<?php فحص أمان PHP مستقل
هل يتأثر PHP لديك بـ PHP2Shell؟
ثغرتان حرجتان في PHP نفسه تسمحان بتنفيذ تعليمات برمجية عن بُعد. أُصلحتا في 21 أكتوبر 2026. افحص ما يكشفه موقع ما عن إصدار PHP لديه، أو الصق نص الإصدار، ثم اعرف بالضبط ما يجب فعله.
- فحص سلبي: طلب عادي واحد دون أي استغلال
- مجاني، دون تسجيل أو إعلانات
- يستند إلى php.net والنشرات الرسمية
2فحص إصدار
يجري التقييم في متصفحك، ولا يُرسَل إلينا أي شيء. إصدار واحد في كل سطر، بحد أقصى 20.
01 · php.net · 2026-10-23
الإصدارات المُصلَحة
| الفرع | أُصلح في | حالة الفرع |
|---|---|---|
| PHP 8.5 | 8.5.12 | مدعوم بشكل نشط |
| PHP 8.4 | 8.4.27 | مدعوم بشكل نشط |
| PHP 8.3 | 8.3.36 | إصلاحات أمنية فقط |
| PHP 8.2 | 8.2.35 | إصلاحات أمنية فقط — ينتهي الدعم في 31 ديسمبر 2026 |
| PHP 8.1 · 8.0 · 7.x · 5.x | لا يوجد إصدار رسمي | انتهى الدعم — لا إصدارات من مشروع PHP |
المصدر: النشرة الأمنية لـ php.net بتاريخ 21 أكتوبر 2026. آخر تحقق: 2026-10-23.
ما هي PHP2Shell؟
PHP2Shell هو الاسم الذي أطلقه الباحثون على ثغرتين في محرك PHP: CVE-2026-109618 (تلف في الذاكرة عندما تنفد ذاكرة PHP أثناء تحليل طلب) وCVE-2026-109619 (حالة داخلية تبقى من طلب إلى الطلب التالي في العملية نفسها). صُنّفت كلتاهما بدرجة 9.2 وفق CVSS v4.0.
يمكن لمهاجم غير مصادَق تنفيذ شفرة على الخادم أو قراءة ذاكرة عملية PHP — بما في ذلك كلمات المرور ورموز الجلسات ومفاتيح API والشهادات الخاصة بطلبات أخرى — دون تشغيل أي شفرة على الإطلاق. بحسب php.net، تؤثران في PHP الذي يخدم طلبات الويب: PHP-FPM، وApache مع mod_php، وphp-cgi، وFrankenPHP، وLiteSpeed. عرض الباحثون هجمات على WordPress وDrupal وJoomla، لكن لا يلزم تطبيق بعينه: حتى صفحة «Hello World» بسيطة على PHP متأثر تكون معرّضة.
ما الذي يجب فعله الآن
- حدّث إلى 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، أو إلى الحزمة المُصلَحة من توزيعتك.
- أعد تشغيل كل عمليات PHP: PHP-FPM وApache وعمليات معالجة الطوابير والحاويات. لا يسري التحديث قبل ذلك.
- افحص كل نسخة PHP على الخادم، فلوحات التحكم كثيرًا ما تثبّت عدة إصدارات جنبًا إلى جنب.
02 · shell
الفحص على الخادم نفسه
فحص الموقع لا يرى إلا ما يختار الخادم كشفه. أما على الخادم، فهذه الأوامر تعطي الإجابة الحقيقية:
# إصدار PHP الافتراضي
php -v
# إصدارات PHP الأخرى المثبّتة عبر لوحات التحكم أو الحزم
ls -d /usr/bin/php* /usr/sbin/php-fpm* /opt/alt/php*/usr/bin/php /opt/cpanel/ea-php*/root/usr/bin/php /opt/plesk/php/*/bin/php 2>/dev/null
# الإعدادات المتعلقة بالتدابير المؤقتة الجزئية
php -i | grep -E 'session.upload_progress.enabled|post_max_size|memory_limit|fatal_error_backtraces'
# ما يكشفه موقعك للزوار
curl -sI https://your-site.com/ | grep -i -E '^(x-powered-by|server):'03 · FAQ
أسئلة شائعة
ما إصدارات PHP المتأثرة؟
كل الإصدارات السابقة لـ 8.5.12 و8.4.27 و8.3.36 و8.2.35 في الفروع المدعومة. انتهى دعم PHP 8.1 وما قبله ولا يصدر لها مشروع PHP أي إصدار؛ اعتبرها متأثرة ما لم يؤكد المورّد وجود إصلاح منقول.
موقعي لا يُظهر إصدار PHP. هل أنا في أمان؟
ليس بالضرورة. إخفاء الإصدار (expose_php = Off) ممارسة جيدة لكنه لا يُصلح شيئًا. تحقق على الخادم باستخدام php -v أو اسأل مزوّدك.
تُظهر الأداة إصدارًا قديمًا، لكن مزوّد الاستضافة يقول إنه مُصلَح. من المحق؟
ربما كلاهما. كثيرًا ما تنقل توزيعات Linux مثل Debian وUbuntu وRHEL الإصلاحات الأمنية دون تغيير رقم الإصدار. اسأل مزوّد الاستضافة عن بنية الحزمة المثبّتة وهل يذكر سجل تغييراتها CVE-2026-109618 وCVE-2026-109619.
هل يتأثر WordPress أو Laravel أو نظام إدارة المحتوى لدي؟
الخلل في PHP نفسه، لذا فإن أي تطبيق يعمل على إصدار PHP متأثر يكون معرّضًا. عرض الباحثون هجمات لا تتطلب مصادقة على WordPress وDrupal وJoomla، لكنها مجرد أمثلة، إذ تكفي حتى صفحة «Hello World» بسيطة. تحديث WordPress أو الإضافات لا يحل المشكلة، بل يجب تحديث PHP.
هل يمكن أن تتسرّب البيانات حتى لو لم تُنفَّذ أي شفرة؟
نعم. قد يكشف CVE-2026-109619 ذاكرة عملية PHP — كلمات المرور ورموز الجلسات ومفاتيح API والشهادات من طلبات أخرى — دون أن يشغّل المهاجم أي شفرة. لا تترك هذه التسريبات ملفات ويصعب اكتشافها، لذا غيّر أسرار أي موقع عمل بإصدار متأثر على الإنترنت.