في هذه المقالة
قبل أن تبدأ
- تحقق من PHP الذي يستقبل طلبات الموقع، لا نسخة سطر الأوامر وحدها.
- الجدار الناري قد يقلل التعرض، لكنه لا يستبدل تحديث بيئة التشغيل.
- إصلاح الثغرة وتحديد ما إذا حدث وصول سابق مهمتان منفصلتان.
إفصاح أكتوبر دون تهويل
حدّد إشعار PHP في 21 أكتوبر الثغرتين CVE-2026-109618 وCVE-2026-109619 والإصدارات المعالجة 8.5.12 و8.4.27 و8.3.36 و8.2.35. ويتضمن تحذير بيئات الويب احتمال تنفيذ أوامر دون مصادقة. توصيتنا طلب دليل الحزمة الحالية أو المعالجة المرجعة من المستضيف، بدل اختيار ترقية من مقالة مؤرخة فقط.
PHP — October 2026 security advisories and release noticesهل كان الخطر نظريًا فقط؟
أعلنت Cloudflare رصد حركة هجوم وتطبيق حمايات WAF خلال الاستجابة المنسقة، مع استمرار توصيتها بتحديث PHP. رصد المحاولات عبر شبكة المزوّد لا يثبت استغلال موقعك. وفي المقابل، هدوء لوحة الجدار الناري لا يثبت حماية كل مسار يصل للخادم الأصلي. حدّد تعرض موقعك من إعداداته وسجلاته الفعلية.
Cloudflare — PHP2Shell protections and observed attack trafficحدّد بيئة التشغيل لكل موقع
نقترح البدء بمسار الطلب: النطاق ثم الوكيل أو CDN ثم الخادم الأصلي وخادم الويب ومجموعة PHP أو الحاوية. قد يحتفظ الخادم بعدة نسخ PHP. اسأل المسؤول عن النسخة المرتبطة بكل موقع، بما فيه التجريبي المتاح للإنترنت. لا تنشر صفحة phpinfo لإثبات النسخة؛ احتفظ بدليل الحزمة أو إعداد المجموعة بشكل خاص. نسخة أداة سطر الأوامر وحدها لا تحدد ما عالج طلب الويب.
- احصر النطاقات العامة والمواقع التجريبية والمنافذ البديلة للخادم.
- سجّل المستضيف وبيئة التشغيل ومصدر الحزمة والمسؤول.
- حدّد المجموعات والحاويات والعمّال المنفصلين ومسؤولية الخدمة المُدارة.
- أبقِ النسخ المجهولة غير محسومة حتى يؤكدها المستضيف.
اطلب دليل الحزمة، لا رقمًا فقط
ينشر PHP جدولًا للفروع المدعومة. الفرع الأقدم قد يحتاج ترقية مدعومة أو معالجة مرجعة موثقة من المزوّد. نقترح سجل قبول يحدد بناء الحزمة والإشعار الأمني والخادم ووقت التطبيق. إذا قال المستضيف إن المعالجة مرجعة مع بقاء الرقم الظاهر، اطلب مرجع المزوّد ومعرّف الحزمة. راجع التوافق مع مطور الموقع قبل تغيير الفرع، واربط الدليل بالخدمة التي تستقبل الحركة فعلًا.
PHP — Supported versionsلا تتجاهل الإشعارات اللاحقة
يسجل أرشيف PHP أيضًا مشكلة مشروطة في تقدم الرفع يوم 23 أكتوبر، وإعادة بناء حزم Windows لمعالجة Brotli يوم 26 أكتوبر. نقترح سؤال المسؤول عن الإشعارات اللاحقة المنطبقة وحفظ الإجابة مع سجل التغيير.
PHP — October 2026 security advisories and release noticesنفّذ التغيير مع حماية مسار العمل
نقترح بيئة تجربة ممثلة للإنتاج، ونسخة احتياطية بخطة استعادة مفهومة، وقائمة مختصرة باختبارات العمل. اتفق مسبقًا على من يوقف الإصدار عند تعطل الشراء أو الاستفسار أو الدخول. وضّح المسؤولية إذا كان المستضيف يدير PHP ووكالة أخرى تدير التطبيق. لا تعد تلقائيًا إلى نسخة معروفة بضعفها بعد مشكلة توافق؛ يحتاج مسؤول الخدمة والاستجابة إلى قرار احتواء وتعافٍ.
- اختبر التصفح ومسار الدخول الحقيقي.
- أرسل استفسارًا تجريبيًا مصرّحًا أو عملية شراء في بيئة الاختبار وتحقق من حفظها.
- اختبر الرفع والجلسات والمهام المجدولة والتكاملات الأساسية.
- راجع الأخطاء وصحة العمّال بعد التغيير.
- وثّق الحزمة العاملة ونتائج الاختبار قبل إغلاق المهمة.
ضع حماية الجدار الناري في سياقها
تميّز إرشادات Cloudflare لحماية الخادم الأصلي بين النطاق الممرر عبر الوكيل والخادم الذي خلفه. نقترح إبقاء الحمايات المناسبة أثناء التحديث، والتحقق من مسار الطلب ومراجعة الوصول الذي يتجاوز الوكيل. قيّم الضوابط المؤقتة مع المستضيف وفق الإشعار الحالي. لا تنسخ إعدادات الذاكرة أو الرفع من منشور إلى الإنتاج دون فهم أثرها على التطبيق والتوفر.
Cloudflare — Protect your origin serverافصل التحديث عن التحقيق
تربط إرشادات NIST الاستعداد والاكتشاف والاستجابة والتعافي بإدارة المخاطر. احتفظ لهذه المهمة بسجلين: دليل معالجة بيئة التشغيل، ونتيجة مراجعة النشاط السابق المحتمل. عند ظهور مؤشرات تنفيذ غير مخوّل في السجلات أو المراقبة، احفظ الأدلة واستعن بمختص مصرّح. نجاح التحديث لا يجيب عن هذا السؤال التاريخي. وضّح نقص الأدلة بدل إعلان سلامة غير مثبتة.
NIST — Incident response recommendations, SP 800-61 Rev. 3ماذا يثبت الفحص العام للموقع؟
يرصد الفحص العام استجابة خارجية في لحظة معينة. لا يثبت عادة بناء حزمة خاصة أو معالجة مرجعة أو جميع إعدادات الخادم الأصلي، ولا يحدد إن حدث وصول سابق إلى البيانات. استخدمه للإشارات الظاهرة وإعادة اختبار السلوك بعد الإصلاح، واطلب دليل التحديث من المستضيف. التقييم الأعمق يحتاج نطاقًا وتصريحًا؛ محاولة تنفيذ أوامر على موقع أعمال حي ليست فحص نسخة روتينيًا.
طلب عملي ترسله لفريق الاستضافة
عدّل موجز التسليم التالي حسب خدمتك. يطلب أدلة دون أسرار أو اختبارات مدمرة.
- أكدوا نسخة PHP وبناء الحزمة اللذين يخدمان كل نطاق لدينا.
- أرفقوا مرجع المعالجة أو دليل المعالجة المرجعة لمشكلات أكتوبر.
- وضحوا انطباق إشعارات تقدم الرفع واعتمادات Windows اللاحقة.
- وثقوا إعادة التشغيل أو النشر واختبروا مسارات العمل المتفق عليها.
- حددوا فترة السجلات المراجعة وأي نشاط مشبوه وما بقي غير محسوم.
تحليل توعوي من PalmX مراجع في 2 نوفمبر 2026. الإصدارات المذكورة لقطة مؤرخة وليست هدف ترقية دائمًا. لا ندعي أن موقعك ضعيف أو مخترق. اتبع الإرشادات الحالية مع مسؤول مخوّل. الغلاف تصوّر فني مولّد بالذكاء الاصطناعي.
المصادر الرسمية
PHP — October 2026 security advisories and release notices
Cloudflare — PHP2Shell protections and observed attack traffic