# تحذير رسمي من ثغرتي PHP2Shell الخطيرتين وكيفية تأمين الخوادم فوراً

> أصدرت مؤسسة PHP تحديثات أمنية طارئة لمعالجة ثغرتي PHP2Shell الحرجتين اللتين تسمحان بتنفيذ أوامر عن بعد دون مصادقة على خوادم الويب.

- **الناشر**: منصة إيجي مونيتور | EgyMonitor (https://egymonitor.com)
- **الرابط الأصلي**: [https://egymonitor.com/posts/php2shell-critical-vulnerabilities-cve-2026-109618-guide](https://egymonitor.com/posts/php2shell-critical-vulnerabilities-cve-2026-109618-guide)
- **القسم**: [الأمن السيبراني](https://egymonitor.com/categories/cybersecurity)
- **الكاتب**: عبدالرحمن شوقي
- **تاريخ النشر**: 2026-10-22 08:10
- **الكلمات المفتاحية**: أمن سيبراني, ثغرات أمنية, PHP, PHP2Shell, خوادم الويب

---

أعلنت [مؤسسة PHP الرسمية](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) في 21 أكتوبر 2026 عن إطلاق تحديثات أمنية عاجلة لمعالجة ثغرتين حرجتين من فئة تنفيذ الأوامر عن بُعد (Remote Code Execution - RCE) عُرفتا إعلامياً وتقنياً باسم **PHP2Shell**، وتحملان المعرفين **CVE-2026-109618** و**CVE-2026-109619** بتقييم خطورة يبلغ **9.2** وفق معيار CVSS v4.0.

## تفاصيل ثغرتي CVE-2026-109618 وCVE-2026-109619 في محرك PHP

تستهدف الثغرتان آلية إدارة الذاكرة ومعالجة الأخطاء القاتلة داخل نواة لغة PHP، ما يجعل جميع بيئات التشغيل المتصلة بالويب مثل Apache مع **mod_php** و**PHP-FPM** و**LiteSpeed** و**FrankenPHP** عُرضة للاستغلال قبل وصول الطلب إلى كود التطبيق نفسه.

### الإصدارات الرسمية المؤمنة التي يجب الترقية إليها فوراً

- **إصدار PHP 8.5.12:** يعالج كافة مسارات تلف الذاكرة للفرع 8.5 الحديث.
- **إصدار PHP 8.4.27:** يسد ثغرات استبقاء الحالة وتجاوز حدود الذاكرة للفرع 8.4.
- **إصدار PHP 8.3.36:** يوفر الحماية الكاملة لخوادم الإنتاج العاملة على الفرع 8.3.
- **إصدار PHP 8.2.35:** يغلق منافذ الاستغلال للفرع 8.2 مع توفير ترقيعات مصدرية للفروع القديمة 7.4 و8.0 و8.1.

> إن خطورة ثغرتي PHP2Shell تكمن في إمكانية تنفيذ الشيفرات الخبيثة أثناء مرحلة تهيئة الطلب وقبل تشغيل أي جدار حماية برمجي داخل التطبيق.

## خطوات التحديث الفوري وإجراءات التخفيف المؤقتة لمديري الأنظمة

تؤكد تقارير [مختبرات Datadog الأمنية](https://securitylabs.datadoghq.com/articles/php2shell-critical-vulnerabilities-in-php/) أن التحديث إلى الحزم المرقعة وإعادة تشغيل جميع عمليات المعالجة (Workers) هو الحل الجذري الوحيد، خاصة بعد رصد محاولات استغلال فعلية في البرية منذ 17 أكتوبر 2026.

### إعدادات الحماية المؤقتة في ملف php.ini لحين اكتمال الترقية

في حال تعذر التحديث اللحظي، يوصي الفريق الأمني بضبط **memory_limit=-1** على مستوى النظام مع تقييد حجم الطلبات عبر الخادم العكسي (Reverse Proxy)، وتعطيل **session.upload_progress.enabled=0** و**fatal_error_backtraces=0** ثم إعادة تشغيل خوادم الويب فوراً. ويمكن مراجعة التفاصيل الموثقة عبر [البيان الرسمي لمؤسسة PHP Foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/).