PHP2Shell: ما الذي يجب أن يفعله أصحاب المواقع العربية مع ثغرة PHP الحرجة، وكيف توقف موقعك مؤقتًا دون أن تخسر ترتيبك

في 21 أكتوبر 2026 أصدرت PHP تحديثات طارئة (8.5.12 و8.4.27 و8.3.36 و8.2.35) لثغرتين حرجتين تُعرفان باسم PHP2Shell، قد تسمحان لمهاجم بتشغيل أوامر على الخادم دون تسجيل دخول. أغلب المواقع الصغيرة والمتوسطة في السعودية والإمارات ومصر وبقية العالم العربي تعمل بووردبريس على PHP، وكثير منها على استضافة مشتركة لا يدخل صاحبها لوحتها أصلًا. قرأنا في 25 أكتوبر إصدار PHP الذي يعلنه 23 موقعًا عربيًا في ترويسات الاستجابة الخاصة بها، فوجدنا أن موقعين من الخمسة التي تُظهر الإصدار ما زالا على إصدار غير مُرقَّع.

أبرز النقاط

• الإصدارات المُصلَحة هي PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. أما PHP 8.1 وما قبله فلا يصدر لها إصلاح رسمي، وبعض شركات الاستضافة وتوزيعات لينكس فقط هي التي تنقل الإصلاح إليها.
• أُعلن عن ثغرة ثالثة (CVE-2026-115560) في 23 أكتوبر، ولا تصلحها تحديثات 21 أكتوبر. الحل المؤقت هو إعداد الخادم session.upload_progress.enabled=0.
• من بين 23 موقعًا عربيًا فحصناها، يخفي 18 موقعًا إصدار PHP أو لا يبدو أنها تعمل به أصلًا. ومن بين المواقع الخمسة التي تُظهره، كان موقعان على 8.2.34، أي قبل الإصدار المُصلَح بخطوة واحدة.
• إذا اضطررت إلى إيقاف موقعك لتطبيق التحديث، فجون مولر من جوجل يقول إن عليك إرجاع الرمز HTTP 503، لا ترك الطلب ينتهي بلا رد، ولا إرجاع 404 أو 500.

ما هي PHP2Shell، وما الإصدارات التي أُصلحت؟

يذكر تحذير PHP الرسمي الصادر في 21 أكتوبر ثغرتين: CVE-2026-109618 (تنفيذ أوامر عن بُعد عبر إفساد الذاكرة عند نفادها) وCVE-2026-109619 (تنفيذ أوامر عن بُعد عبر حالة عامة متبقية). يمكن استغلال الثغرتين دون مصادقة. الإصدارات المُصلَحة هي 8.5.12 و8.4.27 و8.3.36 و8.2.35، وتقول PHP إن التحديث وحده هو الحل الكامل (تحذير PHP الأمني).

تسرّبت التفاصيل في 20 أكتوبر قبل موعد الإصدار المخطط، فنشرت PHP التحديث قبل موعده بنحو 25 دقيقة في 21 أكتوبر. ويسجّل الجدول الزمني لدى Patchstack أن شركاء استضافة وCloudflare أبلغوا عن هجمات مبكرة صباح اليوم نفسه، ثم أظهرت بيانات المراقبة في وقت لاحق من اليوم أن أغلب النشاط كان محاولات استكشاف (Patchstack). وقال المركز الكندي للأمن السيبراني في 23 أكتوبر إن نموذجًا لإثبات الاستغلال متاح علنًا، وإنه لم يرصد بعد استغلالًا فعليًا، وأضاف ثغرة ثالثة هي CVE-2026-115560 لا تصلحها تحديثات 21 أكتوبر (المركز الكندي للأمن السيبراني، AL26-026).

ما مدى انكشاف المواقع العربية؟

تذكر CybelAngel، استنادًا إلى أرقام Shodan، نحو 2.24 مليون خادم متصل بالإنترنت يعلن استخدام PHP. ومن بين نحو 1.5 مليون منها تذكر إصدارها، يعمل قرابة 59% على فرع لا يصدر له إصلاح رسمي. وجاءت الجزائر بين الدول صاحبة النسبة الأعلى من هذه الخوادم (CybelAngel). ولا يقدّم التقرير أرقامًا للسعودية أو الإمارات أو مصر.

وللحصول على قراءة عربية أولى، فتحنا في 25 أكتوبر الصفحات الرئيسية لـ23 موقعًا في السعودية والإمارات والكويت ومصر: مختبرات وعيادات طبية، ووكالات تسويق رقمي وSEO، ومنصة استشارات، وموقع VPN، وموقعانا. وفي كل موقع قرأنا فقط الترويسات التي يرسلها لكل زائر (X-Powered-By و Server). لم نفحص الثغرة ولم نختبر أي شيء.

لا نذكر اسمَي الموقعين غير المُرقَّعين. كلاهما موقع طبي في الخليج. ومن بين المواقع الثلاثة المُرقَّعة موقعانا voctos.net وvoctos.com.

هناك حدّان مهمّان. الأول أن الإصدار المخفي لا يخبرك بشيء: 18 موقعًا من 23 تخفيه أو لا تُظهر PHP إطلاقًا، وقد يكون بعضها على PHP 8.1 أو أقدم. والثاني أن الاستضافة قد تشغّل إصلاحًا منقولًا وتبقى تُظهر رقم الإصدار القديم، فالترويسة سبب للتحقق، لا دليل على وجود ثغرة. هذه 23 موقعًا في يوم واحد، لا مسح للسوق.

ما الذي يجب أن يفعله صاحب الموقع العربي هذا الأسبوع؟

1. اعرف إصدار PHP لديك. في ووردبريس، افتح الأدوات ثم صحة الموقع ثم معلومات ثم الخادم. وفي Hostinger تجده في hPanel تحت PHP Configuration، وفي cPanel تحت MultiPHP Manager. وإن لم تستطع رؤيته، فاسأل من يملك حساب الاستضافة، وهو عند كثير من الشركات العربية المطوّر الذي بنى الموقع.
2. حدّث إلى 8.2.35 أو 8.3.36 أو 8.4.27 أو 8.5.12 أو أحدث. إن كنت على 8.1 أو أقدم، فاسأل الاستضافة هل توفّر إصلاحًا منقولًا (يذكر Patchstack إصدارات CloudLinux وDebian/Ubuntu Sury وAlmaLinux وRemi وZend LTS). وإن لم تفعل، فخطّط للانتقال إلى 8.3 أو 8.4 واختبر الموقع على نسخة تجريبية أولًا.
3. اطلب من الاستضافة ضبط الإعداد session.upload_progress.enabled=0. يذكره كل من PHP والمركز الكندي للأمن السيبراني، وهو أيضًا الحل المؤقت لثغرة CVE-2026-115560. ويجب ضبطه على مستوى الخادم أو FPM، لا عبر إضافة.
4. لا تثبّت إضافات «إصلاح» ولا تلصق أكوادًا من المنتديات. يحذّر Patchstack من أنها غير موثّقة وقد تعطّل المواقع.
5. ابحث عن علامات الاختراق: مستخدمون جدد بصلاحية مدير، أو ملفات مجهولة في wp-content، أو صفحات مزعجة في تقرير الصفحات في Search Console، أو تحويلات مفاجئة على الجوال. وإن وجدت أيًّا منها، فتعامل مع الخادم على أنه مخترق، وغيّر كل كلمة مرور ومفتاح مخزّن عليه.
6. راجع التزاماتك في حماية البيانات إن كانت بيانات العملاء قد تعرّضت للكشف. يتضمّن نظام حماية البيانات الشخصية في السعودية، والمرسوم بقانون اتحادي رقم 45 لسنة 2021 في الإمارات، والقانون رقم 151 لسنة 2020 في مصر، قواعد للإبلاغ عن الاختراقات. اقرأ نص الجهة المنظِّمة أو اسأل محاميك عن المهلة المحددة التي تنطبق عليك؛ فهذا المقال ليس استشارة قانونية.

هل يضرّ إيقاف الموقع مؤقتًا بترتيبه؟

ليس إن فعلته بالطريقة الصحيحة. قال جون مولر من جوجل إن الموقع الذي يُوقَف لتطبيق إصلاح PHP يجب أن يُرجع الرمز HTTP 503 (الخدمة غير متاحة)، لا أن يترك الطلبات بلا رد ولا أن يُرجع 404 أو 500، وإن ذلك ممكن خارج PHP، مثلًا عبر شبكة توصيل المحتوى أو بتوجيه DNS إلى مكان آخر (Search Engine Roundtable، 21 أكتوبر 2026). رمز 503 لبضع ساعات يخبر جوجل أن يعود لاحقًا. وإن كان الموقع سيبقى متوقفًا أكثر من يوم، فتوجيهات جوجل الأقدم تنصح بعرض نسخة ثابتة منه بدلًا من ذلك. كثير من المواقع العربية تعمل أصلًا خلف Cloudflare، وهذا يجعل صفحة صيانة برمز 503 أسرع طريق.

بعد الإصلاح، افتح Search Console وراجع الإعدادات ثم إحصاءات الزحف بحثًا عن سلسلة من أخطاء 5xx، وراجع تقرير الصفحات بحثًا عن روابط خرجت من الفهرس. وإن تحرّكت الزيارات في الأسبوع نفسه، فاستبعد أخطاء الخادم قبل أن تلوم تحديثًا في الخوارزمية؛ اقرأ ما الذي تحرّك في البحث العربي خلال تحديث الرسائل المزعجة في سبتمبر 2026.

ما الذي لا تغطيه هذه المقارنة؟

لم نختبر أي موقع للثغرة، ولم نتمكّن من رؤية الإصدار في 18 موقعًا من 23. ولم نفحص مواقع حكومية أو مصرفية عربية. أما أرقام الاستغلال فمصدرها شركات الأمن والجهات المذكورة، لا سجلّاتنا.

الأسئلة الشائعة

هل موقعي آمن إن كان على PHP 8.3.36؟

هو مُرقَّع ضد الثغرتين اللتين أُصلحتا في 21 أكتوبر. أما CVE-2026-115560 التي أُضيفت في 23 أكتوبر، فما زالت تحتاج إلى session.upload_progress.enabled=0 إلى أن تصدر PHP إصلاحًا لها.

موقعي على Wix أو Shopify أو سلة أو زد. هل عليّ فعل شيء؟

هذه المنصات تدير خوادمها بنفسها، فالتحديث مسؤوليتها لا مسؤوليتك. أما المواقع المبنية على ووردبريس أو Joomla أو Drupal أو كود PHP خاص على استضافتك، فتحتاج إلى الخطوات أعلاه.

هل يمكن أن تضرّ صفحة 503 بترتيبي في جوجل؟

رمز 503 لساعات هو ما توصي به جوجل للتوقف المخطط. أما ما يُسقط الصفحات فهو التوقف الطويل لعدة أيام، أو الأخطاء التي تظهر كـ404 أو 500.