---

📌 نظرة عامة

يشير PHP2Shell إلى زوج من الثغرات الحرجة/ثغرات يوم الصفر المكتشفة في محرك نواة PHP (CVE-2026-109618 وCVE-2026-109619). تتيح هذه الثغرات للمهاجمين غير المصادق عليهم تنفيذ تعليمات برمجية عشوائية (RCE) على الخوادم التي تشغّل إعدادات PHP المصابة.

   ┌───────────────────────────────┐
   │     Unauthenticated Attacker  │
   └───────────────┬───────────────┘
                   │
                   ▼ 🟣 Exploit Payload
   ┌───────────────────────────────┐
   │   PHP Engine Core Processing  │
   │ (Stream Filters / PHAR Arch)  │
   └───────────────┬───────────────┘
                   │
                   ▼ ⚡
   ┌───────────────────────────────┐
   │   Arbitrary Shell Execution   │
   └───────────────────────────────┘

⚡ تفاصيل الثغرة

المعامل	التفاصيل
الثغرات	CVE-2026-109618 و CVE-2026-109619
درجة CVSS v4.0	9.2 (حرجة)
المتجه	CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H
التأثير	تنفيذ تعليمات برمجية عن بُعد دون مصادقة (RCE)
البرامج المتأثرة	PHP 5.x، PHP 7.x، PHP 8.0، 8.1، 8.2، 8.3، 8.4

🟣 تفصيل التهديدات

1. CVE-2026-109618: فساد ذاكرة الكومة في مرشحات التدفق

• الآلية: خرق لسلامة الذاكرة يحدث أثناء معالجة المخزن المؤقت الداخلي داخل مرشحات تدفق PHP.
• متجه الاستغلال: التلاعب بمعاملات التدفق يسمح للمهاجم بالتحكم في عناوين الذاكرة وتحقيق تنفيذ التعليمات البرمجية.

2. CVE-2026-109619: خلل منطقي في معالجة أرشيفات PHAR

• الآلية: خلل في منطق التحليل وإلغاء التسلسل لأغلفة أرشيف PHP (.phar).
• متجه الاستغلال: مدخلات الترويسة التي يتحكم بها المهاجم تؤدي إلى استدعاء دوال عشوائية.

---

📸 عرض توضيحي

---

🛡️ التخفيف والمعالجة

1. ترقية حزم PHP

الإصلاح الأكثر فعالية هو تحديث خادمك إلى أحدث ثنائيات PHP المُرقّعة فورًا:

# Debian / Ubuntu
sudo apt update && sudo apt install --only-upgrade php8.3-cli php8.3-fpm

# RHEL / CentOS / Rocky Linux
sudo dnf update php

2. حلول بديلة طارئة (لبيئات EOL)

إذا كان تطبيقك يعتمد على إصدارات انتهى عمرها الافتراضي (EOL) (مثل PHP 7.x أو 8.0) التي لا تتلقى تصحيحات أمنية رسمية:

• 🟣 تعطيل مرشحات التدفق / الدوال الخطرة: حرّر ملف php.ini الخاص بك:

disable_functions = exec,passthru,shell_exec,system,proc_open,popen,phar

• 🟣 WAF / تصفية الشبكة: نفّذ قواعد جدار حماية تطبيقات الويب (WAF) صارمة لإسقاط الطلبات التي تحتوي على بروتوكولات التدفق المتسلسل (php://filter/، phar://).
• 🟣 عزل الشبكة: اعزل الخوادم القديمة خلف شبكات داخلية/VPNs صارمة.

---

🔍 الكشف والتحقق

للتحقق مما إذا كان خادمك الذي يعمل بـ PHP عرضةً محتملةً للثغرة:

# Check running PHP version
php -v

# Check loaded modules and PHAR settings
php -i | grep -i "phar"

🤝 المساهمة

نرحّب بالمساهمات وتحديثات التهديدات وقواعد الكشف (YARA / Sigma)!

1. قم بعمل Fork للمستودع
2. أنشئ فرعًا للميزة (git checkout -b feature/sigma-rule)
3. قم بعمل Commit لتغييراتك (git commit -m 'Add Sigma detection rule')
4. ادفع التغييرات إلى الفرع (git push origin feature/sigma-rule)
5. افتح Pull Request

---

📜 إخلاء المسؤولية

أُنشئ هذا المستودع لأغراض تعليمية ودفاعية وبحثية بحتة. ولا يتحمل القائمون على صيانته أي مسؤولية عن سوء الاستخدام أو الأنشطة غير القانونية التي تُرتكب باستخدام المعلومات الواردة هنا.