PHP2Shell: إصلاح CVE-2026-109618 وCVE-2026-109619

PHP2Shell باختصار

ما يجب تذكّره

• CVE-2026-109618 — تلف في الذاكرة عند تجاوز memory_limit: بيانات طلب مهيّأة جزئيًّا تُعامَل لاحقًا على أنها صالحة أثناء التنظيف.
• CVE-2026-109619 — حالة عامة منتهية الصلاحية: حالة خاصة بطلب ما تبقى بعد تحرير ذاكرته، ويمكن أن يقرأها الطلب التالي على العملية نفسها.
• الدرجة: ‎9‎.2 من 10 وفق CVSS ‎4‎.0 لكل منهما، دون الحاجة إلى مصادقة أو تفاعل من المستخدم.
• الإصدارات المصحَّحة: ‎PHP 8‎.5‎.12 و‎8‎.4‎.27 و‎8‎.3‎.36 و‎8‎.2‎.35. لم يعد المشروع ينشر إصدارات للفرع ‎8‎.1 والفروع الأقدم.
• الاستغلال: تفيد watchTowr برصد محاولات استغلال في مصائدها الشبكية منذ 21 أكتوبر 2026.
• النطاق: يقدّر الباحثون أن الفروع المتأثرة تعود حتى ‎PHP 5‎.4، دون أن يُختبر كل إصدار على حدة.

لماذا تشكّل هاتان الثغرتان خطرًا كبيرًا

أي إصدار تثبّت حسب فرعك

مرّر الجدول أفقيًا

تحقّق مما إذا كانت خوادمك مكشوفة

جرد إصدارات PHP المخدومة

1. 01

   اعرض الإصدارات المثبّتة

   على Debian أو Ubuntu:

   dpkg-query -W -f='${db:Status-Abbrev} ${Package} ${Version}\n' 'php*' | awk '$1=="ii"' | grep -E 'php[0-9.]+-(fpm|cli|common)|libapache2-mod-php'

   على RHEL أو AlmaLinux أو Rocky Linux:

   rpm -qa 'php*' 'ea-php*' 'alt-php*' | sort

2. 02

   حدّد عمليات PHP قيد التشغيل

   systemctl list-units --type=service --state=running | grep -E 'php|apache2|httpd|lsws'

   كل خدمة phpX.Y-fpm نشطة هي إصدار يجب التحقق منه وتصحيحه.

3. 03

   اقرأ الإصدار الذي يخدم موقعًا ما

   ضع ملفًا مؤقتًا في جذر الموقع، واستعلم عنه، ثم احذفه فورًا:

   echo '<?php echo PHP_VERSION, " ", PHP_SAPI;' > /var/www/monsite/v-check.php
   curl -s https://monsite.example/v-check.php
   rm /var/www/monsite/v-check.php

   تشير نتيجة مثل 8.3.36 fpm-fcgi إلى إصدار مصحَّح يخدمه PHP-FPM.

4. 04

   افحص حاويات Docker

   docker ps --format '{{.Names}}' | while read c; do echo "$c: $(docker exec "$c" php -r 'echo PHP_VERSION;' 2>/dev/null)"; done

   الحاوية التي لا تحتوي على PHP لا تعرض شيئًا بعد اسمها.

طبّق التصحيح

حدّث PHP حسب بيئتك

1. 05

   Debian وUbuntu

   sudo apt update
   sudo apt install --only-upgrade $(dpkg-query -W -f='${db:Status-Abbrev} ${Package}\n' 'php*' | awk '$1=="ii"{print $2}')
   sudo systemctl restart 'php*-fpm'
   sudo systemctl restart apache2   # if you use mod_php

   إذا كانت إصداراتك تأتي من مستودع خارجي (مثل PPA ondrej/php)، فتحقّق من أن الإصدار المثبّت بعد التحديث هو فعلًا إصدار مصحَّح.

2. 06

   RHEL وAlmaLinux وRocky Linux

   sudo dnf upgrade 'php*'
   sudo systemctl restart php-fpm
   sudo systemctl restart httpd

   نشرت AlmaLinux حزمها المصحَّحة في 21 أكتوبر 2026. أما مستودع Remi المجتمعي فلم يكن يوفّر أي تحديث لحظة الإعلان: إذا كنت تعتمد عليه، فتحقّق من الإصدار المثبّت بعد ذلك.

3. 07

   خادم cPanel (EasyApache 4 أو CloudLinux)

   sudo dnf upgrade 'ea-php*' 'alt-php*'
   /scripts/restartsrv_apache_php_fpm
   /scripts/restartsrv_httpd

   على خادم أقدم، استبدل dnf بـ yum. ثم افحص كل إصدار في WHM › MultiPHP Manager: يجب نقل أي حساب لا يزال مضبوطًا على فرع بلا تصحيح (‎7‎.x، ‎8‎.0، ‎8‎.1) إلى إصدار مدعوم.

4. 08

   حاويات Docker

   docker compose pull
   docker compose up -d --force-recreate
   docker compose exec app php -r 'echo PHP_VERSION;'

   إذا كان ملف Dockerfile الخاص بك ينطلق من صورة php:8.3-fpm، فأعد بناء الصورة باستخدام docker compose build --pull: فبدون --pull يعيد Docker استخدام الصورة الأساسية القديمة المخزّنة مؤقتًا.

5. 09

   تحقّق من النتيجة

   أعد تشغيل فحص الخطوة السابقة على كل موقع. لا يُعدّ التصحيح مطبَّقًا إلا إذا كان الإصدار الذي يخدمه الويب مصحَّحًا، لا الإصدار المثبّت على القرص فحسب.

إذا لم تتمكن من التحديث فورًا

; in the FPM pool, e.g. /etc/php/8.3/fpm/pool.d/www.conf
php_admin_flag[session.upload_progress.enabled] = off
; PHP 8.5 only:
php_admin_flag[fatal_error_backtraces] = off

ابحث عن آثار الاستغلال

فحوص يجب إجراؤها بعد التصحيح

1. 10

   ابحث عن عمليات PHP-FPM المُنهاة

   sudo grep -E 'exited on signal (11|6)' /var/log/php*-fpm.log | tail -20

   إن إنهاء عمليات بالإشارة 11 (SIGSEGV) بشكل متكرر منذ 21 أكتوبر علامة تحذير.

2. 11

   ابحث عن تجاوزات الذاكرة

   sudo grep -rh 'Allowed memory size' /var/log/php* /var/log/nginx /var/log/apache2 2>/dev/null | tail -20

3. 12

   حدّد ملفات PHP المُنشأة حديثًا

   sudo find /var/www /home -name '*.php' -newermt '2026-10-20' -not -path '*/vendor/*' -not -path '*/cache/*' -ls

   أي ملف مجهول باسم عام، في مجلد رفع أو في /tmp، يجب فحصه قبل أي حذف.

4. 13

   عند الشك، تعامل مع الخادم على أنه مخترق

   اعزل الجهاز، واحتفظ بنسخة من السجلات، ثم جدّد كلمات مرور قاعدة البيانات ومفاتيح API والأسرار الموجودة في ملفات .env: فتسريب الذاكرة قد يكون كشفها دون أن يترك أي أثر آخر.

على الاستضافة المشتركة

التوثيق الرسمي