الإجاباتمنشور23 المصادر
PHP2Shell: ثغرتان حرجتان في PHP والتحديثات التي تعالجهما
تضم PHP2Shell ثغرتين حرجتين في PHP، حصلت كل منهما على تقييم 9.2 وفق CVSS v4.0، وقد تتيحان تنفيذ شيفرات عن بُعد من دون مصادقة. ترتبط إحدى الثغرتين بمعالجة نفاد الذاكرة، والأخرى بحالة داخلية قديمة.
نشر بواسطةتم التحرير باستخدام GPT-6 Lunaتم إنشاء الصور باستخدام GPT Image 2
إجابة البحث
الوجبات السريعة الرئيسية
- تضم PHP2Shell ثغرتين حرجتين في PHP، حصلت كل منهما على تقييم 9.2 وفق CVSS v4.0، وقد تتيحان تنفيذ شيفرات عن بُعد من دون مصادقة.
- ترتبط إحدى الثغرتين بمعالجة نفاد الذاكرة، والأخرى بحالة داخلية قديمة. وتشير التقارير إلى تأثر PHP 5.4 وما بعده؛ لذا على الأنظمة الأقدم أو غير المدعومة مراجعة إرشادات مورّدها بشأن التحديث.
موجّه الذكاء الاصطناعي
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell اسم يُطلق على ثغرتين حرجتين في بيئة تشغيل PHP الأساسية: CVE-2026-109618 وCVE-2026-109619. حصلت كل منهما على تقييم 9.2، حرج وفق CVSS v4.0، وقد تسمحان لمهاجم لا يملك بيانات دخول بتنفيذ شيفرات على خادم مصاب. أصدرت PHP تحديثات طارئة لمعالجتهما في 21 أكتوبر 2026. 
الأولوية العملية هي تحديث PHP. أما رصد محاولات للاستغلال، ومنها محاولة ظهرت في بيانات مصيدة أمازون قبل الإعلان العام، فيستدعي التحرك السريع، لكنه لا يثبت أن خادماً إنتاجياً قد اختُرق. 36
كيف تعمل ثغرتا PHP2Shell؟
تختلف الآلية الموصوفة لكل ثغرة:
- CVE-2026-109618 مرتبطة بمعالجة نفاد الذاكرة. عند نفاد الذاكرة، قد تتوقف PHP عن معالجة الطلب بينما تكون بعض بياناته الداخلية قد أُعدّت جزئياً فقط. وخلال التنظيف، قد تتعامل PHP مع بيانات غير صالحة كما لو كانت سليمة.
58
- CVE-2026-109619 مرتبطة ببقاء حالة داخلية قديمة. تشير التقارير إلى أن معلومات مرتبطة بالطلب قد تظل موجودة بعد تحرير الذاكرة التي كانت تخزنها، ما يخلق مشكلة تُعرف باسم «استخدام الذاكرة بعد تحريرها».
9
تتعلق الثغرتان بكيفية معالجة PHP لطلبات HTTP مُعدّة خصيصاً، ومنها طلبات multipart/form-data، وهي صيغة شائعة عند رفع الملفات عبر الويب. 1
ماذا تعني درجة 9.2؟
التقييم المعلن لكلتا الثغرتين هو 9.2 من 10، حرج، وفق CVSS v4.0. ومن أسباب خطورتهما أن النتيجة المحتملة هي تنفيذ شيفرات عن بُعد من دون مصادقة؛ أي إن المهاجم لا يحتاج إلى تسجيل الدخول كي يحاول تشغيل شيفرة على خادم متأثر.
لكن المواد المتاحة لا تتضمن متجهات CVSS الكاملة، لذلك لا تكفي لتفصيل كيفية احتساب كل عنصر للدرجة 9.2. كما أن درجة الخطورة تصف شدة الثغرة، ولا تحدد احتمال استهداف خادم بعينه أو ما إذا كانت محاولة مرصودة قد نجحت.
إصدارات PHP المتأثرة والتحديثات المطلوبة
تصف التقارير نطاق الإصدارات المتأثرة بأنه يبدأ من PHP 5.4. 55 أما إصدارات الإصلاح الطارئة المعلنة لفروع PHP 8.x فهي:
| فرع PHP | الإصدار الذي يتضمن الإصلاح |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
صدرت هذه الإصدارات في 21 أكتوبر 2026. حدّث إلى الإصدار المُصلح الخاص بفرعك، أو إلى إصدار أحدث ضمن الفرع نفسه.
الإصلاحات المذكورة تغطي الفروع من 8.2 إلى 8.5. إذا كان النظام يشغّل فرعاً أقدم أو غير مدعوم، فتحقق من إرشادات مورّد PHP أو نظام التشغيل بشأن الإصلاح المناسب وخطة التحديث؛ ولا تفترض أن أحد الإصدارات الواردة في الجدول ينطبق عليه مباشرة.
تسريب مبكر ومحاولات استغلال: ما المؤكد؟
ظهرت معلومات الثغرتين للعلن في 20 أكتوبر، قبل موعد الإفصاح المخطط له في 22 أكتوبر، ثم أصدرت PHP الإصلاحات الطارئة في 21 أكتوبر. 8
42 وتؤيد المصادر المتاحة حصول الإفصاح المبكر وتقديم موعد الإصلاح، لكنها لا تثبت أن مقطعاً تجريبياً نشرته Calif بالخطأ كان سبب ذلك.
أفادت استخبارات التهديدات في أمازون برصد محاولة استغلال لـPHP2Shell في بيانات مصيدة MadPot بتاريخ 17 أكتوبر، أي قبل الإعلان العام بأربعة أيام. وأشارت أيضاً إلى رصد نماذج إثبات مفهوم للاستغلال قرب موعد إصدار التحديثات في 21 أكتوبر. بيانات المصيدة تسجل نشاطاً موجهاً إلى نظام طُعم، ولا تثبت اختراق مؤسسة حقيقية.
أعلنت Cloudflare نشر وسائل حماية قرب موعد الإفصاح، كما تحدثت تقارير في تلك الفترة عن رصد مورّدين أمنيين لحركة هجومية أو محاولات استغلال. 55
35 لكن التقارير لم تتفق على حجم النشاط أو نجاحه: فقد تحدث بعض المورّدين عن استغلال نشط أو واسع، فيما أشارت تقارير أخرى إلى أن جهات حكومية لم تؤكد هجمات ناجحة.
33
36
الخلاصة أن محاولات الاستغلال تستحق التعامل معها بجدية، لكن لا يصح اعتبار كل محاولة اختراقاً ناجحاً، أو الجزم بأن الهجمات كانت واسعة النطاق. عند تقييم المخاطر أو مراجعة التنبيهات، ينبغي التمييز بين محاولة مرصودة، واستغلال ناجح، واختراق مؤكد في بيئة إنتاجية.
ما الذي ينبغي فعله الآن؟
ثبّت إصدار PHP الذي يتضمن الإصلاح؛ فهذا هو العلاج الأساسي. تقول AWS إن الترقية هي الإصلاح الكامل الوحيد. وإذا تعذر التحديث فوراً، فقد تساعد إجراءات مؤقتة لتقليل التعرض، مثل حظر رفع الملفات بصيغة multipart، لكنها لا تغني عن تثبيت التحديث.
أصدر المركز الكندي للأمن السيبراني تنبيهاً حرجاً يوضح الثغرتين وخطر تنفيذ الشيفرات من دون مصادقة. 2 كما تفيد المصادر بأن وكالة الأمن القومي الأمريكية أوصت بإيقاف الأنظمة مؤقتاً إذا تعذر تحديثها على الفور.
27 راجع أيضاً تنبيهات المورّدين والجهات الحكومية ذات الصلة ببيئتك، خصوصاً إذا كانت PHP مضمّنة في منتج أو يديرها مزوّد الاستضافة.
الخطوات العملية واضحة: حدّد الأنظمة التي تشغّل PHP، وثبّت الإصدار المناسب، وتعامل مع التنبيهات بحذر. خطورة PHP2Shell تبرر الإسراع في التحديث، لكن محاولة الاستغلال والاستغلال الفعلي والاختراق المؤكد ليست أمراً واحداً.
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
يسأل الناس أيضا
ما هي الإجابة المختصرة على "PHP2Shell: ثغرتان حرجتان في PHP والتحديثات التي تعالجهما"؟
تضم PHP2Shell ثغرتين حرجتين في PHP، حصلت كل منهما على تقييم 9.2 وفق CVSS v4.0، وقد تتيحان تنفيذ شيفرات عن بُعد من دون مصادقة.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
تضم PHP2Shell ثغرتين حرجتين في PHP، حصلت كل منهما على تقييم 9.2 وفق CVSS v4.0، وقد تتيحان تنفيذ شيفرات عن بُعد من دون مصادقة. ترتبط إحدى الثغرتين بمعالجة نفاد الذاكرة، والأخرى بحالة داخلية قديمة. وتشير التقارير إلى تأثر PHP 5.4 وما بعده؛ لذا على الأنظمة الأقدم أو غير المدعومة مراجعة إرشادات مورّدها بشأن التحديث.