حرجةPHP2Shell: حدّث إلى 8.2.35 · 8.3.36 · 8.4.27 · 8.5.12 فورًا
افحص تعرّضك
تعالج PHP الطلب الخبيث قبل أن تعمل أي شيفرة في تطبيقك، فلا تمنعه صفحات تسجيل الدخول ولا ضوابط التطبيق. التحديث هو الحل الكامل الوحيد. افحص خادمًا تملكه لتعرف موقفه.
في 21 أكتوبر 2026 أصدر مشروع PHP تحديثات أمنية للثغرتين. وأي PHP script يكشف المسار المصاب، حتى لو كان يكتفي بطباعة رد.
عند فشل تخصيص الذاكرة قد تتخلى PHP عن الطلب وتترك بيانات غير صالحة لروتين التنظيف. ويمكن لطلبات multipart مصمّمة (النماذج ورفع الملفات) أن تستنفد الذاكرة وإن بدت ضمن الحدود المضبوطة. وعلى Apache mod_php ينجح الهجوم قبل تنفيذ أي شيفرة للتطبيق.
قد يصل الـ PHP worker المُعاد استخدامه إلى حالة ما زالت تشير إلى ذاكرة حُرّرت في طلب سابق، وقد تقطع الـ fatal errors والـ timeouts عملية الـ cleanup. وثبت تنفيذ الأوامر عن بُعد على mod_php وPHP-FPM عبر الـ session lifecycle، وعلى PHP 8.5 عبر الـ fatal error backtraces.
الإصدارات من PHP 5 حتى 8.5 متأثرة. ويصنّف المورّد Apache mod_php الأعلى خطورة لأن الاستغلال قد يكتمل قبل تشغيل أي شيفرة للتطبيق.
ويشمل ذلك المنصات المبنية على PHP مثل WordPress وLaravel وDrupal وMagento ومعظم الاستضافات المشتركة.
| الفرع | المصاب | حدّث إلى |
|---|---|---|
| 8.5 | < 8.5.12 | 8.5.12 |
| 8.4 | < 8.4.27 | 8.4.27 |
| 8.3 | < 8.3.36 | 8.3.36 |
| 8.2 | < 8.2.35 | 8.2.35 |
| 7.4 – 8.1 | منتهي الدعم | إصلاح المورّد أو backport |
| 5.x – 7.3 | منتهي الدعم | رقِّ إلى فرع مدعوم |
تعامل معها كتغيير طارئ خارج دورات التحديث المعتادة، وعلّم كل خطوة عند إنجازها.
بما فيها خوادم الاختبار والمواقع التسويقية المصغرة والبوابات القديمة والصفحات المستضافة لدى أطراف ثالثة على نطاقاتك. لا يمكنك تحديث ما لم تكتشفه.
دراس تكشفها لك8.2.35 · 8.3.36 · 8.4.27 · 8.5.12 أو حزمة توزيعة تتضمن الـ patches كاملة. وقد تلقت توزيعات Linux ومورّدو الدعم طويل الأمد الـ patches مسبقًا، وعلى مستخدمي rpms.remirepo.net الانتقال إلى حزم التوزيعة أو البناء من المصدر.
لإصدارات PHP 7.4 و8.0 و8.1 استخدم إصلاح المورّد أو الـ backports المحدودة التي نشرتها PHP لهذه الحادثة. وما هو أقدم من ذلك يجب ترقيته إلى فرع مدعوم.
أعد تشغيل الـ PHP-FPM pools وApache حتى لا يحتفظ أي worker بالـ binary أو الإعدادات القديمة في الذاكرة، وتحقق من الإصدار على كل خادم لا في الـ package manager فقط.
حدّد حجم الطلب بعد الـ decoding، وعدد المدخلات وأجزاء multipart، والـ headers لكل جزء، والـ nesting depth، بما في ذلك الطلبات التي لا تحمل Content-Length صالحًا. وإن كان التطبيق لا يستخدم بيانات multipart فاحجبها قبل وصولها إلى PHP.
التحديث يغلق الباب، لكنه لا يُخرج مهاجمًا دخل بالفعل.
ما الذي تبحث عنهإجراء مؤقت يقلل التعرّض للمسارات المعروفة فقط
; FPM pool or server config, not ini_set() or .user.ini
php_admin_value[memory_limit] = -1
php_admin_flag[session.upload_progress.enabled] = off
php_admin_flag[fatal_error_backtraces] = off ; PHP 8.5
php_admin_value[post_max_size] = 8M ; 32M if uploads needed
php_admin_value[upload_max_filesize] = 6M
; then restart every worker
لا يحتاج الاستغلال إلى تخمين ولا يُسقط الـ worker بالضرورة، لذا قد لا يظهر أي انقطاع واضح.
طلبات POST من نوع multipart إلى نقاط PHP عشوائية، بما فيها صفحات لا تقبل رفع الملفات.
أخطاء نفاد ذاكرة تظهر قبل تشغيل شيفرة التطبيق، وغالبًا على دفعات من مصدر واحد.
php-fpm أو httpd يشغّل sh أو bash أو curl أو wget.
يعرض الـ Initial Access Brokers الـ web shells المخترقة وبيانات الدخول بعد موجات الاستغلال الواسع بوقت قصير.
راقبها مع دراساكتشاف مستمر للنطاقات والنطاقات الفرعية وعناوين IP والخدمات، مع تحديد إصدار PHP ودرجة الخطورة وإرشادات المعالجة لكل أصل.
افحص محيطيتنبيهات بإعلانات الأسواق وBreached Employees وCompromised Devices المرتبطة بمنظمتك، لتتصرف قبل أن يتحول البيع إلى هجوم فدية.
افحص تعرّضياسأل: «أي خوادمي معرّضة لـ PHP2Shell؟» واحصل على إجابة من نتائجك أنت، مع خطوات معالجة موثّقة، بالعربية أو الإنجليزية.
شاهد عرضًا توضيحيًاتلخّص هذه الصفحة أبحاثًا منشورة علنًا. يعود الفضل في الاكتشاف والتحليلات التقنية الأساسية إلى الباحثين والجهات التالية.
نقيّم سطح الهجوم الخارجي وتعرّضك في الويب المظلم لمدة أسبوعين، ونسلّمك تقريرًا يستطيع فريقك العمل به، مع أولوية لنتائج PHP2Shell.