[{"data":1,"prerenderedAt":291},["ShallowReactive",2],{"seo-verification":3,"blog-php2shell-cve-2026-109618-109619-تحديث-php-ma-ar":6,"promo-bar-likely":290},{"google":4,"bing":5},"EycwPY2XMyTkVzas3n1ygeNJFGAH513qrMjfDljzsMQ","",{"key":7,"data":8},"blog-php2shell-cve-2026-109618-109619-تحديث-php-ma-ar",{"id":9,"slug":10,"slugs":11,"title":15,"excerpt":16,"readTime":17,"views":18,"isPinned":19,"noindex":19,"publishedAt":20,"updatedAt":21,"category":22,"categories":28,"featuredImage":30,"bgImage":31,"posterImage":32,"relatedSolution":30,"intro":33,"sections":34,"ctaTitle":228,"ctaBody":229,"ctaButton":230,"ctaUrl":231,"relatedPosts":232},489,"php2shell-cve-2026-109618-109619-تحديث-php",{"fr":12,"en":13,"ar":10,"es":14},"php2shell-cve-2026-109618-109619-mettre-a-jour-php","php2shell-cve-2026-109618-109619-patch-php","php2shell-cve-2026-109618-109619-actualizar-php","PHP2Shell: إصلاح CVE-2026-109618 وCVE-2026-109619","PHP2Shell: ثغرتان حرجتان في PHP قابلتان للاستغلال دون حساب. الإصدارات المصحَّحة، وأوامر التحديث لكل نظام، والحلول المؤقتة.",16,1,false,"2026-10-22T00:00:00+00:00","2026-11-08T01:13:15+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},8,"الأمان والمراقبة","securite-monitoring","bg-rose-500\u002F10 text-rose-400","security",[29],{"id":23,"name":24,"slug":25,"color":26,"icon":27},null,"\u002Fblog\u002Fcovers\u002Fbg.svg","\u002Fblog\u002Fcovers\u002Fphp2shell-cve-2026-109618-109619-mettre-a-jour-php-poster.svg","في 21 أكتوبر 2026، نشر فريق أمن PHP على وجه الاستعجال الإصدارات ‎PHP 8‎.5‎.12 و‎8‎.4‎.27 و‎8‎.3‎.36 و‎8‎.2‎.35. تُصلح هذه الإصدارات ثغرتين أُطلق عليهما اسم «PHP2Shell»: CVE-2026-109618 وCVE-2026-109619، وقد حصلت كلٌّ منهما على ‎9‎.2 من 10 وفق CVSS ‎4‎.0. تستهدف الثغرتان المفسِّر نفسه لا تطبيقًا بعينه: يكفي طلب HTTP واحد مجهول المصدر، حتى قبل أن تبدأ شيفرتك في التنفيذ. وقد رُصدت محاولات استغلال منذ يوم النشر. تحديث 27 أكتوبر: أضافت CISA الثغرتين إلى كتالوج الثغرات المستغَلّة المعروفة في 26 أكتوبر. إليك ما تفعله هاتان الثغرتان، وكيف تعرف ما إذا كانت خوادمك مكشوفة، وكيف تصلحهما على Debian وUbuntu وRHEL وcPanel وDocker.",[35,39,48,52,55,64,67,97,100,116,119,137,140,168,180,183,186,189,192,195,198,213,222,225],{"type":36,"title":37,"body":38},"h2","تحديث 27 أكتوبر: CISA تدرج PHP2Shell ضمن الثغرات المستغَلّة","في 26 أكتوبر 2026، أضافت CISA، وهي الوكالة الأمريكية للأمن السيبراني، **الثغرتين معًا** (CVE-2026-109618 وCVE-2026-109619) إلى كتالوج الثغرات المستغَلّة المعروفة KEV (Known Exploited Vulnerabilities). لا يُدرَج أي بند في هذا الكتالوج إلا بعد ثبوت استغلال فعلي: وحتى الآن كان هذا الثبوت قائمًا على مصائد watchTowr الشبكية، أما اليوم فمصدره جهة عامة.\n\nحدّدت CISA الموعد النهائي في 29 أكتوبر 2026، أي بعد ثلاثة أيام من الإدراج. لا يُلزم هذا الموعد سوى الوكالات الفيدرالية الأمريكية، لكنه يعطي حجم الاستعجال الذي تنسبه جهة عامة إلى هاتين الثغرتين: بضعة أيام، لا نافذة الصيانة الشهرية القادمة.",{"type":40,"title":41,"items":42},"ul","ما يقوله بند كتالوج KEV",[43,44,45,46,47],"**تاريخ الإدراج**: 26 أكتوبر 2026، لكلٍّ من CVE-2026-109618 («PHP Memory Corruption Vulnerability») وCVE-2026-109619 («PHP Stale Internal Request-State Vulnerability»).","**الموعد النهائي**: 29 أكتوبر 2026 لكلتيهما.","**الإجراء المطلوب**: تطبيق إجراءات التخفيف الصادرة عن المورّد وفق التوجيه BOD 26-04 (Prioritizing Security Updates Based on Risk)، أو التوقف عن استخدام المنتج إذا لم يتوافر أي إجراء.","**الفرز الجنائي**: يحيل البند إلى «Forensics Triage Requirements» الصادرة عن CISA. التصحيح وحده لا يكفي: يجب أيضًا البحث عن اختراق وقع قبل التصحيح.","**برمجيات الفدية**: يُذكر استخدامهما في حملة فدية على أنه «غير معروف» حتى الآن.",{"type":49,"title":50,"body":51},"tip","ما الذي يتغيّر بالنسبة إليك","لا شيء في الإجراءات: الإصدارات المصحَّحة والأوامر هي نفسها الواردة في هذه المقالة. الذي يتغيّر هو الأولوية. قبل 26 أكتوبر كان بالإمكان المفاضلة بين «فورًا» و«في نافذة الصيانة القادمة»؛ لم يعد ذلك مقبولًا. تأتي الخوادم المكشوفة على الإنترنت أولًا. ولم يعد السؤال «هل أنا محمي؟» فحسب، بل «هل أُصبتُ بين 21 أكتوبر ولحظة التصحيح؟»: وقد أُكملت قائمة الفحص أدناه بما يخدم هذا السؤال.",{"type":36,"title":53,"body":54},"PHP2Shell باختصار","ليست PHP2Shell ثغرة في WordPress أو Laravel أو في إضافة ما: المشكلة في محرّك PHP نفسه. لذا فإن كل تطبيق PHP يستجيب لطلبات الويب معنيّ بها، أيًّا كانت شيفرته. ويذكر التنبيه الأمني كلًّا من PHP-FPM وApache مع `mod_php` و`php-cgi` وFrankenPHP وLiteSpeed.\n\nتشترك الثغرتان في آلية واحدة. فعندما يقطع PHP طلبًا بشكل مفاجئ (نفاد الذاكرة، خطأ فادح)، قد يترك خلفه حالة داخلية مهيّأة جزئيًّا أو محرَّرة مسبقًا. ثم يعيد طلب لاحق، يعالجه عملية PHP نفسها، استخدام تلك الحالة: وهذا ما يفتح الباب أمام تنفيذ شيفرة عن بُعد.",{"type":40,"title":56,"items":57},"ما يجب تذكّره",[58,59,60,61,62,63],"**CVE-2026-109618** — تلف في الذاكرة عند تجاوز `memory_limit`: بيانات طلب مهيّأة جزئيًّا تُعامَل لاحقًا على أنها صالحة أثناء التنظيف.","**CVE-2026-109619** — حالة عامة منتهية الصلاحية: حالة خاصة بطلب ما تبقى بعد تحرير ذاكرته، ويمكن أن يقرأها الطلب التالي على العملية نفسها.","**الدرجة**: ‎9‎.2 من 10 وفق CVSS ‎4‎.0 لكل منهما، دون الحاجة إلى مصادقة أو تفاعل من المستخدم.","**الإصدارات المصحَّحة**: ‎PHP 8‎.5‎.12 و‎8‎.4‎.27 و‎8‎.3‎.36 و‎8‎.2‎.35. لم يعد المشروع ينشر إصدارات للفرع ‎8‎.1 والفروع الأقدم.","**الاستغلال**: تفيد watchTowr برصد محاولات استغلال في مصائدها الشبكية منذ 21 أكتوبر 2026.","**النطاق**: وفقًا لقاعدة NVD، تمسّ CVE-2026-109619 جميع الإصدارات منذ ‎PHP 5‎.4‎.0، وتمسّ CVE-2026-109618 جميع الإصدارات منذ ‎PHP 7‎.3‎.0.",{"type":36,"title":65,"body":66},"لماذا تشكّل هاتان الثغرتان خطرًا كبيرًا","تتطلب معظم ثغرات الويب نموذجًا محددًا أو حسابًا أو إضافة معرّضة للخطر. أما PHP2Shell فلا تحتاج إلى أي من ذلك: المحفّز الأكثر شيوعًا هو معالجة إرسال من نوع `multipart\u002Fform-data` مع تتبّع تقدّم الجلسات (`session.upload_progress`)، وهي آلية يفعّلها PHP افتراضيًّا وتُنفَّذ **قبل** أول بايت من تطبيقك. لذلك فإن جدار حماية تطبيقات مدمجًا في شيفرتك، أو إضافة أمان لـ WordPress، أو middleware في Laravel، كلها تصل بعد فوات الأوان.\n\nالعامل الثاني هو نموذج التنفيذ نفسه. إذ يعيد PHP-FPM وApache استخدام العملية نفسها لمئات الطلبات المتتالية: وهذا تحديدًا ما يسمح لطلب مفخّخ بأن يلوّث الطلب الذي يليه. ووفقًا لـ Imperva، تتراوح التقنيات المنشورة بين إسقاط العملية وقراءة ملفات عشوائية عبر ذاكرة OPcache المؤقتة، مرورًا بتسريب نحو 67 كيلوبايت من ذاكرة العملية داخل ملف تعريف ارتباط `PHPSESSID` متضخّم. وقد تحتوي هذه الذاكرة على كلمات مرور قاعدة البيانات أو مفاتيح API.",{"type":68,"title":69,"headers":70,"rows":74},"comparison","أي إصدار تثبّت حسب فرعك",[71,72,73],"فرع PHP","الإصدار المصحَّح","ما العمل",[75,79,82,85,89,93],[76,77,78],"‎8‎.5","‎8‎.5‎.12","التحديث ثم إعادة تشغيل PHP",[80,81,78],"‎8‎.4","‎8‎.4‎.27",[83,84,78],"‎8‎.3","‎8‎.3‎.36",[86,87,88],"‎8‎.2","‎8‎.2‎.35","التحديث، ثم التخطيط للانتقال إلى ‎8‎.3 أو ‎8‎.4",[90,91,92],"‎8‎.1، ‎8‎.0، ‎7‎.4","لا يوجد إصدار رسمي","حزمة مصحَّحة من توزيعتك، أو نقل عكسي للتصحيح من المصدر، وإلا فالانتقال",[94,95,96],"‎7‎.3 وما قبلها، ‎5‎.x","لم يُنشر أي تصحيح","الانتقال إلى فرع مدعوم",{"type":36,"title":98,"body":99},"تحقّق مما إذا كانت خوادمك مكشوفة","احذر فخًّا شائعًا: الإصدار الذي يعرضه الأمر `php -v` في سطر الأوامر ليس بالضرورة الإصدار الذي يخدم مواقعك. فقد يحتوي الخادم على عدة إصدارات من PHP-FPM مثبّتة جنبًا إلى جنب، وقد يشير كل موقع إلى إصدار مختلف. لذا يجب التحقق من الإصدار الذي يخدمه الويب فعليًّا، موقعًا تلو الآخر.",{"type":101,"title":102,"steps":103},"steps","جرد إصدارات PHP المخدومة",[104,107,110,113],{"title":105,"body":106},"اعرض الإصدارات المثبّتة","على Debian أو Ubuntu:\n\n```bash\ndpkg-query -W -f='${db:Status-Abbrev} ${Package} ${Version}\\n' 'php*' | awk '$1==\"ii\"' | grep -E 'php[0-9.]+-(fpm|cli|common)|libapache2-mod-php'\n```\n\nعلى RHEL أو AlmaLinux أو Rocky Linux:\n\n```bash\nrpm -qa 'php*' 'ea-php*' 'alt-php*' | sort\n```",{"title":108,"body":109},"حدّد عمليات PHP قيد التشغيل","```bash\nsystemctl list-units --type=service --state=running | grep -E 'php|apache2|httpd|lsws'\n```\n\nكل خدمة `phpX.Y-fpm` نشطة هي إصدار يجب التحقق منه وتصحيحه.",{"title":111,"body":112},"اقرأ الإصدار الذي يخدم موقعًا ما","ضع ملفًا مؤقتًا في جذر الموقع، واستعلم عنه، ثم **احذفه فورًا**:\n\n```bash\necho '\u003C?php echo PHP_VERSION, \" \", PHP_SAPI;' > \u002Fvar\u002Fwww\u002Fmonsite\u002Fv-check.php\ncurl -s https:\u002F\u002Fmonsite.example\u002Fv-check.php\nrm \u002Fvar\u002Fwww\u002Fmonsite\u002Fv-check.php\n```\n\nتشير نتيجة مثل `8.3.36 fpm-fcgi` إلى إصدار مصحَّح يخدمه PHP-FPM.",{"title":114,"body":115},"افحص حاويات Docker","```bash\ndocker ps --format '{{.Names}}' | while read c; do echo \"$c: $(docker exec \"$c\" php -r 'echo PHP_VERSION;' 2>\u002Fdev\u002Fnull)\"; done\n```\n\nالحاوية التي لا تحتوي على PHP لا تعرض شيئًا بعد اسمها.",{"type":36,"title":117,"body":118},"طبّق التصحيح","تلقّت توزيعات Linux ومزوّدو الدعم الممتد التصحيحات قبل النشر. لذلك لا تحمل الحزمة المصحَّحة في توزيعتك بالضرورة الرقم ‎8‎.3‎.36: فمثلًا تُصلح Ubuntu ‎24‎.04 إصدارها ‎8‎.3‎.6 ضمن الحزمة `8.3.6-0ubuntu0.24.04.13`. اعتمد على التنبيه الأمني الخاص بتوزيعتك بدلًا من رقم إصدار PHP وحده. وفي جميع الأحوال، **إعادة التشغيل ضرورية**: فما دامت العمليات القديمة تعمل، فإن الشيفرة القديمة هي التي تستجيب.",{"type":101,"title":120,"steps":121},"حدّث PHP حسب بيئتك",[122,125,128,131,134],{"title":123,"body":124},"Debian وUbuntu","```bash\nsudo apt update\nsudo apt install --only-upgrade $(dpkg-query -W -f='${db:Status-Abbrev} ${Package}\\n' 'php*' | awk '$1==\"ii\"{print $2}')\nsudo systemctl restart 'php*-fpm'\nsudo systemctl restart apache2   # if you use mod_php\n```\n\nإذا كانت إصداراتك تأتي من مستودع خارجي (مثل PPA `ondrej\u002Fphp`)، فتحقّق من أن الإصدار المثبّت بعد التحديث هو فعلًا إصدار مصحَّح.",{"title":126,"body":127},"RHEL وAlmaLinux وRocky Linux","```bash\nsudo dnf upgrade 'php*'\nsudo systemctl restart php-fpm\nsudo systemctl restart httpd\n```\n\nنشرت AlmaLinux حزمها المصحَّحة في 21 أكتوبر 2026. أما مستودع Remi المجتمعي فقد نشر الإصدارات ‎8‎.2‎.35 و‎8‎.3‎.36 و‎8‎.4‎.27 و‎8‎.5‎.12 في 22 أكتوبر 2026: إذا كنت تعتمد عليه، فتحقّق من الإصدار المثبّت بعد ذلك.",{"title":129,"body":130},"خادم cPanel (EasyApache 4 أو CloudLinux)","```bash\nsudo dnf upgrade 'ea-php*' 'alt-php*'\n\u002Fscripts\u002Frestartsrv_apache_php_fpm\n\u002Fscripts\u002Frestartsrv_httpd\n```\n\nعلى خادم أقدم، استبدل `dnf` بـ `yum`. ثم افحص كل إصدار في **WHM › MultiPHP Manager**: يجب نقل أي حساب مضبوط على ‎7‎.3 أو ما قبله، دون تصحيح من cPanel، إلى إصدار مدعوم؛ أما ‎7‎.4 و‎8‎.0 و‎8‎.1 فمصحَّحة بالتصدير العكسي لكنها منتهية العمر (انظر أدناه).",{"title":132,"body":133},"حاويات Docker","```bash\ndocker compose pull\ndocker compose up -d --force-recreate\ndocker compose exec app php -r 'echo PHP_VERSION;'\n```\n\nإذا كان ملف `Dockerfile` الخاص بك ينطلق من صورة `php:8.3-fpm`، فأعد بناء الصورة باستخدام `docker compose build --pull`: فبدون `--pull` يعيد Docker استخدام الصورة الأساسية القديمة المخزّنة مؤقتًا.",{"title":135,"body":136},"تحقّق من النتيجة","أعد تشغيل فحص الخطوة السابقة على كل موقع. لا يُعدّ التصحيح مطبَّقًا إلا إذا كان الإصدار **الذي يخدمه الويب** مصحَّحًا، لا الإصدار المثبّت على القرص فحسب.",{"type":36,"title":138,"body":139},"cPanel وEasyApache 4: رقم الإصدار الذي لم يتغيّر لا يعني «غير مصحَّح»","يغطي سجل تغييرات EasyApache 4 (EA4) بتاريخ 21 أكتوبر 2026، الإصدار ‎25‎.91، سبعة فروع من PHP. في الفروع المدعومة يرتفع الرقم: تنتقل `ea-php82` من ‎8‎.2‎.34 إلى ‎8‎.2‎.35، و`ea-php83` من ‎8‎.3‎.35 إلى ‎8‎.3‎.36، و`ea-php84` من ‎8‎.4‎.26 إلى ‎8‎.4‎.27، و`ea-php85` من ‎8‎.5‎.11 إلى ‎8‎.5‎.12. أما `ea-php74` و`ea-php80` و`ea-php81`، التي أعلنت cPanel نهاية عمرها، فيُنقَل إليها التصحيح **بالتصدير العكسي**: لا يتغيّر رقم إصدار PHP، وتتغيّر فقط مراجعة الحزمة.\n\nهنا الفخ: يعرض `php -v` حينئذٍ إصدارًا «قديمًا» مع أن الشيفرة مصحَّحة، وتبقى أي حزمة قديمة لا يذكر سجل تغييراتها الثغرتين معرَّضة للخطر. وحده قراءة سجل تغييرات الحزمة يحسم الأمر. كما أعاد الإصدار ‎25‎.92، الصادر في اليوم نفسه، بناء الحزم الوصفية حتى يذكر سجل تغييراتها التصدير العكسي أيضًا.",{"type":68,"title":141,"headers":142,"rows":146},"EasyApache 4 ‎25‎.91: ما نشرته cPanel، حزمةً حزمةً",[143,144,145],"الحزمة","ما الذي تغيّر","كيف تتحقق",[147,151,154,157,160,164],[148,149,150],"ea-php85","من ‎8‎.5‎.11 إلى ‎8‎.5‎.12","إصدار الحزمة",[152,153,150],"ea-php84","من ‎8‎.4‎.26 إلى ‎8‎.4‎.27",[155,156,150],"ea-php83","من ‎8‎.3‎.35 إلى ‎8‎.3‎.36",[158,159,150],"ea-php82","من ‎8‎.2‎.34 إلى ‎8‎.2‎.35",[161,162,163],"ea-php81 وea-php80 وea-php74","تصحيح بالتصدير العكسي، ورقم PHP دون تغيير","سجل تغييرات RPM: ابحث عن الثغرتين",[165,166,167],"ea-php73 وما قبلها","لا بند في سجل ‎25‎.91","انتقل إلى فرع مدعوم، أو راجع CloudLinux أدناه",{"type":101,"title":169,"steps":170},"تحقّق من أن حزمة مصدَّرة عكسيًّا مصحَّحة فعلًا",[171,174,177],{"title":172,"body":173},"اقرأ سجل تغييرات حزمة EasyApache","```bash\nrpm -qa 'ea-php*-php-cli'\nrpm -q --changelog ea-php81-php-cli | grep -E 'CVE-2026-(109618|109619)'\n```\n\nيعرض الأمر الأول الفروع المثبَّتة، ويُعاد الثاني لكل فرع. سطر يذكر الثغرتين يؤكد التصحيح. وإن لم يظهر أي سطر فالحزمة غير مصحَّحة، أيًّا كان رقم إصدارها.",{"title":175,"body":176},"افعل الشيء نفسه مع حزم alt-php","على خادم CloudLinux، الإصدارات المختارة في **Select PHP Version** هي حزم `alt-php`:\n\n```bash\nrpm -q --changelog alt-php85-common | grep -E 'CVE-2026-(109618|109619)'\n```",{"title":178,"body":179},"راجع الحسابات واحدًا واحدًا","في **WHM › MultiPHP Manager**، يجب أن يشير كل نطاق إلى فرع اجتازت حزمته هذا الفحص. تبقى الفروع ‎7‎.4 و8.0 و8.1 المصحَّحة بالتصدير العكسي منتهية العمر: فهي موضع انتظار، لا وجهة نهائية.",{"type":36,"title":181,"body":182},"CloudLinux: التصحيح نفسه، متأخرًا يومًا أو يومين بحسب المنتج","تنشر CloudLinux حزمها الخاصة، ولا تصل في وقت وصول حزم cPanel نفسه. وبحسب نشرتها، انتقلت حزم `ea-php` (من ‎5‎.2 إلى ‎8‎.5) إلى المستقر في 21 أكتوبر، وحزم `alt-php` في 22 أكتوبر على CloudLinux 7 و8 و9، وPHP الأصلي للنظام في 22 أكتوبر في ساعة متأخرة (UTC)، والحزم المرقَّمة مثل ‎PHP‎.net في 23 أكتوبر.\n\nوهذه أيضًا تصحيحات مصدَّرة عكسيًّا: فتبقى `ea-php84` مثلًا على ‎8‎.4‎.26 مع مراجعة خاصة بـ CloudLinux (‎8‎.4‎.26-2) وهي مصحَّحة. وثمة نقطتا حذر: ففي 21 أكتوبر كانت حزم `alt-php` المعلَن نشرها موجودة في الواقع في مستودع TuxCare ELS لا في مستودعات CloudLinux؛ أما النصيحة بتعطيل مستودع `php-els` الصادرة في 22 أكتوبر فقد صُحِّحت مساء 23 أكتوبر: أبقِه مفعَّلًا. وأخيرًا نشرت Imunify360 قواعد WAF منذ 21 أكتوبر (مجموعة القواعد ‎8‎.83)، وأصبح الإصدار ‎8‎.88 مستقرًا منذ 23 أكتوبر: وهي تحجب مسارات هجوم معروفة ولا تغني عن التحديث.",{"type":36,"title":184,"body":185},"PHP الداخلي في cPanel\u002FWHM وRoundcube: نسخة PHP أخرى يجب تحديثها","يتحكم MultiPHP وEasyApache في PHP الخاص بمواقعك. أما واجهات cPanel وWHM وبريد Roundcube فتعمل على PHP داخلي يُسلَّم مع cPanel نفسها، ولا يؤثر فيه اختيار إصدار في MultiPHP Manager. في 21 أكتوبر 2026 نشرت cPanel تحديثًا أمنيًّا لهذا PHP الداخلي، مبيّنةً أنه «يؤثر في PHP داخل واجهات cPanel، بما فيها بريد Roundcube».\n\nيحمل التحديث PHP ‎8‎.4‎.27 في cPanel وWHM بالإصدارات ‎138‎.0‎.18 و136.0.50 و134.0.66، وتصحيحات مصدَّرة عكسيًّا لـ PHP ‎8‎.1‎.34 في الإصدار ‎110‎.0‎.153. هذه الواجهات مفتوحة لاتصالات عملائك، وبالتالي كثيرًا ما تكون متاحة من الإنترنت: فهي أهداف مفضّلة. اقرأ إصدارك بالأمر `\u002Fusr\u002Flocal\u002Fcpanel\u002Fcpanel -V` (أو من شريط WHM) وقارنه بهذه الأرقام. وإن لم تكن سلسلتك مذكورة فلا تفترض أنها مصحَّحة: راجع ملاحظات إصدار cPanel وانتقل إلى سلسلة مصحَّحة.",{"type":49,"title":187,"body":188},"بعد التصحيح، عطّل مع ذلك تتبّع تقدّم الرفع","في 23 أكتوبر 2026 نشر PHP تنبيهًا إعلاميًّا تكميليًّا: يوصي بإبقاء `session.upload_progress.enabled=0` إلى حين صدور إصدار الإصلاح الاعتيادي القادم، للوقاية من مسار لتنفيذ الشيفرة يراه غير مرجّح. يستهدف التنبيه التطبيقات التي تضبط `session.serialize_handler` على `php_binary` أو `php_serialize` ثم تعيده إلى `php` أثناء التنفيذ عبر `ini_set()` قبل `session_start()`. ويعلن PHP عن تنبيه كامل لـ CVE-2026-115560 مع الإصدار القادم. لا يمسّ هذا الإعداد سوى شريط تقدّم رفع الملفات.",{"type":36,"title":190,"body":191},"إذا لم تتمكن من التحديث فورًا","يقترح التنبيه الرسمي لـ PHP إعدادات **تقلّل** من التعرّض دون أن تجعل التثبيت آمنًا. فهي تفيد في كسب بضع ساعات، لا في الاستغناء عن التصحيح. ويجب وضعها في `php.ini` أو في مجمّع PHP-FPM أو في إعدادات خادم الويب، وليس أبدًا عبر `ini_set()` أو ملف `.user.ini`: فهذان يُقرآن بعد فوات الأوان، بعد تحليل الطلب.\n\nفي مواجهة CVE-2026-109619، عطّل تتبّع تقدّم عمليات الرفع. وعلى ‎PHP 8‎.5، عطّل أيضًا تتبّعات الأخطاء الفادحة:\n\n```ini\n; in the FPM pool, e.g. \u002Fetc\u002Fphp\u002F8.3\u002Ffpm\u002Fpool.d\u002Fwww.conf\nphp_admin_flag[session.upload_progress.enabled] = off\n; PHP 8.5 only:\nphp_admin_flag[fatal_error_backtraces] = off\n```\n\nوفي مواجهة CVE-2026-109618، يوصي التنبيه بفرض `memory_limit = -1` عبر `php_admin_value`، حتى لا يتمكن أي تطبيق من إعادة تعريفه، وبتحديد حجم الطلب (`post_max_size = 8M`، أو 32M إذا كنت تحتاج إلى رفع الملفات). وفي المقابل، يجب وضع سقف للذاكرة في مكان آخر، عبر حدّ للحاوية أو لـ cgroup. لا تستخدم `RLIMIT_AS` ولا `RLIMIT_DATA`: فهما يتسبّبان تحديدًا في فشل التخصيص المعرَّض للثغرة.\n\nأعد بعد ذلك تشغيل **جميع** عمليات PHP حتى تُطبَّق الإعدادات.",{"type":49,"title":193,"body":194},"أضف حاجزًا أمام PHP","حدّد حجم الطلبات على مستوى خادم الويب، قبل أن تصل إلى PHP: `client_max_body_size 8m;` في nginx، و`LimitRequestBody 8388608` في Apache. وإذا كان موقعك يمرّ عبر Cloudflare في الوضع الوكيل (proxied)، فقد نُشرت قواعد WAF تستهدف نواقل PHP2Shell المعروفة لجميع الحسابات، بما فيها الخطة المجانية. هذه شبكات أمان فقط: وحده تحديث PHP يغلق الثغرة.",{"type":36,"title":196,"body":197},"ابحث عن آثار الاستغلال","تترك المحاولات المنشورة آثارًا مميّزة: عمليات PHP تنهار، وتجاوزات متلاحقة للذاكرة، وعمليات إرسال `multipart` كبيرة الحجم على نحو غير طبيعي. إذا كان خادمك مكشوفًا قبل التحديث، فخصّص عشر دقائق للتحقق.",{"type":101,"title":199,"steps":200},"فحوص يجب إجراؤها بعد التصحيح",[201,204,207,210],{"title":202,"body":203},"ابحث عن عمليات PHP-FPM المُنهاة","```bash\nsudo grep -E 'exited on signal (11|6)' \u002Fvar\u002Flog\u002Fphp*-fpm.log | tail -20\n```\n\nإن إنهاء عمليات بالإشارة 11 (SIGSEGV) بشكل متكرر منذ 21 أكتوبر علامة تحذير.",{"title":205,"body":206},"ابحث عن تجاوزات الذاكرة","```bash\nsudo grep -rh 'Allowed memory size' \u002Fvar\u002Flog\u002Fphp* \u002Fvar\u002Flog\u002Fnginx \u002Fvar\u002Flog\u002Fapache2 2>\u002Fdev\u002Fnull | tail -20\n```",{"title":208,"body":209},"حدّد ملفات PHP المُنشأة حديثًا","```bash\nsudo find \u002Fvar\u002Fwww \u002Fhome -name '*.php' -newermt '2026-10-20' -not -path '*\u002Fvendor\u002F*' -not -path '*\u002Fcache\u002F*' -ls\n```\n\nأي ملف مجهول باسم عام، في مجلد رفع أو في `\u002Ftmp`، يجب فحصه قبل أي حذف.",{"title":211,"body":212},"عند الشك، تعامل مع الخادم على أنه مخترق","اعزل الجهاز، واحتفظ بنسخة من السجلات، ثم جدّد كلمات مرور قاعدة البيانات ومفاتيح API والأسرار الموجودة في ملفات `.env`: فتسريب الذاكرة قد يكون كشفها دون أن يترك أي أثر آخر.",{"type":40,"title":214,"items":215},"علامات إضافية يجب البحث عنها، وفق المصادر الأولية",[216,217,218,219,220,221],"**طلبات `multipart` ضخمة أو شديدة التداخل بشكل غير معتاد** في سجلات خادم الويب (watchTowr).","**عمليات PHP التي تتعطل أو تبلغ حدّ ذاكرتها** (watchTowr).","**ملفات مكتوبة في جذور الويب واتصالات صادرة من عمليات PHP** لا تعرف تفسيرًا لها (watchTowr).","**أبواب خلفية جديدة (web shells) ومهام cron غير متوقعة وحسابات أُنشئت حديثًا** مرتبطة بعمليات PHP (watchTowr).","**احتفظ قبل أن تنظّف**: سجلات PHP وخادم الويب ولقطات الإعدادات والملفات المشبوهة، قبل تعديل أي شيء (watchTowr). وتربط CISA ببندها في KEV متطلبات فرز جنائي.","**لا يُنشر أي مؤشر رقمي**: حتى 27 أكتوبر، لا تقدّم watchTowr ولا PHP ولا تنبيه GitHub الخاص بـ CVE-2026-109618 أي عنوان IP أو بصمة أو اسم ملف أو توقيع طلب. احذر من قوائم المؤشرات بلا مصدر: غياب عنوان ما عن سجلاتك لا يثبت شيئًا.",{"type":36,"title":223,"body":224},"على الاستضافة المشتركة","على الاستضافة المشتركة، لست أنت من يحدّث PHP: بل مزوّد الاستضافة هو من يصون الإصدارات المعروضة. ويتمثّل دورك في التحقق من أن موقعك يستخدم فرعًا لا يزال يتلقى التصحيحات. في cPanel، تُظهر أداة اختيار الإصدار (**MultiPHP Manager**، أو **Select PHP Version** على خادم CloudLinux) الإصدار النشط لكل نطاق. إذا كان موقعك لا يزال يعمل على ‎7‎.4 أو ‎8‎.0 أو ‎8‎.1، فهذه الفروع لم تعد تتلقى إصدارات رسمية من PHP: انتقل إلى ‎8‎.3 أو ‎8‎.4 بعد اختبار موقعك، باتباع \u003Ca href=\"\u002Far\u002Fالمدونة\u002Fنهاية-دعم-php-82-دليل-الترحيل\">قائمة التحقق الخاصة بنا للانتقال بين إصدارات PHP\u003C\u002Fa>.",{"type":36,"title":226,"body":227},"التوثيق الرسمي","نُشرت التفاصيل التقنية وإعدادات الالتفاف في \u003Ca href=\"https:\u002F\u002Fwww.php.net\u002Farchive\u002F2026.php\">التنبيه الأمني لـ PHP\u003C\u002Fa> وفي تنبيهات GitHub \u003Ca href=\"https:\u002F\u002Fgithub.com\u002Fphp\u002Fphp-src\u002Fsecurity\u002Fadvisories\u002FGHSA-w8hw-w9fx-j79w\">GHSA-w8hw-w9fx-j79w\u003C\u002Fa> (CVE-2026-109618) و\u003Ca href=\"https:\u002F\u002Fgithub.com\u002Fphp\u002Fphp-src\u002Fsecurity\u002Fadvisories\u002FGHSA-6wmf-4rv5-p3rp\">GHSA-6wmf-4rv5-p3rp\u003C\u002Fa> (CVE-2026-109619). وبالنسبة إلى حزم التوزيعات، راجع \u003Ca href=\"https:\u002F\u002Fubuntu.com\u002Fblog\u002Fphp2shell-vulnerability-fixes-available\">إعلان Ubuntu\u003C\u002Fa> و\u003Ca href=\"https:\u002F\u002Falmalinux.org\u002Fblog\u002F2026-10-21-php2shell-cve-2026-109618-cve-2026-109619\u002F\">إعلان AlmaLinux\u003C\u002Fa>. ولمتابعة الموضوع: \u003Ca href=\"https:\u002F\u002Fwww.cisa.gov\u002Fknown-exploited-vulnerabilities-catalog\">كتالوج KEV لدى CISA\u003C\u002Fa> و\u003Ca href=\"https:\u002F\u002Fdocs.cpanel.net\u002Fchangelogs\u002Feasyapache-4-change-log-25\u002F\">سجل تغييرات EasyApache 4\u003C\u002Fa> و\u003Ca href=\"https:\u002F\u002Fdocs.cpanel.net\u002Frelease-notes\u002Frelease-notes\u002F\">ملاحظات إصدار cPanel وWHM\u003C\u002Fa> و\u003Ca href=\"https:\u002F\u002Fblog.cloudlinux.com\u002Fphp-cve-2026-109618-and-cve-2026-109619\">نشرة CloudLinux\u003C\u002Fa> و\u003Ca href=\"https:\u002F\u002Fwatchtowr.com\u002Fintelligence\u002Fphp-cve-2026-109618-faq\u002F\">الأسئلة الشائعة لدى watchTowr\u003C\u002Fa>.","تحكّم في إصدارات PHP الخاصة بك","على خادم VPS من ServOrbit.com، تحصل على صلاحيات root: تطبّق تصحيح PHP فور نشره، وتختار إصدار كل موقع، وتعيد تشغيل خدماتك متى قرّرت ذلك.","اكتشف خوادم VPS","\u002Fvps-cloud",[233,250,271],{"id":234,"slug":235,"slugs":236,"title":240,"excerpt":241,"readTime":242,"views":243,"isPinned":19,"noindex":19,"publishedAt":244,"updatedAt":245,"category":246,"categories":247,"featuredImage":30,"bgImage":31,"posterImage":249,"relatedSolution":30},382,"تحديثات-أمان-تلقائية-vps-debian-ubuntu",{"fr":237,"en":238,"ar":235,"es":239},"securite-vps-mises-a-jour-automatiques-debian-ubuntu","vps-automatic-security-updates-debian-ubuntu","actualizaciones-seguridad-vps-debian-ubuntu","تحديثات الأمان التلقائية على VPS بنظام Debian\u002FUbuntu","قم بتكوين unattended-upgrades على خوادم VPS الخاصة بك لأتمتة تصحيحات الأمان وتقليل سطح الهجوم عبر أسطول عملائك.",10,2,"2026-09-26T00:00:00+00:00","2026-11-09T20:55:15+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[248],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fsecurite-vps-mises-a-jour-automatiques-debian-ubuntu-poster.svg",{"id":251,"slug":252,"slugs":253,"title":257,"excerpt":258,"readTime":259,"views":260,"isPinned":19,"noindex":19,"publishedAt":261,"updatedAt":21,"category":262,"categories":268,"featuredImage":30,"bgImage":31,"posterImage":270,"relatedSolution":30},206,"نهاية-دعم-php-82-دليل-الترحيل",{"fr":254,"en":255,"ar":252,"es":256},"php-82-fin-de-vie-checklist-migration","php-82-end-of-life-planning-your-migration","php-82-fin-de-vida-planificar-la-migracion","نهاية دعم PHP 8.2 : قائمة التحقق للترحيل","يبلغ PHP 8.2 نهاية دورة حياته في 31 ديسمبر 2026. جرد بيئاتك، قارن الإصدارات، واتبع قائمة تحقق مفصّلة للترحيل إلى PHP 8.3 أو 8.4.",11,7,"2026-08-01T00:00:00+00:00",{"id":263,"name":264,"slug":265,"color":266,"icon":267},4,"التطوير","developpement","bg-warning\u002F10 text-warning","dev",[269],{"id":263,"name":264,"slug":265,"color":266,"icon":267},"\u002Fblog\u002Fcovers\u002Fphp-82-fin-de-vie-checklist-migration-poster.svg",{"id":272,"slug":273,"slugs":274,"title":278,"excerpt":279,"readTime":23,"views":280,"isPinned":19,"noindex":19,"publishedAt":281,"updatedAt":282,"category":283,"categories":284,"featuredImage":30,"bgImage":31,"posterImage":286,"relatedSolution":287},373,"ووردبريس-cve-2026-87902-ترقية-7-1-2",{"fr":275,"en":276,"ar":273,"es":277},"wordpress-cve-2026-87902-rce-mise-a-jour-7-1-2","wordpress-cve-2026-87902-update-to-712-now","wordpress-cve-2026-87902-actualiza-a-712-urgente","ووردبريس ‎CVE-2026-87902‎: الترقية إلى 7.1.2 قبل الاختراق","ثغرة ‎CVE-2026-87902‎ (CVSS 9.2) يجري استغلالها منذ 22 سبتمبر 2026. تحقق من إصدارك وطبّق التحديث لحماية مواقعك.",0,"2026-09-24T00:00:00+00:00","2026-10-26T18:53:20+00:00",{"id":23,"name":24,"slug":25,"color":26,"icon":27},[285],{"id":23,"name":24,"slug":25,"color":26,"icon":27},"\u002Fblog\u002Fcovers\u002Fwordpress-cve-2026-87902-rce-mise-a-jour-7-1-2-poster.svg",{"categorySlug":288,"appSlug":289},"أنظمة-إدارة-المحتوى-والمواقع","wordpress",true,1794270354050]