التكنولوجيا · خبر
عطلان حرجان في PHP يُدعيان "PHP2Shell" يكشفان معظم الويب
نُشر:
باختصار
عطلتان حرجتان في PHP يُلقبان بـ "PHP2Shell" تسمحان للمهاجمين بتشغيل أكواد ضارة على خوادم الويب دون المصادقة، وفقاً لشركة الأمن السيبراني التي اكتشفتهما. تم إصدار تصحيحات لـ CVE-2026-109618 و CVE-2026-109619 في 21 أكتوبر 2026، بعد أشهر من إبلاغ الباحثين الأوليين عن الثغرات، وقد سجلت عدة شركات محاولات استغلال فعلية.
هذه النسخة ترجمة آلية للنص الأصلي (English). اقرأ النص الأصلي
في 21 أكتوبر 2026، أصدر مشروع PHP نسخاً معدلة من اللغة بعد أن كشف باحثو الأمان عن عطلتين حرجتين في تنفيذ الأكواد البعيدة يُطلق عليهما اسم "PHP2Shell". تم تتبع الأعطال باعتبارها CVE-2026-109618 و CVE-2026-109619، وقد اكتُشفت من قبل شركة الأمان السحابية Wiz Research، التي أعطت الفضل للمنظمات Calif و OpenAI لإسهاماتهما في الاكتشاف والتنسيق والتحقق من التصحيحات، وفقاً لتقرير Wiz العام.
ما الذي تفعله الثغرتان
تقول Wiz أن CVEs الاثنين يجمعان في الواقع أربعة أعطال أساسية مختلفة. يغطي CVE-2026-109618 عطل الاستخدام بعد التحرر في محلل بيانات تقدم تحميل الجلسة في PHP، والذي يمكن إساءة استخدامه لتنفيذ الأكواد البعيدة، بالإضافة إلى عطل ذو صلة يمكن أن يسرب الذاكرة من عملية عامل PHP قيد التشغيل دون المصادقة. يغطي CVE-2026-109619 عطل الاستخدام بعد التحرر في معالجة تتبع الأخطاء الحرجة في PHP وعطل التباس النوع المنفصل في OPcache، وهي ذاكرة مشتركة لـ PHP للأكواد الوسيطة.
وفقاً لـ Wiz، تقع كلا المشكلتين في مسارات أكواد تمر من خلالها تقريباً كل طلب PHP: إدارة الذاكرة والتعامل مع الأخطاء. أشار مؤسس PHP إلى نفس النقطة في تعليقات أبلغ عنها موقع SecurityWeek.
تقع كلا المشكلتين في أجزاء من PHP تلمسها تقريباً كل طلب: إدارة الذاكرة والتعامل مع الأخطاء.
جدول زمني للاكتشاف
تقول فريق بحث Wiz - المسماة في منشور مدونته باسم Sagi Tzadik و Shir Tamari و Nir Ohfeld و Tomer Schwartz - أنها وجدت الخطأ الأول في 19 أغسطس 2026، وأكدت استغلالات تنفيذ الأكواد البعيدة العاملة ضد عمليات تثبيت WordPress و Drupal في اليومين التاليين. أبلغ الفريق عن نتائجه لفريق أمان PHP في 24 أغسطس 2026. تبعتها الكشف العام والتصحيحات المناسبة في 21 أكتوبر 2026.
تقول Wiz أنها استخدمت نماذج البرمجة الذكية، بما في ذلك Gemini 4 Argon من Google و GPT-5.6 Sol من OpenAI، للمساعدة في بناء استغلالات إثبات المفهوم، واصفة العمل الذي كان سيستغرق باحثين متخصصين أشهراً بأنه يمكن إنجازه في ساعات.
من يتأثر
تقول Wiz أن الأعطال الأساسية موجودة في كل إصدار PHP تم إطلاقه على مدى حوالي العقد الماضي، مع وجود واحد على الأقل من CVEs الاثنين موجود من PHP 5.4 فما فوق. تقول الشركة أنها أكدت تنفيذ الأكواد البعيدة غير المصرح به ضد الإصدارات الحالية من ثلاثة أنظمة إدارة محتوى يُستخدم على نطاق واسع: WordPress و Drupal و Joomla. يبلغ SecurityWeek أن الأعطال تؤثر على طرق نشر PHP الشائعة، بما في ذلك PHP-FPM و Apache مع mod_php و php-cgi و FrankenPHP و LiteSpeed.
تؤطر Wiz نطاق التعرض بأنه يؤثر على حوالي 70٪ من الإنترنت، وهو إشارة إلى نسبة مواقع الويب التي تعمل على PHP بشكل ما، وفقاً لتقرير الشركة.
| البند | التفاصيل |
|---|---|
| CVE-2026-109618 | الاستخدام بعد التحرر في محلل بيانات تقدم تحميل الجلسة؛ يمكّن تنفيذ الأكواد البعيدة |
| CVE-2026-109619 | الاستخدام بعد التحرر في تتبع الأخطاء الحرجة بالإضافة إلى عطل التباس النوع في OPcache |
| الشدة | تقييم 9.2 من قبل فريق أمان PHP، وفقاً لـ SecurityWeek |
| الإصدارات المصححة | PHP 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35، تم إطلاقها في 21 أكتوبر 2026 |
| النسخ الخلفية | تم إصدار إصلاحات طفيفة أيضاً لـ PHP 7.4 و 8.0 و 8.1 |
| المكتشفون | Wiz Research، مع الفضل لـ Calif و OpenAI لإسهاماتهما في الاكتشاف والتنسيق والتحقق من التصحيحات |
محاولات الاستغلال منذ الكشف
راقبت عدة شركات أمنية حركة الهجوم حول الكشف. يبلغ SecurityWeek أن شركة watchTowr اكتشفت أول محاولات استغلال فعلية حول الوقت الذي وصلت فيه التصحيحات لكن لم تؤكد حساً ناجحاً. أخبرت Hadrian موقع SecurityWeek أنها لاحظت محاولات استغلال واسعة النطاق قبل حتى إطلاق التصحيحات، مركزة على مسار كود تقدم تحميل جلسة PHP. سجلت Patchstack و Cloudflare و Vega محاولات في يوم الكشف، وقالت Amazon إنها حددت محاولات استغلال قبل أربعة أيام من شحن التصحيحات.
لماذا يجعل نطاق PHP هذا مهماً
تم إنشاء PHP بواسطة مبرمج الدنماركي الكندي Rasmus Lerdorf، وتم إطلاقه لأول مرة في 1995، ويبقى أحد أكثر لغات البرمجة النصية من جانب الخادم استخداماً لبناء مواقع الويب، وفقاً لـ Wikipedia. يلاحظ نفس المصدر أنه اعتباراً من نوفمبر 2025، كان أكثر من نصف مواقع الويب التي تعمل بـ PHP لا تزال تعمل على فرع PHP 7 غير المدعوم، وحوالي 9.7٪ كانت لا تزال على PHP 5، التي توقفت منذ سنوات - وهو نمط برمجيات موروثة يقول الباحثون الأمنيون إنه يعقد الإصلاحات السريعة في جميع أنحاء نظام PHP الأوسع.
أسئلة
- ما هو PHP2Shell؟
- PHP2Shell هو اللقب الذي أطلقه الباحثون على عطلتين حرجتين في PHP، CVE-2026-109618 و CVE-2026-109619، التي يمكن أن تسمح لمهاجم بتشغيل أكواد على خادم ويب دون تسجيل الدخول، وفقاً لـ Wiz Research.
- ما إصدارات PHP المتأثرة؟
- تقول Wiz أن واحداً على الأقل من الأعطال الاثنين يؤثر على إصدارات PHP من 5.4 حتى الإصدارات الحالية. تم إصدار التصحيحات لـ PHP 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35، مع نسخ خلفية طفيفة لـ PHP 7.4 و 8.0 و 8.1، وفقاً لـ SecurityWeek.
- هل تم استغلال PHP2Shell فعلياً؟
- نعم. يبلغ SecurityWeek أن watchTowr و Hadrian و Patchstack و Cloudflare و Vega و Amazon سجلت جميعاً محاولات استغلال منفصلة، بعضها قبل إطلاق التصحيحات الرسمية في 21 أكتوبر 2026.
- من اكتشف ثغرات PHP2Shell؟
- اكتشفت شركة الأمان السحابية Wiz الأعطال بدءاً من 19 أغسطس 2026، وأبلغت فريق أمان PHP في 24 أغسطس 2026. أعطت Wiz الفضل للمنظمات Calif و OpenAI لإسهاماتهما في الاكتشاف والتنسيق والتحقق من التصحيحات، وفقاً لتقريرها.
- ما المنصات المؤكدة المتعرضة للخطر؟
- تقول Wiz أنها أثبتت تنفيذ أكواد بعيدة غير مصرح به ضد الإصدارات الحالية من WordPress و Drupal و Joomla التي تعمل على إصدارات PHP المتأثرة.
المصادر
أُعدّت هذه المادة بالذكاء الاصطناعي وخضعت لتدقيق آلي للمصادر قبل النشر. إن رأيت خطأً فاطلب تصحيحه. طلب تصحيح أو حق الرد · كيف نعمل
مواد ذات صلة
التكنولوجياقائمة
أفضل تطبيقات وأدوات Android يمكنك الحصول عليها خارج Google Play Store
مستخدمو Android ليسوا مقيدين بـ Google Play: مستودع مفتوح المصدر F-Droid وعميل Google Play المجهول Aurora Store وتطبيق متتبع التحديثات Obtainium وكتالوج ShizuStore المبني على Shizuku جميعها توزع تطبيقات لا يسردها المتجر الرسمي أو لا يسمح به. إليك تسعة متاجر وأدوات تستحق المعرفة بناءً على قوائمها الخاصة والتقارير من MakeUseOf و Pocket-lint.
التكنولوجيامقال
PHP2Shell: الثغرتان الحرجتان في PHP اللتان أجبرتا الحكومات على إيقاف مواقعها
PHP2Shell هو اللقب الذي أطلق على ثغرتين حرجتين بدون مصادقة لتنفيذ كود بعيد في لغة البرمجة PHP — CVE-2026-109618 و CVE-2026-109619 — تم الإفصاح عنهما في 20-21 أكتوبر 2026. لأن PHP تشغل حصة كبيرة جداً من مواقع الويب في العالم، فقد أجبرت الثغرات عدة حكومات على إيقاف مواقعها العامة كإجراء احترازي. الإصلاح الرسمي هو ترقية PHP؛ توجد تخفيفات مؤقتة على مستوى الخادم، لكن لا يمكن للقارئ الفردي فعل شيء سوى الانتظار لإشعارات الانتهاك واستخدام كلمات مرور قوية وفريدة.
التكنولوجيامقارنة
iPhone Duo مقابل Samsung Galaxy Z Fold7: مقارنة الهواتف القابلة للطي
أول هاتف قابل للطي من Apple، iPhone Duo، طرح للبيع في 23 أكتوبر 2026 بسعر ابتدائي قدره 1,999 دولار — أقل بسنت واحد من Samsung Galaxy Z Fold7 (1,999.99 دولار). يختلف الجهازان المحمولان بأسلوب الكتاب بشكل أساسي في حجم الشاشة وأجهزة الكاميرا والوزن وسرعة الشحن، بينما يبلغان أسعارًا ابتدائية متطابقة تقريبًا مع فاصل زمني يزيد عن سنة.
التكنولوجياخبر
PHP2Shell: نقطتا ضعف حرجتان في PHP تسبب إغلاقات مواقع عالمية
نقطتا ضعف حرجتان للتنفيذ البعيد للأكواد في لغة البرمجة PHP، بتتبع CVE-2026-109618 و CVE-2026-109619 وتُعرفان باسم "PHP2Shell"، تسمحان لمهاجمين غير مصرح لهم بتنفيذ أكواد على الخوادم المعرضة. أصدرت PHP تصحيحات في 21 أكتوبر 2026، بعد تسريب تفاصيل الاستغلال مبكراً، وقال باحثو الأمان أن الهجمات بدأت قبل وصول التصحيحات، مما دفع العديد من المؤسسات لإغلاق مواقعها كإجراء احترازي.