ثغرة PHP حرجة تسمح باختراق موقعك: حدّث الآن

لو موقعك شغال على ووردبريس، يبقى شغال على PHP، والخبر ده يخصّك حتى لو كل إضافاتك محدّثة. يوم 21 أكتوبر 2026 أعلن فريق PHP عن ثغرتين حرجتين تسمحان بتنفيذ كود على السيرفر من غير تسجيل دخول، وفي نفس اليوم نشر المركز الوطني البريطاني للأمن السيبراني (NCSC) تحذيرًا عامًا يطلب التحديث فورًا. الحل واضح ومش محتاج مطوّر: تتأكد من نسخة PHP عندك وتحدّثها النهارده.

الخلاصة السريعة: الثغرتان CVE-2026-109618 وCVE-2026-109619 تقييمهما 9.2 من 10 على مقياس CVSS 4.0. الإصدارات الآمنة: 8.5.12 و8.4.27 و8.3.36 و8.2.35. الإصدار 8.1 وما قبله لن يصله إصلاح. تحديث ووردبريس وحده لا يحميك؛ المطلوب تحديث PHP نفسه.

ما الذي حدث بالضبط؟

المشكلة في قلب PHP، لا في ووردبريس ولا في إضافة بعينها. يستطيع المهاجم دفع الطلب إلى نفاد الذاكرة (Out of Memory) في لحظة لم تكتمل فيها تهيئة بيانات الطلب، فيتعامل PHP بعدها مع بيانات تالفة على أنها سليمة.

الثغرة الأولى (CVE-2026-109618) تحدث عند تنظيف الطلب بعد هذا الانقطاع. أما الثانية (CVE-2026-109619) فتجعل حالة داخلية من طلب سابق تبقى في ذاكرة عملية PHP (PHP Worker) بعد تحريرها، فيستخدمها الطلب التالي على العملية نفسها؛ وهذا ما يسمى استخدام الذاكرة بعد تحريرها (Use-After-Free).

النتيجة في الحالتين قد تصل إلى تنفيذ الكود عن بُعد (Remote Code Execution): أي أن المهاجم يشغّل أوامره على السيرفر ويسيطر على الموقع وقاعدة بياناته.

هل موقعك معرّض؟

بحسب تحذير NCSC، أي موقع يستخدم PHP بإصدار لم يُحدَّث معني بالأمر، وطريقة تشغيل PHP على السيرفر هي ما يحدد درجة الخطر:

ملاحظة مهمة للاستضافات المشتركة الشائعة في مصر والخليج: كثير منها يعمل بخادم LiteSpeed أو PHP-FPM، وهذا يقلل الخطر لكنه لا يلغيه. ولأن فريق PHP يقول صراحة إن التحديث هو الحماية الكاملة الوحيدة، فلا تبنِ قرارك على نوع الخادم.

بصراحة: تقييم 9.2 يأتي مع إشارة إلى أن تعقيد الهجوم مرتفع ويحتاج شروطًا معينة. لكن الثغرة لا تحتاج حسابًا على موقعك، وأدوات استغلال مثل هذه الثغرات تظهر عادة خلال أيام من نشر التفاصيل. حتى وقت كتابة المقال لم يذكر NCSC ولا فريق PHP رصد استغلال فعلي، وهذه بالضبط النافذة التي تحدّث فيها.

الإصدارات الآمنة: أين يقف إصدارك؟

لو موقعك ما زال على 8.1 أو 7.4، فالمشكلة أكبر من هذه الثغرة: فرعك خرج من الدعم ولن يصله إصلاح لا الآن ولا لاحقًا. خطط للانتقال إلى 8.3 على الأقل، واختبر الموقع على نسخة تجريبية أولًا؛ ووردبريس يعمل جيدًا على 8.3، أما الإضافات القديمة غير المحدّثة فقد تُظهر تحذيرات.

خطوة 1: اعرف إصدار PHP في موقعك بالضبط

من لوحة تحكم ووردبريس افتح أدوات ← صحة الموقع ← معلومات، ثم وسّع قسم الخادم. ستجد سطر «إصدار PHP» برقم كامل مثل 8.3.36. المهم هو الرقم الأخير، لا الفرع فقط: 8.3.35 مصاب و8.3.36 آمن.

لو عندك وصول SSH للسيرفر، الأمر أسرع:

php -v

انتبه أن الرقم الذي يظهر في سطر الأوامر قد يختلف عن الرقم الذي يعمل به الموقع نفسه إذا كان على السيرفر أكثر من إصدار. صفحة صحة الموقع تعرض الإصدار الذي يشغّل ووردبريس فعلًا، فاعتمد عليها.

خطوة 2: حدّث حسب نوع استضافتك

الاستضافة المشتركة (hPanel أو cPanel أو Plesk): أنت تختار الفرع فقط (مثل 8.3)، والشركة هي التي تثبّت الإصدار الفرعي الآمن داخله. افتح إعدادات PHP في لوحة الاستضافة وتأكد أنك على فرع مدعوم، ثم راجع رقم الإصدار في صحة الموقع خلال يوم أو يومين. لو لم يتغير، افتح تذكرة دعم واذكر رقمي الثغرتين بالاسم واطلب موعد التحديث.

سيرفر VPS تديره بنفسك: حدّث حزم PHP من مدير الحزم، ثم أعد تشغيل خدمة PHP-FPM أو Apache حتى تُستبدل العمليات القديمة. انتبه إلى أن توزيعات مثل Ubuntu وDebian قد تُصلح الثغرة داخل حزمتها دون أن يتغير رقم الإصدار الظاهر، فراجع إشعار الأمان الخاص بتوزيعتك بدل الاعتماد على الرقم وحده.

Docker: اسحب أحدث صورة رسمية للفرع الذي تستخدمه (مثل php:8.3-fpm)، ثم أعد بناء صورتك وتشغيل الحاويات. الحاوية التي تعمل الآن لن تتحدث وحدها.

في Elementor/JetEngine: لا شيء خاص مطلوب في الإضافات نفسها؛ الهجوم في mod_php يحدث قبل أن يبدأ ووردبريس أصلًا. لكن بعد تحديث PHP افتح صفحاتك الأساسية ونماذج JetFormBuilder أو Elementor Forms وجرّب إرسالًا واحدًا، للتأكد أن التحديث لم يكسر شيئًا.

لو لا تستطيع التحديث اليوم: إجراءات مؤقتة

فريق PHP يكرر أنه لا يوجد تخفيف كامل غير التحديث، لكنه نشر إجراءات تقلل الخطر مؤقتًا. تُوضع في php.ini الرئيسي أو عبر php_admin_value، لا عبر .user.ini أو ini_set()، ثم تعيد تشغيل كل عمليات PHP:

; php.ini (apply before request parsing; avoid relying on ini_set() or .user.ini)
memory_limit = -1          ; set via php_admin_value in FPM/Apache where apps can't override
post_max_size = 8M         ; 32M if file uploads are required
session.upload_progress.enabled = 0   ; then restart every worker
; PHP 8.5 only:
fatal_error_backtraces = 0 ; then restart every worker

تنبيه: إلغاء حد الذاكرة بـ memory_limit = -1 يعني أن طلبًا واحدًا قد يستهلك ذاكرة السيرفر كلها. استخدمه فقط مع حد ذاكرة على مستوى الحاوية أو النظام، ولأيام قليلة حتى تحدّث. ولا تستخدم حدود RLIMIT_AS أو RLIMIT_DATA بدلًا منه، لأنها تفتح الطريق نفسه الذي تستغله الثغرة.

وعلى الاستضافة المشتركة لن تستطيع غالبًا تطبيق هذه الإعدادات، فالحل العملي هو الضغط على الدعم للتحديث.

بعد التحديث: افحص علامات الاختراق

لو بقي موقعك على إصدار مصاب لفترة، توصي NCSC بفحصه بحثًا عن أبواب خلفية. ركّز على ثلاث علامات:

• حسابات مسؤول جديدة لا تعرفها في المستخدمون.
• ملفات PHP داخل مجلد wp-content/uploads، وهذا المجلد يجب ألا يحتوي إلا على وسائط.
• تحويلات غريبة للزوار إلى مواقع أخرى، أو ملفات أساسية تغيّر تاريخ تعديلها دون أن تحدّث شيئًا.

شغّل فحصًا كاملًا بإضافة أمان مثل Wordfence، وغيّر كلمات مرور قاعدة البيانات ولوحة الاستضافة إن وجدت أي علامة.

الأسئلة الشائعة

س: هل ووردبريس نفسه فيه الثغرة؟
ج: لا، الثغرة في لغة PHP التي يعمل عليها ووردبريس. لذلك لا يكفي تحديث ووردبريس أو إضافاته، والمطلوب تحديث PHP على السيرفر.

س: كيف أعرف إصدار PHP في موقع ووردبريس؟
ج: من أدوات ← صحة الموقع ← معلومات ← الخادم. انظر إلى الرقم الكامل، مثل 8.3.36، وقارنه بجدول الإصدارات الآمنة في المقال.

س: أنا على استضافة مشتركة، هل التحديث مسؤوليتي؟
ج: الشركة تحدّث الإصدار الفرعي، لكن اختيار فرع مدعوم مسؤوليتك. تأكد من الرقم بنفسك، واطلب من الدعم موعد التحديث لو تأخر.

س: موقعي على PHP 7.4، هل يصله إصلاح؟
ج: لا. فروع 8.1 وما قبلها خرجت من الدعم ولن يصلها إصلاح، والحل الوحيد هو الانتقال إلى 8.3 أو أحدث بعد اختبار الموقع.

س: هل الإجراءات المؤقتة تغني عن التحديث؟
ج: لا. فريق PHP يصفها بأنها جزئية وغير كاملة، وهي لكسب أيام قليلة فقط حتى يتم التحديث.

الخلاصة

ثغرتان حرجتان في PHP، والحل واحد: الإصدار 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35 حسب فرعك. افتح صحة الموقع دلوقتي، شوف الرقم، ولو قديم كلّم الاستضافة النهارده مش بكرة.

ولو عندك أكثر من موقع ومش عارف تبدأ منين، احجز استشارة مجانية ونرتّبها معاك خطوة خطوة.

مراجع إضافية: RCE via OOM corruption – PHP Security Advisory GHSA-w8hw-w9fx-j79w، PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 security releases – php.net

مرجع المقال (بالإنجليزية): Critical security issue affecting PHP – NCSC
المقال ده مش ترجمة حرفية: متكيّف للقارئ العربي ومضاف عليه سياق ووردبريس وElementor وJetEngine.