الإجاباتمنشور24 المصادر
أزمة PHP2Shell تطرح سؤالًا أكبر من الثغرات: من يمول صيانة البرمجيات التي يعتمد عليها الويب؟
شملت PHP2Shell ثغرتين تتيحان تنفيذ التعليمات البرمجية عن بُعد من دون مصادقة، وحصلت كل منهما على تقييم خطورة 9.2. تُستخدم PHP، بحسب تقارير، في ما يصل إلى 70% من المواقع، لكن المصادر المتاحة لا تؤكد الادعاء المحدد بأن أكثر من 33 مليون نظام ظل عرضة للخطر في 23 أكتوبر.[11]
نشر بواسطةتم التحرير باستخدام GPT-6 Lunaتم إنشاء الصور باستخدام GPT Image 2
إجابة البحث
الوجبات السريعة الرئيسية
- شملت PHP2Shell ثغرتين تتيحان تنفيذ التعليمات البرمجية عن بُعد من دون مصادقة، وحصلت كل منهما على تقييم خطورة 9.2.
- تُستخدم PHP، بحسب تقارير، في ما يصل إلى 70% من المواقع، لكن المصادر المتاحة لا تؤكد الادعاء المحدد بأن أكثر من 33 مليون نظام ظل عرضة للخطر في 23 أكتوبر.[11]
موجّه الذكاء الاصطناعي
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 2026 PHP2Shell crisis reveal about PHP security and open-source underfunding, including PHP’s use by an estimated 70%. Article summary: PHP2Shell illustrates a mismatch between the importance of widely deployed open-source software and the capacity to secure, review and update it: critical PHP flaws triggered emergency patching across a technology report. Topic tags: general, general web. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers, click
كانت PHP2Shell تحذيرًا جديًا بشأن أمن البرمجيات واسعة الاستخدام، والعمل اللازم للحفاظ عليها آمنة. ففي أكتوبر 2026، دفعت ثغرتان خطيرتان في PHP إلى إصدار إصلاحات عاجلة للغة يُقال إنها مستخدمة في ما يصل إلى 70% من المواقع.11 كما أعادت الحادثة طرح سؤال أوسع: هل تملك مشاريع البرمجيات مفتوحة المصدر ما يكفي من الموارد لمراجعة البرمجيات التي يعتمد عليها جزء كبير من الويب، وإصلاحها وصيانتها؟
22
ماذا حدث في حادثة PHP2Shell؟
الثغرتان، CVE-2026-109618 وCVE-2026-109619، قد تتيحان لمهاجم غير مسجّل الدخول تنفيذ تعليمات برمجية عن بُعد على أنظمة PHP المتأثرة. ومنحتهما التقارير تقييم خطورة بلغ 9.2.9
17 وهاتان ثغرتان في بيئة تشغيل PHP نفسها؛ واكتشافهما لا يعني أن كل تطبيق مبني على PHP كان غير آمن.
أصدرت PHP إصلاحات في 21 أكتوبر 2026 ضمن الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35.18
27 ووفقًا لما أورده فريق أبحاث Calif، شارك باحثون من Calif وOpenAI وWiz في اكتشاف الثغرات.
15 كما تحدثت تقارير عن تعثر في التنسيق المسبق للإفصاح: إذ اتهم مطورو PHP شركة Chainguard بكشف معلومات قبل موعد الإصدار المخطط له، ثم أصدر المشروع التحديثات مبكرًا.
35
37
يساعد انتشار PHP على فهم سبب الاستجابة العاجلة. فقدّرت تقارير إخبارية أن اللغة مستخدمة في ما يصل إلى 70% من المواقع، لكن هذه النسبة تقدير لمدى انتشارها، وليست عددًا للمواقع المتأثرة أو المخترقة.11 كذلك، لا تثبت المصادر المتاحة الادعاء المحدد بأن مؤسسة الحدود الإلكترونية (EFF) قدّرت بقاء أكثر من 33 مليون نظام عرضة للخطر في 23 أكتوبر.
محاولات الهجوم لا تثبت وقوع اختراقات ناجحة
أفادت تقارير بأن أمازون رصدت محاولة لاستغلال الثغرات في 17 أكتوبر، قبل صدور التحديثات للعامة، ثم تحدثت عن محاولات واسعة النطاق لاستغلالها.34 وذكرت تقارير أخرى ملايين المحاولات.
6 وبشكل منفصل، وثّقت تقارير إيقاف خدمات احترازيًا بينما كانت مؤسسات تعالج الثغرات، ومنها خدمات مرتبطة بوزارة المالية اليابانية وميناء روتردام.
12
لكن محاولة الاستغلال ليست اختراقًا مؤكدًا. فقد ذكرت بي بي سي في تقرير بتاريخ 22 أكتوبر أنه لم ترد تقارير عن استغلال ناجح، وأفادت Security Affairs في 23 أكتوبر بأن نجاح الاستغلال لم يكن مؤكدًا أيضًا.9
31 وقد تعكس هذه الروايات اختلاف توقيت الرصد أو اختلاف المقصود بكلمة «استغلال». ما تدعمه الأدلة المذكورة هنا هو وجود نشاط هجومي يستدعي القلق، لا أن ملايين الأنظمة اختُرقت بنجاح.
الدرس الأمني: اكتشاف الثغرة يحتاج إلى ما بعده
توضح PHP2Shell أهمية اكتشاف العيوب في البرمجيات الأساسية، حتى في المشاريع الناضجة. لكن الاكتشاف ليس سوى خطوة واحدة: فلا بد من مراجعة الإصلاحات وإصدارها، ثم تحديد الأنظمة المتأثرة وتثبيت التحديثات عليها. وقد عرضت Sovereign Tech الحادثة صراحةً بوصفها كاشفة عن فجوة في تمويل أمن البرمجيات مفتوحة المصدر الأساسية.22
لذلك، لا تقتصر المسألة على عدد الثغرات المكتشفة، بل تشمل القدرة على التعامل معها. فزيادة الاكتشافات قد تعني مزيدًا من العمل للمطورين والفرق الأمنية، لكن ارتفاع عدد الثغرات المُبلّغ عنها وحده لا يثبت أن البرمجيات أصبحت أقل أمنًا أو أن الذكاء الاصطناعي تسبب في هذه الزيادة. اكتشاف عيب لا يوفر تلقائيًا الخبرات والوقت اللازمين للتحقق منه، وتنسيق الإفصاح عنه، وإصدار إصلاح موثوق وتثبيته.
والخلاصة المتأنية ليست أن PHP غير آمنة بطبيعتها، بل أن البرمجيات المستخدمة على نطاق واسع في الويب تحتاج إلى مراجعة أمنية وصيانة مستمرتين، وأن تسارع اكتشاف الثغرات يجعل هذا العمل أكثر إلحاحًا.11
22
ما الذي ينبغي لمشغلي PHP فعله؟
على المؤسسات التي تستخدم PHP أن:
- تحصر الأنظمة المتاحة عبر الإنترنت. تحدد الخدمات التي تستخدم PHP، وتسجل إصدارات بيئة التشغيل الفعلية لديها.
- تثبت الإصلاح المناسب. تستخدم الإصدار الملائم لفرع PHP الذي تشغّله، أو تتبع إرشادات موثقة من المورّد إذا كان هو من يعبّئ بيئة التشغيل أو يصونها. أصدرت PHP الإصدارات المصححة في 21 أكتوبر.
18
27
- تتحقق من الخدمة قيد التشغيل. تتأكد من أن العمليات والخدمات المنشورة تستخدم بيئة التشغيل المحدّثة؛ وتوصي إرشادات تشغيلية منشورة بإعادة تشغيل عمليات PHP بعد التحديث.
32
- تستخدم وصفًا دقيقًا للحادثة. تميّز بين الأنظمة المتأثرة، ومحاولات الاستغلال، والاختراق المؤكد، والادعاءات غير المتحقق منها. فالإيقاف الاحترازي أو رصد حركة هجومية لا يثبت بحد ذاته اختراق النظام.
الدرس الأبعد أثرًا من PHP2Shell يتعلق بسلسلة الأمن كاملة: الاكتشاف والمراجعة والإفصاح المنسق وإصدار التحديثات ونشرها، كلها مراحل مهمة. وتمويل الصيانة التي تدعم هذه السلسلة جزء من حماية البنية التحتية الحيوية مفتوحة المصدر، وليس أمرًا ثانويًا.22
Studio Global AI
مواصلة البحث الخاص بك
تتضمن هذه الصفحة إجابة مدعومة بالمصدر يمكنك المتابعة داخل Studio Global.
يسأل الناس أيضا
ما هي الإجابة المختصرة على "أزمة PHP2Shell تطرح سؤالًا أكبر من الثغرات: من يمول صيانة البرمجيات التي يعتمد عليها الويب؟"؟
شملت PHP2Shell ثغرتين تتيحان تنفيذ التعليمات البرمجية عن بُعد من دون مصادقة، وحصلت كل منهما على تقييم خطورة 9.2.
ما هي النقاط الأساسية التي يجب التحقق منها أولاً؟
شملت PHP2Shell ثغرتين تتيحان تنفيذ التعليمات البرمجية عن بُعد من دون مصادقة، وحصلت كل منهما على تقييم خطورة 9.2. تُستخدم PHP، بحسب تقارير، في ما يصل إلى 70% من المواقع، لكن المصادر المتاحة لا تؤكد الادعاء المحدد بأن أكثر من 33 مليون نظام ظل عرضة للخطر في 23 أكتوبر.[11]