أزمة PHP2Shell: لماذا توقفت مواقع كثيرة وما الذي يجب فعله؟

صورة توضيحية.

إذا حاولت فتح موقع خلال الأيام الأخيرة فوجدت رسالة «الموقع تحت الصيانة»، فقد يكون ذلك مرتبطًا بأزمة PHP2Shell. فمنذ 21 أكتوبر 2026، دفعت ثغرات خطيرة في PHP جهات مختلفة إلى إيقاف بعض خدماتها مؤقتًا لتطبيق تحديثات أمنية. لكن وصف ما حدث بأنه «انهيار الإنترنت كله» لا يعكس الصورة بدقة.

آخر مراجعة للمعلومات: 25 أكتوبر 2026. يوضح هذا المقال ما ثبت في البيانات الرسمية، والفرق بين توقف احتياطي واختراق مؤكد، وما ينبغي فعله بحسب كونك زائرًا أو مسؤولًا عن موقع.

ما PHP، ولماذا أثّرت المشكلة في مواقع متعددة؟

PHP تقنية تُستخدم على الخادم لتشغيل مواقع وتطبيقات ويب. ولهذا قد تعتمد خدمات مختلفة على المكوّن نفسه، حتى إن لم يظهر اسم PHP للمستخدم. وعندما تظهر ثغرة في هذا المكوّن، لا تكون المسألة محصورة في تصميم موقع واحد أو إضافة بعينها.

وبحسب توضيح مؤسسة PHP، ترتبط المشكلتان بإدارة الذاكرة ومعالجة الأخطاء داخل المحرك. وفي ظروف معينة، قد تسمحان لمهاجم غير مسجّل بالدخول بتنفيذ تعليمات على خادم ضعيف الحماية. وهذا خطر على الموقع والبيانات التي يتعامل معها، وليس مجرد بطء في تحميل الصفحات.

هل تعطلت كل المواقع؟ وهل يعني التوقف أنها اختُرقت؟

لا يمكن تعميم ذلك. بعض المشغّلين اختاروا تعليق خدمات مكشوفة احتياطيًا إلى حين التحديث والتحقق. كما أن ظهور رسالة صيانة وحده لا يكفي لنسبة أي عطل إلى PHP2Shell، ولا يثبت حصول تسريب بيانات.

مثال موثق: أعلنت ICANN إيقاف ثلاثة مواقع إدارية تعمل بـPHP كإجراء احترازي، ثم أكدت يوم 22 أكتوبر عودتها بعد تطبيق التصحيح واختباره. وأوضحت عدم وجود مؤشرات على تأثر أنظمتها سلبًا. لذلك يجب قراءة بيان كل جهة بدل تداول قوائم بعنوان «كل هذه المواقع مخترقة».

ما الثغرتان وما الإصدارات التي أصلحتهما؟

يحمل الخللان الأساسيان الرقمين CVE-2026-109618 وCVE-2026-109619. ونشر مشروع PHP تحديثات أمنية يوم 21 أكتوبر لمعالجتهما:

هذه الأرقام تخص الثغرتين المذكورتين، ولا تعني انتهاء كل التنبيهات اللاحقة. وقد توفّر توزيعات أو جهات دعم طويلة الأجل حزمًا تتضمن التصحيح مع رقم إصدار أقدم ظاهرًا؛ لذلك يلزم التحقق من بيان المزوّد، لا الحكم بالرقم وحده. أما الفروع القديمة المنتهية الدعم فتحتاج إلى خطة ترقية أو تأكيد موثق من الجهة التي تتولى صيانتها.

تنبيه أحدث في 23 أكتوبر: تفصيل مهم لا ينبغي تجاهله

نشر فريق PHP تنبيهًا إضافيًا حول CVE-2026-115560، وهي حالة تنفيذ تعليمات عن بُعد تتطلب اجتماع إعدادات وسلوك تطبيقي غير معتاد. وأكد المركز الكندي للأمن السيبراني أن تحديثات 21 أكتوبر لا تصلح هذه الحالة الإضافية.

يوصي التنبيه الرسمي بتعطيل تتبع تقدم رفع ملفات الجلسات عبر session.upload_progress.enabled=0 مؤقتًا إلى حين الإصدار التصحيحي الدوري، مع مراعاة تفاصيل الحالة. يجب أن يتولى مسؤول الخادم أو شركة الاستضافة تطبيق ذلك والتحقق من سريانه وإعادة تشغيل العمليات المعنية عند الحاجة؛ نسخ إعداد إلى ملف داخل الموقع لا يضمن تفعيله.

ماذا تفعل إذا كنت زائرًا عاديًا؟

لا تحتاج إلى تثبيت «تصحيح PHP» على هاتفك لمجرد أن موقعًا لا يفتح. اتبع إعلانات الخدمة وقنواتها الرسمية، وتجنب روابط تزعم إعادة تشغيل الموقع أو تطلب تسجيل الدخول في صفحة بديلة مجهولة. ولا تفترض أن تغيير المتصفح سيعيد خدمة أوقفها صاحبها للصيانة.

ماذا يفعل أصحاب المواقع والاستضافات؟

دعت الوكالة الأوروبية للأمن السيبراني ENISA وشركاؤها إلى حصر التطبيقات التي تعتمد على PHP، والتنسيق مع شركات الاستضافة، وتطبيق التحديثات مع إعطاء الأولوية للأنظمة المتاحة عبر الإنترنت. وقد تستدعي الحالات التي يتعذر إصلاحها فورًا عزل الخدمات المكشوفة مؤقتًا.

• اطلب تأكيدًا بالإصدار أو الحزمة المصحّحة التي يعمل بها الموقع فعليًا، بما فيها البيئات والحاويات الأخرى.
• تحقق من إعادة تحميل خدمات PHP اللازمة، ثم اختبر الوظائف الأساسية بعد التحديث.
• تحديث WordPress وإضافاته لا يغني عن تحديث PHP على الخادم.
• راجع السجلات ومؤشرات النشاط غير المعتاد؛ إصلاح الثغرة لا يثبت وحده أن الخادم لم يتعرض لاستغلال سابق.

الدرس من الأزمة هو أهمية تحديث المكوّنات المشتركة والتحقق من الإصلاح. أما بالنسبة إلى المستخدم، فالفارق الأساسي يبقى بين خدمة توقفت لحمايتها، وثغرة قابلة للاستغلال، واختراق ثبت وقوعه؛ وهي ثلاث حالات لا يصح الخلط بينها.