الخلاصة: ثغرة PHP2Shell ثغرتان حرجتان في مفسّر لغة PHP تسمحان بتنفيذ أوامر على الخادم بطلب واحد ودون تسجيل دخول. صدرت الإصلاحات في 21 أكتوبر 2026، والعلاج الكامل الوحيد هو ترقية PHP نفسها، لا تحديث القالب أو الإضافات.
ثغرة PHP2Shell هو الاسم الذي أطلقه باحثو شركة Wiz على ثغرتين حرجتين في قلب لغة PHP، تحملان الرقمين CVE-2026-109618 وCVE-2026-109619. تتيح الثغرتان لمهاجم مجهول تشغيل أوامر على خادم الويب دون أي حساب. اللافت أن اكتشافهما جاء بمساعدة نماذج ذكاء اصطناعي متقدمة، وأن الإصلاحات صدرت في 21 أكتوبر 2026 وسط استنفار حكومي في دول عدة.
ما الذي حدث بالضبط؟
في 21 أكتوبر 2026 أصدر فريق PHP تحديثات طارئة، ونشرت Wiz تفاصيل البحث في اليوم نفسه. تقول الشركة إن كل إصدار من PHP صدر خلال العقد الأخير متأثر بإحدى الثغرتين على الأقل، وإن الأثر يمتد إلى إصدارات قديمة تصل إلى 5.4.
وصلت درجة الخطورة إلى 9.2 من 10 بحسب Wiz والتغطيات التي تلتها. والأخطر أن الاستغلال لا يعتمد على كود الموقع. فحتى تطبيق بسيط من نوع «Hello World» يعمل على إصدار متأثر قد يكون عرضة للهجوم.
تعمل نسبة كبيرة من مواقع الإنترنت على PHP، إذ تشير تقديرات الصناعة إلى أن نحو 70% من المواقع ذات لغة خادم معروفة تستخدمها. وهذا ما يفسر عنوان Wiz عن «70% من الإنترنت».
كيف تعمل الثغرة دون الدخول في تفاصيل الاستغلال؟
بحسب Help Net Security، يرجع الخلل في الحالتين إلى إدارة الذاكرة عند انتهاء الطلب بشكل غير طبيعي:
- الثغرة الأولى (109618): خطأ نفاد الذاكرة قد يقطع معالجة الطلب ويترك بيانات داخلية نصف مهيأة، ثم تتعامل معها مرحلة التنظيف كأنها سليمة.
- الثغرة الثانية (109619): حالة داخلية تخص طلباً سابقاً قد تبقى بعد تحرير ذاكرتها، فيستعملها طلب لاحق على العامل نفسه.
النتيجة العملية أن طلباً واحداً غير موثّق قد يكفي، وأنه يقع قبل تشغيل أي كود خاص بالتطبيق. لذلك لا تفيد هنا جدران الحماية داخل ووردبريس أو كلمات المرور القوية للوحة التحكم.
تشمل الإعدادات المتأثرة PHP-FPM وApache مع mod_php وphp-cgi وFrankenPHP وLiteSpeed. ويرى فريق أمن PHP أن الخطر أعلى ما يكون مع mod_php.
ما دور الذكاء الاصطناعي في الاكتشاف؟
تقول Wiz إن باحثيها استخدموا أداتها Wiz Atlas ونموذجي Gemini 4 Argon وGPT-5.6 Sol طوال البحث. وتنسب الشركة الفضل في الاكتشاف والتنسيق والتحقق من الإصلاح أيضاً إلى فريق PHP وشركة Calif وOpenAI.
الأهم في رواية Wiz أن النماذج المتقدمة خفّضت حاجز تحويل خلل قديم إلى استغلال يعمل. وتقول الشركة إن باحثاً واحداً أنجز في أسبوع ما كان يحتاج سابقاً أشهراً من فريق عالمي.
يوضح الجدول الزمني الذي نشرته Wiz سرعة الأحداث:
| التاريخ (2026) | الحدث |
|---|---|
| 19 أغسطس | اكتشاف الثغرة الأولى |
| 20–21 أغسطس | تأكيد التنفيذ عن بُعد على Drupal ثم WordPress |
| 24 أغسطس | إبلاغ فريق أمن PHP |
| 21 سبتمبر | بدء فريق PHP تطوير الإصلاح |
| 17 أكتوبر | رصد Amazon محاولة استغلال قبل الإعلان بأربعة أيام |
| 21 أكتوبر | صدور الإصلاحات والإفصاح العلني |
محاولة 17 أكتوبر رصدتها شبكة المصائد MadPot التابعة لـAmazon، ولا يُعرف بعد كيف حصل المهاجم على التفاصيل قبل الإفصاح.
لماذا أربكت الثغرة الحكومات والشركات؟
لأن الحجم غير مسبوق. نقلت شبكة The National Desk أن Palo Alto Networks رصدت أكثر من 22.6 مليون نسخة متصلة بالإنترنت يُحتمل أنها متأثرة. وتنبّه الشبكة إلى أن هذا ليس عدد مواقع فريدة ولا عدد اختراقات مؤكدة.
دعت وكالات أمن سيبراني في الولايات المتحدة والمملكة المتحدة والاتحاد الأوروبي وكندا وأستراليا واليابان إلى الترقيع الفوري. ونصح FBI ووكالة الأمن القومي الأمريكية بفصل الأنظمة التي لا يمكن تحديثها سريعاً. كما خرجت مواقع في فنلندا وهولندا وبلجيكا وفرنسا من الخدمة كلياً أو جزئياً، وبعضها احتياطاً.
ووصف الباحث الأمني Kevin Beaumont الموقف بأنه من أكبر الثغرات منذ سنوات، متوقعاً موجة واسعة من الحوادث.
ماذا يعني هذا للسعودية والخليج؟
أصدر المركز الوطني الإرشادي التابع للهيئة الوطنية للأمن السيبراني التنبيه رقم 2026-7949 بمستوى خطورة «عالٍ جداً»، وأوصى بتحديث المنتجات المتأثرة. وشملت قائمة القطاعات المستهدفة في التنبيه الجهات الحكومية والمالية والصحة والتعليم والطاقة والاتصالات والتجارة وغيرها.
الأثر المحلي مباشر لأن شريحة كبيرة من المتاجر الإلكترونية ومواقع الشركات الصغيرة تعمل على ووردبريس أو أنظمة مبنية على PHP، وكثير منها على استضافة مشتركة. وفي هذه الحالة لا يملك صاحب الموقع ترقية PHP بنفسه دائماً، بل يعتمد على مزوّد الاستضافة.
ويضيف الالتزام التنظيمي بعداً آخر. فالجهات الملزمة بـ«الضوابط الأساسية للأمن السيبراني» الصادرة عن الهيئة تحتاج إلى إدارة منظمة للثغرات والتحديثات. والتعامل مع تنبيه بهذه الدرجة يحتاج سجلاً واضحاً بما حُدّث ومتى. ولفهم الإطار الأوسع راجع الأمن السيبراني ومعمارية الثقة الصفرية في شبكات الشركات السعودية.
كيف تحمي موقعك خطوة بخطوة؟
هذه خطوات دفاعية مرتبة حسب الأولوية:
- اعرف إصدارك: تحقق من إصدار PHP الفعلي الذي يخدم الموقع، لا المكتوب في لوحة الاستضافة فقط.
- رقِّ PHP فوراً: إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 أو أحدث. وتلقّت توزيعات لينكس ومزوّدو الدعم الطويل الإصلاحات قبل الإعلان، فابحث عن حزمهم المحدّثة.
- اطلب تأكيداً مكتوباً: إن كنت على استضافة مشتركة، اطلب من المزوّد رقم الإصدار بعد التحديث.
- تخلّص من الفروع القديمة: الفروع 8.1 وما قبلها خارج الدعم الرسمي. التعديلات المصدرية المحدودة لها حلّ مؤقت لا بديل عن الترقية.
- فعّل حماية الطبقة الأمامية: نشرت Cloudflare قواعد جدار حماية أولية لعملائها بمن فيهم الخطة المجانية. وهي تخفيف مؤقت لا علاج.
- افصل ما لا يمكن تحديثه: كما نصحت جهات حكومية عدة.
ما المؤشرات التي تستحق المراقبة؟
توصي Wiz بالانتباه إلى طلبات multipart غير معتادة تتبعها أخطاء حدّ الذاكرة أو ردود HTTP 500 متكررة. ومن المؤشرات أيضاً ملفات تعريف PHPSESSID كبيرة أو مشوهة، وإعادة تشغيل غير مفسّرة لعمّال PHP. ولأن الخلل تحت طبقة التطبيق، قد لا تُظهر سجلات الموقع نفسه الكثير.
وفي 22 أكتوبر 2026 أتاحت Searchlight Cyber أداة مفتوحة المصدر لفحص تعرّض الخادم للثغرتين، بحسب Help Net Security.
هل ستتكرر مثل هذه الأزمات؟
الأرجح نعم. فالقصة تكشف أن الذكاء الاصطناعي يسرّع اكتشاف الثغرات القديمة المدفونة في برمجيات أساسية. وهذا مفيد للمدافعين حين يصل الاكتشاف إليهم أولاً، وخطير حين يسبقهم المهاجمون.
الدرس العملي للشركات هو أن تجعل تحديث مكونات الخادم عملية دورية سريعة، لا مشروعاً استثنائياً. ولمعرفة كيف تُستخدم الوكلاء الذكية في العمل اليومي وما مخاطرها، اقرأ دليل وكلاء الذكاء الاصطناعي 2026. كما نناقش الجانب الآخر في مقال النماذج المتخصصة للأمن السيبراني بالذكاء الاصطناعي.
إن كانت مواقعك أو أنظمتك تعمل على PHP وتحتاج جرداً سريعاً للإصدارات وخطة تحديث موثقة، يمكن لفريق خدمات الأمن السيبراني مساعدتك في ذلك.
الأسئلة الشائعة
ما هي ثغرة PHP2Shell باختصار؟
هي ثغرتان حرجتان في مفسّر لغة PHP نفسه، برقمي CVE-2026-109618 وCVE-2026-109619، تسمحان لمهاجم بتنفيذ أوامر على الخادم عن بُعد دون تسجيل دخول. أُعلن عنهما مع الإصلاحات في 21 أكتوبر 2026.
هل يكفي تحديث ووردبريس والإضافات لحماية موقعي؟
لا. الخلل في PHP وليس في كود الموقع، لذلك لا يعالجه تحديث القالب أو الإضافات. يجب ترقية PHP إلى إصدار مُصلَح، أو مطالبة مزوّد الاستضافة بذلك وتأكيده كتابياً.
ما الإصدارات الآمنة من PHP؟
الإصدارات المُصلَحة هي 8.5.12 و8.4.27 و8.3.36 و8.2.35 أو أحدث. وصدرت تعديلات مصدرية محدودة للفروع 7.4 و8.0 و8.1، لكنها فروع خارج الدعم الرسمي، والأفضل الترقية إلى فرع مدعوم.
ماذا أفعل إن لم أستطع التحديث فوراً؟
نصحت جهات حكومية عدة بفصل الأنظمة التي يتعذر تحديثها عن الإنترنت مؤقتاً. وفي الأثناء فعّل قواعد جدار حماية تطبيقات الويب التي نشرها مزوّدون مثل Cloudflare، وراقب سجلات الخادم بحثاً عن مؤشرات غير طبيعية.
هل يتأثر زائر الموقع المصاب؟
بحسب التغطية الإخبارية، مجرد زيارة موقع متأثر لا يعني أن جهاز الزائر أصيب. الخطر الأساسي يقع على الخادم وبياناته، ومنها بيانات العملاء المخزنة فيه.
المصادر
- Wiz Research — «PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet» — 21 أكتوبر 2026 — wiz.io
- Help Net Security — «PHP2Shell (CVE-2026-109618 and CVE-2026-109619) patched» — 21 أكتوبر 2026 — helpnetsecurity.com
- الهيئة الوطنية للأمن السيبراني — تنبيه PHP رقم 2026-7949 (عالٍ جداً) — 21 أكتوبر 2026 — nca.gov.sa
- The National Desk عبر ABC News 4 — «Critical PHP flaws put millions of websites at risk» — 21 أكتوبر 2026 — abcnews4.com
آخر تحديث للمعلومات: 26 أكتوبر 2026 — فريق تحرير تكنولوجيا سعودية.
