ثغرة PolyShell ‏CVE-2026-48356: فحص متاجر ماجنتو وإصلاحها

PolyShell: ما هو ثابت، وأين تختلف المصادر

ما تقوله المصادر، وما تستخلصه منها

مرّر الجدول أفقيًا

لماذا لا يُغلق التصحيح الملف

ما يتركه هذا الإجراء بين يديك

• جرد لكل متجر — الإصدار (Commerce أو Open Source)، ورقم النسخة بدقة، ووجود التصحيح 2026-jul أو غيابه.
• إصدار مستهدف لكل فرع — يُقرأ في النشرة APSB26-73، دون تخمين للترقيم.
• حالة مجمَّدة قبل أي تدخل — لقطة (snapshot) وتصدير لقاعدة البيانات يُحفظان دليلًا، قبل أي تنظيف.
• أربعة فحوص قابلة للتكرار — الملفات تحت pub/media، والأبواب الخلفية accesson.php، وشيفرات JavaScript في cms_block وفي cms_page.
• تدوير كامل لصلاحيات الوصول — حسابات الإدارة، ومفاتيح API والتكامل، وقاعدة البيانات، ومفتاح التشفير، وSSH وSFTP.
• تقرير مؤرَّخ لكل عميل — ما جرى فحصه، وما وُجد، وما صُحّح، وما لم يُفحص.

الإصدارات المتأثرة والمصحَّحة بحسب APSB26-73

مرّر الجدول أفقيًا

جرد إصدار كل متجر

1. 01

   قراءة الإصدار المعلَن

   cd /var/www/client-store
bin/magento --version
   يعرض الأمر نوع الإصدار ورقمه. المسار مثال: عدّله بحسب كل استضافة. شغّله بمستخدم النظام المالك للملفات، لا بحساب root، حتى لا تُغيّر صلاحيات ذاكرة التخزين المؤقت.

2. 02

   التحقق المتقاطع عبر Composer

   composer show magento/product-community-edition
   لـMagento Open Source، أو
   composer show magento/product-enterprise-edition
   لـAdobe Commerce. يقرأ Composer ما هو مثبَّت فعلًا. إذا اختلفت القراءتان، فالمرجع هو Composer، ويُدوَّن الفرق.

3. 03

   مسح خادم كامل

   find /var/www /home -name composer.lock -not -path '*/vendor/*' -exec grep -H -A1 '"name": "magento/product-' {} +
   كل ملف يظهر ينتمي إلى تثبيت Magento، ويلي سطرُ version اسمَ الحزمة. بيئة ما قبل الإنتاج المكشوفة أو نسخة قديمة مفكوكة الضغط تُحسب متجرًا: فهي معرَّضة بالطريقة نفسها إذا كانت تُخدَّم.

4. 04

   التصنيف بجدول الإصدارات

   قارن الرقم الذي قرأته بالجدول أعلاه. قاعدة القراءة: كل إصدار لا يحمل اللاحقة 2026-jul الخاصة بفرعه يجب معالجته. بالنسبة لـMagento Open Source 2.4.5 و2.4.4، الغائبتين عن قائمة NVD، لا تكتب «غير متأثر»: أحِل إلى نشرة Adobe وعامِل المتجر على أنه معرَّض ما لم تقرأ خلاف ذلك.

5. 05

   تدوين سطر لكل متجر

   العميل، والخادم، والمسار، ونوع الإصدار، والإصدار المقروء، وتاريخ القراءة وساعتها. أضف من الآن الأعمدة التي ستحتاجها لاحقًا: التصحيح مطبَّق، ونتيجة الفحوص الأربعة، والصلاحيات المدوَّرة. يصبح هذا الجدول الوثيقة المحورية في الملف المسلَّم للعميل.

جمّد الحالة قبل أي تعديل: إنها دليل أيضًا

تطبيق التصحيح دون انقطاع طويل

1. 06

   التجربة على بيئة ما قبل الإنتاج

   استعِد الحالة المجمَّدة على بيئة ما قبل الإنتاج، أو استنسخ المتجر، ونفّذ التحديث هناك أولًا. قِس مدة كل أمر: هذه المدة هي التي تحدد نافذة الصيانة التي تُعلنها للعميل.

2. 07

   تثبيت الإصدار المصحَّح

   composer require magento/product-community-edition=<fixed-version> --no-update
   استبدل الحزمة بـmagento/product-enterprise-edition لـAdobe Commerce، و<fixed-version> بالإصدار ذي اللاحقة 2026-jul الخاص بفرعك، كما تكتبه النشرة.

3. 08

   حلّ التبعيات واعتماد ملف القفل

   composer update magento/product-community-edition --with-all-dependencies
   راجِع قائمة الحزم المعدَّلة. ملف composer.lock الناتج والمختبَر هو الذي ستنشره: بيئة الإنتاج لا تحلّ شيئًا بعد ذلك، بل تثبّت فقط.

4. 09

   فتح نافذة الصيانة في الإنتاج

   bin/magento maintenance:enable
bin/magento maintenance:allow-ips <your-ip>
   كل ما سبق جرى دون إيقاف البيع. الأمر الثاني يتيح لك اختبار المتجر قبل إعادة فتحه.

5. 10

   التثبيت والتطبيق

   composer install --no-dev
bin/magento setup:upgrade
bin/magento setup:di:compile
bin/magento setup:static-content:deploy
   مع ملف قفل معتمَد مسبقًا، يقتصر الانقطاع على هذه الأوامر الأربعة.

6. 11

   إعادة الفتح والتحقق

   bin/magento maintenance:disable
composer show magento/product-community-edition
   يجب أن يكون الإصدار المثبَّت هو الإصدار المصحَّح لفرعك. نفّذ طلبًا عبر بوابة الدفع في وضع الاختبار، ثم دوّن الإصدار والساعة في الجدول.

البحث عن آثار الاختراق

1. 12

   سرد الملفات المزروعة تحت pub/media

   find pub/media/custom_options/ pub/media/customer_address/ -type f ! -name '.htaccess'
   أمر نشرته Sansec، يُشغَّل من جذر المتجر. كل ملف يظهر يجب فحصه، ولا سيما شيفرة PHP. انسخه خارج الشجرة العامة مع تاريخ تعديله قبل حذفه.

2. 13

   البحث عن الأبواب الخلفية accesson.php

   find . -name 'accesson.php' -type f
   تشير Sansec إلى هذا الملف «في عدة مجلدات»: شغّل البحث من الجذر، لا تحت pub/ فقط. النتيجة الفارغة تُثبت غياب هذا الملف تحديدًا، لا غياب أي باب خلفي.

3. 14

   الاستعلام في الجدول cms_block

   SELECT block_id, identifier, update_time FROM cms_block WHERE content LIKE '%fpCode%' OR content LIKE '%se_referrer%' OR content LIKE '%localStorage.getItem%';
   استعلام نشرته Sansec. أضف بادئة الجداول الخاصة بالتثبيت إن وُجدت. يساعد العمود update_time على تأريخ الحقن.

4. 15

   الاستعلام في الجدول cms_page

   SELECT page_id, identifier, update_time FROM cms_page WHERE content LIKE '%fpCode%' OR content LIKE '%se_referrer%' OR content LIKE '%localStorage.getItem%';
   الفحص نفسه على صفحات CMS. النتيجة ليست بالضرورة خبيثة: قد يظهر localStorage.getItem في شيفرة مشروعة. اقرأ المحتوى قبل أن تحكم.

5. 16

   المطابقة مع المؤشرات المنشورة

   بالنسبة لموجة مارس 2026، نشرت Sansec نطاق محمّل هو lanhd6549tdhse.top، ومفتاح localStorage هو 136c1e07507f4a97، ووسم باب خلفي هو 8194460. ابحث عنها في النتائج السابقة وفي الملفات التي عثرت عليها، مثلًا بالأمر grep -rl 'lanhd6549tdhse' pub/ app/. هذه القائمة ليست شاملة: غيابها لا يبرّئ المتجر.

6. 17

   فحص حسابات المسؤولين

   SELECT user_id, username, email, created, logdate, is_active FROM admin_user ORDER BY created DESC;
   الحساب الذي لا يعرفه أحد، أو الذي أُنشئ في تاريخ قريب من تاريخ ملف مشبوه، يُعطَّل ثم يُوثَّق. الفحص الشهري لهذه النقاط على كل VPS للعملاء موصوف في قائمة التدقيق لدينا.

استكشاف الأعطال: العوائق الشائعة أثناء الإجراء

بعد التنظيف: ما يجب تدويره

• كلمات مرور المسؤولين — كل الحسابات في admin_user، بما فيها تلك التي تراها سليمة.
• مفاتيح API والتكاملات — رموز التكاملات المعلَنة في لوحة الإدارة، ومفاتيح الخدمات الخارجية (الدفع، الشحن، ERP) المخزَّنة في الإعدادات.
• بيانات اعتماد قاعدة البيانات — كلمة مرور جديدة، تُنقل إلى إعدادات المتجر.
• مفتاح التشفير — يُغيَّر باتباع وثائق Adobe، بعد تقدير الأثر على البيانات المشفَّرة مسبقًا.
• وصول SSH وSFTP — كلمات المرور، ومفاتيح SSH المصرّح بها، وحسابات النظام المجهولة.
• وصول الاستضافة — لوحة التحكم والنسخ الاحتياطية، فهي أيضًا تتيح الوصول إلى الملفات.

التقرير المؤرَّخ الذي يُسلَّم لكل عميل

مرّر الجدول أفقيًا

ما تحتفظ به، والمصادر التي تُستشهد بها