PHP2Shell هو الاسم الذي أُطلق على ثغرتين خطيرتين في لغة PHP (CVE-2026-109618 وCVE-2026-109619)، وهي اللغة التي يعمل بها ووردبريس وWooCommerce ومعظم مواقع الشركات. تسمح هاتان الثغرتان للمهاجم بتشغيل أوامر على خادم الموقع دون تسجيل الدخول. أصلحت PHP الثغرتين يوم 21 أكتوبر 2026 في الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35، وبدأت الهجمات في اليوم نفسه. لحماية موقعك: تحقق من إصدار PHP الذي يستعمله، وتأكد من أن شركة الاستضافة ثبّتت الإصلاح (بعض الشركات تحتفظ بالرقم القديم مع إضافة الإصلاح)، وحدّث ووردبريس وكل الإضافات، وابحث عن علامات الاختراق، واحتفظ بنسخة احتياطية حديثة خارج الخادم.
كتب هذا الدليل فريق Kolchi In One (KIO)، وهي وكالة رقمية تنشئ وتصون المواقع الإلكترونية وأنظمة CRM ووكلاء الذكاء الاصطناعي لعملاء في الشرق الأوسط وأوروبا وآسيا وشمال إفريقيا. أجرينا هذا الفحص بالضبط على موقعنا وعلى المواقع التي نشرف عليها في الأسبوع نفسه الذي أُعلن فيه عن الثغرة.
لماذا يبحث أصحاب الشركات في العالم كله عن هذه الثغرة
على Google Trends على مستوى العالم، انتقلت عبارة «php2shell» من الصفر إلى بحث يحمل علامة «Breakout» خلال أيام قليلة. والدول الأكثر بحثًا عنها هي النمسا والصين ولوكسمبورغ وسويسرا وهولندا وهونغ كونغ وألمانيا وسنغافورة. وعمليات البحث المرتبطة تحكي القصة نفسها: «php critical vulnerability» و«php vulnerability patch» و«cve-2026-109618» كلها تحمل علامة «Breakout»، وعبارة «wordpress php update» ارتفعت بأكثر من 2700%. وفي العالم العربي أيضًا ظهرت عبارة «ثغرة php» بقوة. من دبي إلى أمستردام إلى الدار البيضاء، سمع أصحاب الشركات أن المواقع تتعرض للهجوم، ويريدون معرفة شيء واحد: هل موقعي آمن؟
ما هي PHP2Shell بكلمات بسيطة
لغة PHP هي المحرك الذي تعمل به معظم المواقع التي تزورها: كل مواقع ووردبريس، ومتاجر WooCommerce، وPrestaShop، والكثير من أنظمة الحجز والمدارس، والعديد من المنصات المصممة حسب الطلب. الثغرتان موجودتان داخل PHP نفسها، وليس في ووردبريس أو في إضافة. طلب واحد مُعدّ بعناية يمكنه أن يجعل الخادم يشغّل أوامر المهاجم حتى قبل أن يبدأ كود موقعك. لهذا قيّمتها فرق الأمن بدرجة 9.2 من 10.
- الإعلان والإصلاح: 21 أكتوبر 2026، مع نشرة أمنية رسمية من PHP وأربعة إصدارات مُصلحة.
- الهجمات: سجّل فريق الرصد في Amazon محاولة يوم 17 أكتوبر، أي قبل الإعلان بأربعة أيام. وأبلغت شركات أمنية عن محاولات حقيقية منذ يوم النشر، ورأت Cloudflare أن عدد المحاولات وصل إلى الملايين خلال يوم واحد.
- من المعني: كل موقع يعمل بلغة PHP، سواء على استضافة مشتركة أو خادم VPS أو خادم مخصص.
هل موقعك معني؟
إذا كان موقعك يعمل بووردبريس فالجواب نعم، فهو يستعمل PHP. المهم هو معرفة هل نسخة PHP على خادمك تتضمن الإصلاح أم لا.
- الإصدارات المُصلحة: PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35 أو أحدث.
- شركات استضافة تُصلح نيابة عنك: كثير من شركات الاستضافة المشتركة (مثل التي تعمل بنظام CloudLinux) تضيف الإصلاح إلى نسختها الخاصة وتحتفظ برقم أقل، مثل 8.3.35. الرقم وحده لا يثبت أن موقعك معرض للخطر، وشركة الاستضافة تستطيع أن تؤكد لك ذلك.
- PHP 8.1 و8.0 و7.4 والأقدم: هذه الإصدارات لم تعد تتلقى تحديثات رسمية. إذا كان موقعك ما زال يستعمل أحدها، فخطط للترقية الآن.
الفحص في 10 دقائق لأصحاب الشركات
- اعرف إصدار PHP لديك. في ووردبريس: أدوات، ثم صحة الموقع، ثم معلومات، ثم قسم الخادم. ويمكنك أيضًا رؤيته في لوحة الاستضافة (hPanel أو cPanel أو Plesk) ضمن إعدادات PHP.
- اطرح سؤالًا واضحًا على شركة الاستضافة. «هل إصدار PHP الذي يستعمله موقعي مُصلح ضد CVE-2026-109618 وCVE-2026-109619؟» شركة الاستضافة الجيدة تجيب بنعم مع التاريخ. وإذا لم تستطع الإجابة، فانتقل إلى إصدار مُصلح من لوحة التحكم أو اطلب ذلك من وكالتك.
- حدّث ووردبريس والإضافات والقالب. تحديث ووردبريس لا يُصلح ثغرة في PHP، لكن المهاجمين الذين يبحثون عن PHP2Shell يجربون الإضافات القديمة في الوقت نفسه. احذف الإضافات التي لم تعد تستعملها.
- ابحث عن علامات الاختراق. تحقق في قائمة المستخدمين من عدم وجود مدير لا تعرفه، وفي قائمة الإضافات من عدم وجود شيء لم تثبّته، وفي مدير الملفات لدى الاستضافة من عدم وجود ملفات PHP داخل مجلد uploads. وانتبه لأي تحويل للزوار إلى مواقع غريبة، أو تحذير من Google بأن «هذا الموقع ربما تعرض للاختراق»، أو تنبيه بوجود برمجيات خبيثة من شركة الاستضافة.
- احتفظ بنسخة احتياطية خارج الخادم. نسخة من قاعدة البيانات والملفات على حاسوبك أو على خدمة تخزين سحابية، وليس فقط على حساب الاستضافة نفسه.
- إذا بدا لك أي شيء غير طبيعي: غيّر كلمات مرور ووردبريس والاستضافة وقاعدة البيانات، وفعّل تسجيل الدخول بخطوتين لكل مدير، واطلب من مختص تنظيف الموقع قبل إعادته إلى العمل.
ما الذي تستطيع إضافة الحماية فعله وما الذي لا تستطيعه
إضافات الحماية والجدران النارية مثل Wordfence أو Cloudflare تستطيع منع هجمات معروفة والتنبيه إلى الملفات التي تغيّرت. هذا مفيد، لكن فريق PHP واضح: لا يوجد أي إعداد يحمي خادمًا غير مُصلح حماية كاملة. وحده تحديث PHP يفعل ذلك. اعتبر الإضافة جهاز إنذار، وتحديث PHP هو القفل.
نشرة أخرى يجب أن تعرفها
يوم 23 أكتوبر نشرت PHP نشرة أخف تتعلق بخاصية تسمى session upload progress، وأوصت شركات الاستضافة بإيقافها إلى حين صدور الإصدار القادم. تخص هذه الخاصية إعدادات خوادم غير شائعة، ولم يُبلَّغ عن أي هجوم عبرها. شركة الاستضافة تتكفل بها على مستوى الخادم، ولا تحتاج إلى تغيير أي شيء في موقعك.
ماذا فعلنا في KIO
عندما أُعلن عن الثغرة، فحصنا موقعنا والمواقع التي نستضيفها في اليوم نفسه: تأكدنا من أن نسخة PHP مُصلحة من قِبل الاستضافة، وتحققنا من ملفات ووردبريس الأساسية مقارنة بالبصمات الرسمية، وتحققنا من ملفات الإضافات، وراجعنا حسابات المديرين، وفحصنا الملفات التي تغيّرت مؤخرًا، ولم نجد أي ملف PHP داخل uploads. لم يتعرض أي شيء للاختراق. بعد ذلك حدّثنا الإضافات المتبقية بعد أخذ نسخة احتياطية كاملة.
إذا لم يكن لديك وقت للقيام بذلك بنفسك، أو إذا كان موقعك قد أنشأه شخص لم تعد تستطيع التواصل معه، فهذا بالضبط نوع الصيانة الذي نقوم به. معاييرنا لاختيار من يشرف على موقعك موجودة في قائمتنا من 10 نقاط لاختيار وكالة رقمية، وإذا كنت تفكر في إعادة بناء موقعك على أساس أقوى، فاقرأ موقع إلكتروني أم تطبيق ويب أم تطبيق هاتف: ماذا تبني سنة 2026؟ واطلع على خدماتنا.
أسئلة شائعة
هل تحديث ووردبريس يُصلح ثغرة PHP2Shell؟
لا. الثغرة موجودة في PHP، وهي برنامج الخادم الذي يعمل تحت ووردبريس. يجب على شركة الاستضافة أو وكالتك تثبيت نسخة PHP المُصلحة. ومع ذلك يبقى تحديث ووردبريس والإضافات مهمًا، لأن المهاجمين يجربون الاثنين معًا.
كيف أعرف إصدار PHP الذي يستعمله موقعي؟
في ووردبريس: أدوات، صحة الموقع، معلومات، الخادم. وفي لوحة الاستضافة: صفحة إعدادات PHP أو إصدار PHP.
شركة الاستضافة تعرض PHP 8.3.35، فهل أنا في أمان؟
ربما. عدة شركات استضافة تضيف الإصلاح إلى نسختها الخاصة دون تغيير الرقم. اطلب منها أن تؤكد كتابيًا أن نسخة PHP لديك مُصلحة ضد CVE-2026-109618 وCVE-2026-109619.
كيف أعرف أن موقعي تعرض للاختراق؟
العلامات الشائعة هي حسابات مدير لا تعرفها، أو إضافات لم تثبّتها، أو ملفات PHP داخل مجلد uploads، أو تحويل الزوار إلى مواقع أخرى، أو صفحات مزعجة في نتائج Google، أو تحذير من شركة الاستضافة أو من Google. بعض الهجمات تبقى صامتة، ولهذا يبقى فحص الملفات مهمًا.
هل تستطيع KIO فحص موقعي؟
نعم. نتحقق من إصدار PHP ومن الإصلاح، ومن ملفات ووردبريس والإضافات، ومن حسابات المديرين والملفات المشبوهة، ونأخذ نسخة احتياطية أولًا، ثم نشرح لك ما وجدناه بكلمات بسيطة. راسلنا على واتساب على الرقم +212 688 445 399 أو عبر صفحة التواصل لمكالمة مجانية مدتها 15 دقيقة.
