PHP2Shell: ثغرتان حرجتان في PHP

ما المتأثر

• PHPتم الإصلاح في 8.5.12, 8.4.27, 8.3.36, 8.2.35

CVE-2026-109618CVE-2026-109619درجة الخطورة 9.2 من 10

الجدول الزمني

1. الإصلاح متاح · 23 أكتوبر 2026

   توسّع Cloudflare قواعدها لتشمل مشكلة ذات صلة بتقدّم رفع الجلسات في PHP، وهي CVE-2026-115560.

   Cloudflare

2. الإصلاح متاح · 21 أكتوبر 2026

   تُوقف مواقع حكومية في عدة دول، منها ألمانيا وفنلندا وبلجيكا وهولندا وفرنسا، احتياطًا.

   Australian Associated Press

3. الإصلاح متاح · 21 أكتوبر 2026

   تصدر PHP الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35 التي تصلح CVE-2026-109618 وCVE-2026-109619. تتأثر كل تثبيتات PHP التي تخدم طلبات الويب، ويبلغ الخطر ذروته مع Apache mod_php.

   php.net

4. تم احتواؤها · 21 أكتوبر 2026

   تفعّل Cloudflare قواعد WAF ضد الثغرتين لجميع الباقات، بما فيها المجانية، اعتبارًا من 03:02 بالتوقيت العالمي، وتفيد بوجود حركة هجوم تستهدف عملاءها بعد تسرب التفاصيل.

   Cloudflare

5. تم تحديدها · 20 أكتوبر 2026

   تعلن PHP عن إصدار أمني حرج في 21 أكتوبر يصلح ثغرتين بتقييم 9.2 وفق CVSS v4.0.

   php.net

المصادر

• رسميSecurity advisory: Critical remote code execution vulnerabilities, update nowphp.net
• تنبيهCloudflare deploys protections against php2shell vulnerabilityCloudflare
• صحافةGovernment websites go dark in software flaw scrambleAustralian Associated Press
• صحافةExplainer-What is PHP and why did it take government websites offline?Reuters

ذو صلة

• ثغرة أمنية23 أكتوبرPHP: ثغرة أقل خطورة في تقدّم رفع الجلساتكشفت PHP عن ثغرة إضافية لا تمس إلا المواقع ذات إعداد جلسات غير معتاد. لا يوجد إصلاح بعد، لكن إعدادًا بسيطًا يعطلها. لا يحتاج الزوار إلى فعل شيء.تم تحديدهاتؤثر على أصحاب المواقع