ثغرتان حرجتان في PHP ‏(CVE-2026-109618 وCVE-2026-109619): ما يحتاج عملاء سكايلاين إلى معرفته

22 أكتوبر 2026. أصدر فريق PHP في 21 أكتوبر 2026 تحديثات تعالج ثغرتين حرجتين هما CVE-2026-109618 وCVE-2026-109619، وتُعرفان معاً باسم «php2shell». قد تسمح كلتاهما لمهاجم بتشغيل أوامر على الخادم الذي يعمل عليه PHP دون أن يحتاج إلى تسجيل الدخول. وقد حدّثنا PHP على خوادم استضافة سكايلاين كلاود. نوضح في هذا المقال من المتأثر، وما الإصدارات التي تعالج المشكلة، وما المطلوب منك بحسب نوع استضافتك.

الخلاصة

• الثغرتان في محرك PHP نفسه، لا في تطبيق أو إضافة بعينها.
• تصنيف كلتيهما «حرجة»، بدرجة 9.2 على مقياس CVSS v4.0 وفق تقييم فريق PHP.
• تشملان تثبيتات PHP التي تخدم طلبات الويب، ومنها PHP-FPM وmod_php على Apache وphp-cgi وFrankenPHP وLiteSpeed. والخطر الأعلى على الإعدادات التي تستخدم mod_php.
• عولجتا في الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، ويؤكد فريق PHP أن التحديث هو الحل الكامل الوحيد.
• انتشرت التفاصيل قبل صدور التحديث، إذ نُشر رقما الثغرتين علناً في 20 أكتوبر، وتتوقع شركات أمنية ظهور أدوات استغلال علنية قريباً. فلا تؤجّل التحديث.

ما هاتان الثغرتان؟

CVE-2026-109618: تنفيذ أوامر عن بُعد بسبب خلل عند نفاد الذاكرة

عندما تنفد الذاكرة المتاحة لـ PHP، قد تقطع معالجةُ هذا الخطأ عملَه في لحظة لم تكتمل فيها تهيئة بيانات الطلب الداخلية، فتتعامل عملية التنظيف التي تليها مع بيانات غير صالحة كأنها صالحة. النشرة الأمنية: GHSA-w8hw-w9fx-j79w.

CVE-2026-109619: تنفيذ أوامر عن بُعد بسبب حالة داخلية متبقية

قد تبقى حالة داخلية تخص طلباً معيّناً بعد تحرير الذاكرة التي كانت تشغلها، ثم يستخدمها طلب لاحق يعالجه عامل PHP نفسه. النشرة الأمنية: GHSA-6wmf-4rv5-p3rp.

من المتأثر؟

كل موقع أو تطبيق يعمل على إصدار PHP لا يتضمن هذه الإصلاحات، ما دام PHP يخدم طلبات الويب. ولا يهم النظام الذي بُني به الموقع، فووردبريس وLaravel والبرمجيات المكتوبة خصيصاً كلها تعمل فوق محرك PHP نفسه.

لم يعد PHP 8.1 وما قبله يحصل على إصدارات رسمية. نشر فريق PHP تعديلات على الشيفرة المصدرية للإصدارات 7.4 و8.0 و8.1 لمن يبني PHP من المصدر، لكن نصيحته هي الانتقال إلى إصدار مدعوم.

ما الذي قامت به سكايلاين؟

في 22 أكتوبر 2026 حدّثنا PHP على خوادم استضافة سكايلاين كلاود وخوادم منصّات الويب لدينا إلى الإصدارات المصحَّحة (8.2.35 و8.3.36 و8.4.27 و8.5.12)، وأعدنا تشغيل PHP، ثم راجعنا مواقع العملاء بعد التحديث.

أما المواقع التي ما زالت على PHP 7.4 أو 8.0 أو 8.1 فثبّتنا لها أحدث إصدارات LiteSpeed، لكن فريق PHP لم يعد يصدر إصلاحات رسمية لهذه الإصدارات، ولذلك لا نستطيع القول إنها مصحَّحة بالكامل. ولهذا نطلب من أصحاب هذه المواقع الانتقال إلى إصدار أحدث.

ما المطلوب منك؟

استضافة سكايلاين كلاود على PHP 8.2 أو أحدث

لا شيء. موقعك يعمل على إصدار مصحَّح.

استضافة سكايلاين كلاود على PHP 7.4 أو 8.0 أو 8.1

ننصحك بشدة بنقل موقعك إلى PHP 8.2 أو أحدث. افتح أداة اختيار إصدار PHP للموقع في S Panel واختر 8.2 أو 8.3 أو 8.4 أو 8.5. قد تحتاج الشيفرات القديمة إلى تعديلات بسيطة لتعمل على إصدار أحدث، فإن لم تكن متأكداً من جاهزية موقعك فافتح تذكرة دعم أولاً، وسيساعدك فريقنا في اختبار الموقع قبل التبديل.

خادمك الخاص (VPS أو خادم سحابي تديره بنفسك)

في الخادم الذي تديره بنفسك، يقع تطبيق التحديث على عاتقك:

1. حدّث PHP من المصدر الذي ثبّتّه منه، مثل sudo apt update && sudo apt upgrade على Ubuntu أو Debian، أو من خلال التحديثات الأمنية لتوزيعتك.
2. تحقّق من النتيجة بالأمر php -v، وتحقّق كذلك من الإصدار الذي يستخدمه خادم الويب فعلاً، فقد يختلف عن إصدار سطر الأوامر.
3. أعد تشغيل PHP-FPM وخادم الويب ليُحمَّل الإصدار الجديد، مثل sudo systemctl restart php8.3-fpm.
4. إن كان الخادم يعمل على PHP 8.1 أو أقدم، فخطّط للانتقال إلى إصدار مدعوم.

وإن أردت المساعدة، افتح تذكرة دعم واذكر لنا الخادم المقصود.

الأسئلة الشائعة

هل موقعي على ووردبريس متأثر؟

ووردبريس يعمل فوق PHP، فالعبرة بإصدار PHP لا بووردبريس نفسه. إن كان موقعك على استضافة سكايلاين كلاود بإصدار PHP 8.2 أو أحدث فهو محدَّث بالفعل.

هل أحتاج إلى إعادة تشغيل أي شيء على استضافة سكايلاين كلاود؟

لا. أعدنا تشغيل PHP بعد التحديث.

هل يغني جدار الحماية عن التحديث؟

يؤكد فريق PHP أن التحديث هو الحل الكامل الوحيد، فحدّث PHP أو انتقل إلى إصدار مدعوم.

موقعي يعمل على PHP 8.1، فهل هو آمن؟

لا تصدر إصلاحات رسمية لـ PHP 8.1 وما قبله. ثبّتنا أحدث إصدارات LiteSpeed لهذه الإصدارات، لكن الحل الموصى به هو الانتقال إلى PHP 8.2 أو أحدث، ويستطيع فريق الدعم مساعدتك في اختبار الموقع أولاً.

تحتاج إلى مساعدة؟

افتح تذكرة دعم من بوابة سكايلاين كلاود على cloud.alskyline.com/support/new، أو راسلنا على sales@alskyline.com. اذكر لنا النطاق أو الخادم وإصدار PHP الذي يعمل عليه، وسنتابع معك. والإشعار نفسه منشور أيضاً على سكايلاين كلاود.

المصادر

• إعلان فريق PHP الأمني، 21 أكتوبر 2026: php.net/archive/2026.php
• تنبيه وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA)، 21 أكتوبر 2026، بعنوان «Critical Vulnerabilities in PHP Require Immediate Patching»: cisa.gov