أصدرت PHP تحديثات أمنية في 21 أكتوبر 2026 لإصلاح ثغرة PHP خطيرة في محرك المعالجة نفسه. تحمل الثغرتان الرقمين CVE-2026-109618 وCVE-2026-109619، وتسمحان بتنفيذ أوامر على الخادم عن بُعد دون تسجيل دخول، وصُنّفت كلٌّ منهما 9.2 على مقياس CVSS v4.0. إذا كان موقعك يعمل بـPHP، وهو حال كثير من مواقع ووردبريس ودروبال وجوملا، فالخطوة الأولى أن تتحقق من إصدار PHP لديك وتنتقل إلى نسخة مُصلَحة الآن.

أصدر المركز الوطني الإرشادي للأمن السيبراني تنبيهًا برقم 7949-2026 بتاريخ 20 أكتوبر 2026، يطلب من المطورين ومديري الأنظمة تحديث منتجات PHP فورًا. ووصفته صحيفة سبق بأنه تحذير «عالٍ جدًا».

كيف تتحقق من إصدار PHP وهل موقعك متأثر بثغرة PHP

أسرع طريقة أن تشغّل الأمر php -v في سطر الأوامر على الخادم، فيعرض لك الرقم الكامل للإصدار المثبّت. إذا لم تكن تملك وصولًا إلى الخادم، فاسأل شركة الاستضافة عن إصدار PHP المستخدم في حسابك، أو راجع إعدادات PHP في لوحة التحكم.

قارن الرقم بالإصدارات المُصلَحة، وهي 8.5.12 و8.4.27 و8.3.36 و8.2.35. إذا كان رقمك أقل من الإصدار المُصلَح ضمن فرعه، فموقعك ما زال مكشوفًا.

أما إذا كان موقعك يعمل على PHP 8.1 أو أقدم، فلن تجد إصدارًا رسميًا مُصلَحًا من PHP نفسها لهذه الفروع. نشر فريق الأمان في PHP تصحيحات مصدرية محدودة للفروع من 7.4 إلى 8.1، بينما تتولى شركات الاستضافة غالبًا تطبيق الإصلاحات على الفروع القديمة. لذلك اسأل مزودك مباشرة عن الإصلاح المطبّق على حسابك.

الإصدارات المُصلَحة وما تشمله الثغرة

فرع PHP الإصدار المُصلَح
8.5 8.5.12
8.4 8.4.27
8.3 8.3.36
8.2 8.2.35

تمتد الثغرة إلى أبعد من الإصدارات الحديثة. وبحسب شركة Wiz التي اكتشفتها، فإن كل إصدار من PHP أُطلق خلال العقد الماضي يتأثر بثغرة واحدة على الأقل، وتصل المشكلة حتى الإصدار 5.4. وقد اكتُشفت الثغرتان بمساعدة نماذج الذكاء الاصطناعي، بحسب تقرير Quartz.

لماذا تهم هذه الثغرة مواقع ووردبريس ودروبال وجوملا؟

الثغرة في محرك PHP نفسه، وليست في قالب أو إضافة بعينها. لذلك قد يكون قالبك وإضافاتك سليمة، ومع ذلك يبقى موقعك مكشوفًا إذا كان الإصدار القديم مثبتًا على الخادم. ولن يكفي تحديث ووردبريس أو الإضافات وحدها، لأن الإصلاح يجب أن يصل إلى طبقة PHP.

تقدّر شركة Wiz أن PHP يشغّل 70% من المواقع، وهو رقم تنقله عن الشركة، ولم تقِسه جهة مستقلة في هذا المقال.

هل بدأ استغلال الثغرة فعلًا؟

تشير تقارير إلى أن الثغرتين تُستهدفان في محاولات استغلال فعلية، بعد تسريب تفاصيل تقنية قبل موعد الإصلاح. وذكرت شركة Tenable، نقلًا عن Amazon Threat Intelligence، أن محاولات الاستغلال بدأت في 17 أكتوبر 2026، أي قبل الإعلان العلني عن الثغرة. ويمكنك مراجعة تحليل Tenable لمزيد من التفاصيل.

ولا تؤكد التقارير المتاحة حجم الاستغلال الناجح أو عدد المواقع التي تعرضت فعلًا للاختراق. وقد دعت وكالة الأمن السيبراني الأمريكية، بحسب تقارير صحفية، المشغّلين إلى التحديث فورًا، كما دعت وكالات بريطانية وأوروبية وأسترالية إلى الترقيع في أقرب وقت.

خطوات التحديث بحسب نوع استضافتك

قبل أي تغيير، خذ نسخة احتياطية كاملة من الموقع وقاعدة البيانات. يمكنك الاطلاع على دليل النسخ الاحتياطي للكمبيوتر لتعرف كيف تبدأ.

تقني يتحقق من مؤشرات خادم قبل تحديث إصدار PHP
تحديث PHP يبدأ بالتحقق من الخادم وإصدار التطبيق قبل أي تغيير.

إذا كنت تملك خادمًا خاصًا أو VPS

  1. ثبّت الإصدار المُصلَح من فرع PHP المستخدم عبر لوحة التحكم، أو عبر مدير الحزم في نظام لينكس لديك.
  2. أعد تشغيل PHP أو خادم الويب حسب إعدادك، حتى يعمل الموقع بالنسخة الجديدة.
  3. تحقق مجددًا بالأمر php -v، وتأكد أن الموقع نفسه يعمل بالنسخة الجديدة، فقد يحمل الخادم أكثر من نسخة من PHP في الوقت نفسه.

إذا كنت تستخدم استضافة مشتركة أو لوحة تحكم

  1. راسل الدعم الفني واسألهم: هل طبّقوا الإصلاح على إصدار PHP في حسابي؟ وما الإصدار الفعلي المستخدم؟
  2. لا تفترض أن الاستضافة محمية. بعض الشركات طبّقت الإصلاحات على الفروع القديمة، وبعضها لم يفعل بعد.
  3. من لوحة التحكم، غيّر إصدار PHP إلى نسخة مُصلَحة، ثم تحقق من الرقم الجديد في صفحة معلومات PHP.

إذا تعذّر التحديث فورًا

إن لم تستطع التحديث في الساعات القريبة، فطبّق الإجراءات المؤقتة التي أوصى بها المركز الوطني الإرشادي للأمن السيبراني، كما نقلتها منصة توصل:

  • قلّل رفع الملفات غير الضرورية إلى الموقع، وأوقف نماذج الرفع التي لا تحتاجها.
  • عطّل الخيار session.upload_progress.enabled في إعدادات PHP بضبط قيمته على Off، ثم أعد تشغيل الخدمة.
  • راقب سجلات خادم الويب بحثًا عن طلبات HTTP مشبوهة مرتبطة بـPHP.

وإذا لم تكن قادرًا على التحديث إطلاقًا، فتنصح CERT-EU بالنظر في إيقاف النظام المتأثر عن العمل.

بعد التحديث: افحص موقعك وأغلق الثغرات الأخرى

افحص الخادم بحثًا عن ملفات غير مصرح بها أو برمجيات خبيثة، كما توصي الجهات الرسمية. وقبل فتح أي ملف مشبوه أو رمز QR يصلك، تحقق منه عبر خدمة تحقق الأمن السيبراني.

فعّل التحقق بخطوتين على حساب لوحة الاستضافة والبريد المرتبط بالموقع، فهو يمنع الدخول بكلمة المرور وحدها. يمكنك قراءة شرح التحقق بخطوتين لتفعيله خطوة بخطوة.

تابع المصادر الرسمية مباشرة، وهي حساب المركز الوطني الإرشادي للأمن السيبراني على منصة X، وإعلانات الأمان الرسمية لمشروع PHP. وتحقق من الروابط قبل فتحها.

ما الذي لم تحسمه المصادر بعد

  • حجم الاستغلال الفعلي غير مؤكد، ولم تثبت التقارير المتاحة عدد الاختراقات الناجحة.
  • تختلف التقارير في نطاق الإصدارات المتأثرة: تذكر Wikipedia الإصدارات من PHP 5 إلى 8، وتقول Wiz إنها تمتد إلى 5.4، بينما تشير watchTowr إلى عدم توفر تصحيحات لـPHP 5 وPHP 7.
  • اختلفت أوقات الإصدار، فالموعد المجدول كان 14:00 بتوقيت UTC وفق Recorded Future، بينما تذكر CERT-EU أن الإصلاحات صدرت عند 13:30 بتوقيت UTC.
  • لم تؤكد المصادر المراجعة إن كانت شركات الاستضافة السعودية ومزودو لوحات التحكم قد أصدروا إصلاحات للفروع القديمة.
  • تحدثت تقارير عن توقف خدمات إلكترونية حكومية في فنلندا وهولندا، لكنها جاءت من مصدر واحد ولم تُتحقق منها بصورة مستقلة.
  • لم تُدرج CISA الثغرة في قائمة الثغرات المستغلة المعروفة وقت صدور أسئلة watchTowr الشائعة.

ابدأ اليوم بالتحقق من إصدار PHP في موقعك، ولا تنتظر وصول التنبيهات إليك. إذا كان الإصدار أقل من المُصلَح، فاطلب من مزود الاستضافة التحديث كتابيًا، واحتفظ بنسخة احتياطية قبل أي تغيير. وإن كان موقعك على فرع 8.1 أو أقدم، فاسأله عن الإصلاح المطبّق، وخطّط للانتقال إلى فرع مدعوم إن لم يكن الإصلاح متاحًا.