تنبيه أمني من مركز الاستجابة الأمنية كارن آي تي(KSRC)

تاريخ النشر: 22 أكتوبر 2026

تحديث بشأن ثغرات PHP2Shell
CVE-2026-109618 و CVE-2026-109619

الملخص

بناءً على تحذيرنا العاجل السابق، أصدر مشروع PHP تحديثات أمنية رسمية في 21 أكتوبر 2026 لمعالجة ثغرات PHP2Shell الحرجة.

النسخ المصححة هي:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

يؤكد مركز الاستجابة الأمنية كارن آي تي (KSRC) بقوة على ضرورة قيام جميع المؤسسات بتثبيت هذه التحديثات فورًا وإعادة تشغيل جميع عمليات PHP (مثل PHP-FPM و mod_php). ويبقى التحديث هو الحل الكامل والموثوق الوحيد لهذه الثغرات الحرجة التي تسمح بتنفيذ أكواد عن بُعد دون الحاجة إلى مصادقة.

التوصية الحالية بشأن اختيار الإصدار

على الرغم من إصدار التصحيحات الرسمية، ظهرت تقارير من المجتمع وادعاءات من باحثين مستقلين تشير إلى احتمال وجود مشاكل متبقية في إصدار PHP 8.5.12 تحديدًا. وعلى الرغم من أن هذه التقارير لم يتم تأكيدها رسميًا بعد من قبل فريق أمن PHP، إلا أن KSRC يتبنى نهجًا حذرًا وتحفظيًا.

توصياتنا في الوقت الحالي:

1. تجنب استخدام PHP 8.5 مؤقتًا
   حتى يتم التحقيق الكامل في المشاكل المُبلغ عنها في الإصدار 8.5.12 وتوضيحها، نوصي بعدم نشر أو الاستمرار في استخدام PHP 8.5 في بيئات الإنتاج.
2. عدم استخدام أي إصدار من PHP أقل من 8.2
   الإصدارات الأقدم من 8.2 (بما في ذلك 8.1 وما قبلها) وصلت إلى نهاية الدعم الرسمي. إما أنها لا تحتوي على تصحيحات رسمية أو تعتمد فقط على تصحيحات مصدر محدودة، ويجب التوقف عن استخدامها.
3. نقل جميع الأنظمة إلى إصدارات PHP المدعومة أعلى من 8.2
   يجب على المؤسسات التأكد من توافق تطبيقاتها وبنيتها التحتية بشكل كامل مع فروع PHP الحديثة، والانتقال بنشاط إلى الإصدارات المدعومة.
4. الإصدار المفضل: PHP 8.4
   في الوقت الحالي، يُعد PHP 8.4 (تحديدًا الإصدار المصحح 8.4.27 أو أحدث) خيارنا الموصى به للاستخدام في بيئات الإنتاج. فهو يوفر توازنًا جيدًا بين الأمان والاستقرار والدعم طويل الأمد.

ملاحظات هامة

• بعد ترقية PHP، يجب إعادة تشغيل جميع عمليات PHP حتى يسري مفعول التصحيح.
• لا توجد حلول مؤقتة كاملة تعتمد على الإعدادات فقط. التحديث هو الحل الموثوق الوحيد.
• استمروا في متابعة القنوات الرسمية لـ PHP وتحديثات KSRC لأي تطورات إضافية، خاصة فيما يتعلق بفرع 8.5.

کارن آي تي
نجعل الإنترنت أصعب في إساءة الاستخدام.