، بتقييم CVSS v4.0 يبلغ 9.2 لكل منهما. أُثبت تنفيذ كود دون مصادقة وتسريب ذاكرة. نشرت الإصلاحات في 21 أكتوبر 2026، ولا تقتصر على نظام إدارة محتوى معين.
أي بيئات تحتاج فحصًا؟
حدّث جميع بيئات Web: FPM وmod_php وphp-cgi وFrankenPHP وLiteSpeed. ترث WordPress وDrupal وJoomla وMediaWiki وLaravel والتطبيقات المخصصة الخطر. احصر لوحات الإدارة والأجهزة والاختبارات والحاويات. تحديث التطبيق لا يستبدل PHP.
هل يُستثنى FPM؟
لا. ينهي FPM العملية الابنة عند فشل بدء الطلب، فيمنع بعض تسلسلات البداية. تبقى المسارات التطبيقية وبين الطلبات. لا تتساوى كل البيئات مع عرض mod_php، لكن FPM يحتاج التحديث أيضًا.
PHP 8.1 والأقدم
لا إصدارات PHP اعتيادية. التصحيحات المصدرية المحدودة لـ 7.4 و8.0 و8.1 استثناء؛ البناء والتحقق مسؤولية المشغّل. قد يصون مورّد OS أو LTS الحزم. يشمل البحث من 5.4 بشروط مختلفة. انتقل وتحقق من التصحيح المؤقت.
شرح PHP2Shell بلغة بسيطة
PHP هو المحرك خلف WordPress وLaravel والإضافات. تحديث إضافة لا يحدث PHP. قد يحول خللان في الذاكرة تنظيف الطلب غير الطبيعي إلى تسريب أو تنفيذ شيفرة. الفحص العام يعطي مؤشرات فقط؛ على المسؤول تأكيد بيئة Web الفعلية وتصحيحها.
أدوات PHP2Shell →الأدلة حسب بيئة تشغيل PHP
| بيئة التشغيل | CVE-2026-109618 ↗ | CVE-2026-109619 ↗ |
|---|---|---|
| Apache mod_php | تم إثبات RCE | تم إثبات RCE |
| PHP-FPM | خطر يعتمد على التطبيق؛ لم يثبت استغلال FPM كامل لهذه الثغرة | تم إثبات RCE عبر مسار تطبيق مناسب |
حدّث أيضًا php-cgi وFrankenPHP وLiteSpeed. توصي PHP بتحديث كل تثبيت يخدم الويب. يميّز الجدول المسارات المثبتة عن التعرض العام.