# قصة تسريب ثغرة PHP2Shell قبل موعد الإعلان الرسمي وكيف تعامل فريق PHP مع الأزمة

> تعرف على كواليس تسريب معرفات ثغرتي PHP2Shell قبل الموعد الرسمي بـ 48 ساعة وكيف اتخذت مؤسسة PHP قرار تقديم إطلاق التحديثات لحماية المستخدمين.

- **الناشر**: منصة إيجي مونيتور | EgyMonitor (https://egymonitor.com)
- **الرابط الأصلي**: [https://egymonitor.com/posts/php2shell-leak-timeline-coordinated-disclosure-october-2026](https://egymonitor.com/posts/php2shell-leak-timeline-coordinated-disclosure-october-2026)
- **القسم**: [الأمن السيبراني](https://egymonitor.com/categories/cybersecurity)
- **الكاتب**: عبدالرحمن شوقي
- **تاريخ النشر**: 2026-10-22 08:11
- **الكلمات المفتاحية**: أمن المعلومات, PHP2Shell, الإفصاح المنسق, Calif, Chainguard

---

شهدت عملية الإفصاح المنسق عن ثغرتي **PHP2Shell** أحداثاً دراماتيكية يوم 20 أكتوبر 2026، دفعت [مؤسسة PHP](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/) إلى تقديم موعد طرح الترقيعات الأمنية يوماً كاملاً لإنقاذ ملايين الخوادم حول العالم.

## التسلسل الزمني لتسريب معرفات CVE ومقطع استغلال الثغرة

في تمام الساعة 15:00 بالتوقيت العالمي يوم الثلاثاء 20 أكتوبر، بدأت أرقام CVE-2026-109618 وCVE-2026-109619 بالانتشار في المنتديات مع درجة خطورة غير دقيقة (10.0 بدلاً من 9.2)، تلا ذلك نشر مقطع فيديو بالخطأ من أحد الباحثين يوضح نجاح الاستغلال.

### أبرز المحطات الحاسمة في إدارة أزمة الإفصاح

- **تقديم الإشعار المسبق:** نشر فريق أمن PHP تنبيهاً رسمياً الساعة 19:30 UTC يوم 20 أكتوبر لتحذير مديري الأنظمة.
- **تبكير طرح التحديثات:** نقل موعد الإصدار من 22 أكتوبر إلى 21 أكتوبر الساعة 14:00 UTC بالتنسيق مع توزيعات لينكس.
- **خرق الحظر المبكر:** قيام إحدى الشركات بنشر صور حاويات مجمعة قبل الموعد بست ساعات مما سرّع الحاجة للتحديث الفوري.

> كان تبكير الإطلاق يوماً واحداً هو التوازن الأمثل بين سرعة الاستجابة ومنح مديري الخوادم حزم تحديث جاهزة وسهلة التثبيت.

## كيف غيّرت مؤسسة PHP هيكل اتخاذ القرار الأمني في 2026؟

أقرت المؤسسة بشفافية بأن جذور ثغرة نفاد الذاكرة رُصدت نظرياً منذ تدقيق Quarkslab عام 2024، لكن غياب مسار استغلال عملي حينها وتعقيدات التوافق أخرت الحسم حتى تأسيس فريق أمن النظام البيئي في مايو 2026.

### دروس مستفادة لمطوري البرمجيات ومزودي الاستضافة

تثبت هذه الواقعة أهمية متابعة القنوات الرسمية لمشاريع المصادر المفتوحة والاستعداد بخطط استجابة سريعة للطوارئ السيبرانية. ويمكن مراجعة التفاصيل الموثقة عبر [تقرير مؤسسة PHP Foundation حول كواليس الإصدار الأمني](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/).