ثغرات php2shell (CVE-2026-109618، CVE-2026-109619)

آخر تغيير جوهري في المعلومات التشغيلية: 21 أكتوبر 2026 17:25 CEST آخر تحديث لحالة قائمة البرمجيات: 22 أكتوبر 2026 17:23 CEST TLP:CLEAR

يحتوي هذا المستودع على معلومات تشغيلية بشأن ثغرات PHP الحرجة التي تتعقبها CERT-EU تحت المعرّفين CVE-2026-109618 وCVE-2026-109619.

تُعدّ PHP لغة برمجة نصية مفتوحة المصدر تُستخدم على نطاق واسع من جانب الخادم، لذا قد تؤثر هذه الثغرات على مجموعة واسعة من تطبيقات الويب والمنتجات المتاحة عبر الإنترنت التي تتضمن PHP أو تعتمد عليها.

الحالة الراهنة

في 21 أكتوبر 2026، نشرت PHP إصدارات مُصلحة لثغرتي CVE-2026-109618 وCVE-2026-109619: PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35. وتذكر PHP أن كلتا الثغرتين قد تتيحان تنفيذ تعليمات برمجية عن بُعد دون مصادقة، وأن جميع عمليات تثبيت PHP التي تخدم طلبات الويب معرّضة للخطر، بما في ذلك PHP-FPM وApache مع mod_php وphp-cgi وFrankenPHP وLiteSpeed. وتعتبر PHP أن الخطر أعلى في mod_php، حيث يمكن لطلب غير مُصادَق عليه أن يُفعّل الاستغلال قبل تشغيل تعليمات التطبيق البرمجية.

تصف PHP الثغرة CVE-2026-109618 بأنها تنفيذ تعليمات برمجية عن بُعد عبر تلف ناتج عن نفاد الذاكرة أثناء تنظيف الطلب، والثغرة CVE-2026-109619 بأنها تنفيذ تعليمات برمجية عن بُعد عبر حالة عامة قديمة مملوكة لطلب سابق يُعاد استخدامها بواسطة طلب لاحق على العامل نفسه. لم تعد PHP 8.1 والإصدارات الأقدم مدعومة من مشروع PHP؛ وقد توفر التوزيعات ومورّدو الإصدارات طويلة الدعم حزمًا مُرحّلة، وقد نشرت PHP ترحيلات مصدرية دنيا لـ PHP 7.4 و8.0 و8.1.

لا يقتصر التأثير على مواقع الويب: فـ PHP مضمّنة أيضًا في الأجهزة والأجهزة الشبكية وواجهات الإدارة وغيرها من منتجات المورّدين حيث قد لا يتمكن المسؤولون من تحديث PHP مباشرةً.

الإجراءات الموصى بها

• تحديد التطبيقات القائمة على PHP وإصدارات بيئة تشغيلها، مع إعطاء الأولوية للأنظمة المتاحة عبر الإنترنت وواجهات SAPI التي تخدم الويب.
• التحديث إلى PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، أو تطبيق الحزم المُرحّلة التي يوفرها المورّد.
• فحص الصور والصور الجاهزة وبيئات التشغيل المضمّنة من جهات خارجية بشكل منفصل؛ وبالنسبة للمنتجات التي تتضمن PHP، طبّق تحديثات المورّد بمجرد توفرها.
• إذا لم يكن الترقيع الفوري ممكنًا، فاتبع التخفيفات المؤقتة التي توصي بها PHP، بما في ذلك تعطيل session.upload_progress، وإعادة تشغيل العمال، ومراجعة الإرشادات الرسمية بشأن memory_limit وpost_max_size وfatal_error_backtraces في PHP 8.5. وتذكر PHP أن هذه التدابير ليست إصلاحات كاملة.
• راقب تنبيهات المورّدين وسجلات الأنظمة المتاحة عبر الإنترنت ونشاط الاستغلال العام.

لمزيد من المعلومات، راجع:

• CERT-EU Security Advisory 2026-018
• PHP security advisory: Critical remote code execution vulnerabilities, update now
• List of advisories from other EU national CSIRT's

محتويات المستودع

الدليل	الغرض
detection_mitigation	يحتوي على مواد الكشف والتخفيف الخاصة بالثغرات.
software	يحتوي على قوائم جرد لمنتجات البرمجيات التي تعتمد على PHP وقد تتأثر بالثغرات.
tools	يحتوي على أدوات لاستخدام/توليد الملفات داخل هذا المستودع

يُرجى ملاحظة أن هذا المستودع غير مكتمل ويجري توسيعه حاليًا.

أحدث تحديثات حالة البرمجيات

التاريخ والوقت	المورّد	المنتج	الإصدار (انظر الحالة)	حالة CVE-2026-109618	حالة CVE-2026-109619	ملاحظات	روابط
2026-10-22 17:23:16 +0200	Fortinet	FortiADC Manager		Investigation	Investigation	تقييم CVE: يُدرج Fortinet PSIRT FG-IR-26-186 المنتج على أنه قيد التحقيق؛ لم تُنشر الإصدارات المتأثرة/المصححة بعد تُدرج نشرة Fortinet PSIRT FG-IR-26-186 المنتج FortiADC Manager على أنه قيد التحقيق بشأن CVE-2026-109618 وCVE-2026-109619.	source
2026-10-22 17:23:16 +0200	Fortinet	FortiClient Cloud Services		Investigation	Investigation	تقييم CVE: يُدرج Fortinet PSIRT FG-IR-26-186 المنتج على أنه قيد التحقيق؛ لم تُنشر الإصدارات المتأثرة/المصححة بعد تُدرج نشرة Fortinet PSIRT FG-IR-26-186 المنتج FortiClient Cloud Services على أنه قيد التحقيق بشأن CVE-2026-109618 وCVE-2026-109619.	source
2026-10-22 17:23:16 +0200	Fortinet	FortiDDoS		Investigation	Investigation	تقييم CVE: يُدرج Fortinet PSIRT FG-IR-26-186 المنتج على أنه قيد التحقيق؛ لم تُنشر الإصدارات المتأثرة/المصححة بعد تُدرج نشرة Fortinet PSIRT FG-IR-26-186 المنتج FortiDDoS على أنه قيد التحقيق بشأن CVE-2026-109618 وCVE-2026-109619.	source
2026-10-22 17:23:16 +0200	Fortinet	FortiDDoS-F		Investigation	Investigation	تقييم CVE: يُدرج Fortinet PSIRT FG-IR-26-186 المنتج على أنه قيد التحقيق؛ لم تُنشر الإصدارات المتأثرة/المصححة بعد تُدرج نشرة Fortinet PSIRT FG-IR-26-186 المنتج FortiDDoS-F على أنه قيد التحقيق بشأن CVE-2026-109618 وCVE-2026-109619.	source
2026-10-22 17:23:16 +0200	Fortinet	FortiEndpoint		Investigation	Investigation	تقييم CVE: يُدرج Fortinet PSIRT FG-IR-26-186 المنتج على أنه قيد التحقيق؛ لم تُنشر الإصدارات المتأثرة/المصححة بعد تُدرج نشرة Fortinet PSIRT FG-IR-26-186 المنتج FortiEndpoint على أنه قيد التحقيق بشأن CVE-2026-109618 وCVE-2026-109619.	source

راجع سجل تحديثات حالة البرامج الكامل.

المساهمات مرحّب بها

إذا كانت لديك أي معلومات إضافية لمشاركتها تتعلق بثغرات PHP هذه، فلا تتردد في فتح Pull request. هل أنت جديد على ذلك؟ اقرأ كيفية المساهمة في وثائق GitHub.

بخصوص التحديثات على قائمة البرامج: تفضيلنا القوي هو تلقي التعديلات في ملفات مصدر SPDX داخل software/spdx/. تُولَّد صفحات قائمة Markdown تلقائيًا من تلك الملفات. في حال ثبت أن ذلك صعب للغاية: لا تقلق. سنحاول نقل التعديلات في ملفات .md إلى ملفات مصدر SPDX، ولكن دون أي ضمانات.