الخبر
أصدر مشروع PHP في 21 تشرين الأول 2026 الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 لإصلاح ثغرتين حرجتين، هما CVE-2026-109618 وCVE-2026-109619. ويقول فريق PHP إن أيًّا منهما قد تتيح للمهاجم تشغيل شيفرته الخاصة على خادم الويب دون تسجيل دخول. وحصلت كل منهما على تقييم 9.2 من 10، وكان المشروع قد نبّه قبل يوم واحد إلى أن إصدارًا أمنيًا حرجًا في الطريق.
PHP هي لغة البرمجة التي تعمل بها منصات WordPress وWooCommerce وLaravel وأنظمة مواقع كثيرة أخرى. ويقول فريق الأمان في PHP إن كل تثبيت لـ PHP يخدم صفحات ويب معرّض للخطر، وإن الخطر أعلى على الخوادم التي تشغّل PHP داخل Apache بطريقة mod_php، إذ أثبت الفريق أن طلبًا واحدًا يكفي لبدء الهجوم قبل أن تعمل شيفرة الموقع نفسه. ويؤكد المشروع أن التحديث وحده يصلح المشكلة بالكامل، وأن تغيير الإعدادات يقلل الخطر فقط.
لم تعد الإصدارات 8.1 وما قبلها تتلقى تحديثات رسمية. بعض مزوّدي Linux يقدّمون حزمًا مُصلَحة لها، ونشر فريق PHP إصلاحات أساسية للإصدارات 7.4 و8.0 و8.1 لمن يبنون PHP بأنفسهم. وقالت CERT-EU، خدمة الأمن السيبراني لمؤسسات الاتحاد الأوروبي، في 23 تشرين الأول إن شيفرات هجوم أولية بدأت تنتشر، ما يرفع احتمال أن تكون الثغرتان مستغلّتين بالفعل.
تحديث، 27 تشرين الأول: الثغرتان تُستغلّان الآن في هجمات فعلية. فقد رصد باحث أمني هجومًا ناجحًا على خادم فخّ يشغّل PHP 8.4.26 داخل Apache بطريقة mod_php، وفي 26 تشرين الأول أضافت CISA، وكالة الأمن السيبراني الأمريكية، الثغرتين إلى قائمتها للثغرات المعروف استغلالها.
وفي 23 تشرين الأول، كشف فريق PHP أيضًا عن مشكلة ثالثة أقل احتمالًا لا تصيب إلا إعدادات غير مألوفة، وسيصلحها الإصدار الاعتيادي القادم. كما يتوقف الإصدار 8.2 عن تلقي الإصلاحات الأمنية بعد 31 كانون الأول 2026.
ماذا يعني لك
- إذا كان موقعك أو متجرك الإلكتروني يعمل على WordPress أو WooCommerce أو Laravel أو أي نظام آخر مبني بلغة PHP، فالخادم يحتاج إلى إصدار PHP الجديد. تحديث الإضافات أو القالب لا يحل المشكلة.
- في الاستضافة المشتركة أو المُدارة، تتولى شركة الاستضافة عادةً تحديث PHP. أما على خادمك الخاص أو على خادم افتراضي مستأجَر، فعلى أحد من طرفك أن يقوم بذلك.
- المواقع التي ما زالت على PHP 8.1 أو أقدم لا تحصل على إصلاح رسمي، ويفقد الإصدار 8.2 الإصلاحات الأمنية بعد 31 كانون الأول 2026.
ماذا تفعل الآن
- اسأل شركة الاستضافة أو المطوّر عن إصدار PHP الذي يعمل عليه كل موقع لديك، وهل أصبح 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، أو حزمة مُصلَحة من مزوّد نظام الخادم.
- لا تكتفِ بالموقع الرئيسي، بل اشمل كل نظام PHP تستخدمه، مثل بوابة العملاء أو نظام الحجوزات أو الأدوات الداخلية.
- إذا كان أي نظام لديك يعمل على PHP 8.1 أو أقدم، فخطّط من الآن للانتقال إلى إصدار مدعوم.
- بعد التحديث، جرّب نماذج التواصل وصفحة الدفع وتسجيل الدخول.
كيف تساعدك ديدسِت
نبني تطبيقات الويب وأنظمة الربط ونتولى صيانتها، ويمكننا تحديث إصدار PHP الذي يعمل عليه موقعك والتأكد من أن النماذج والدفع وتسجيل الدخول ما زالت تعمل.
تحدّث معنا عنه
