تحديث أمان PHP: أصلح أولًا ثم راجع الأسرار وصلاحيات الوصول

في 21 أكتوبر 2026، أصدر PHP النسخ 8.5.12 و8.4.27 و8.3.36 و8.2.35 لإصلاح CVE-2026-109618 وCVE-2026-109619، وهما ثغرتان خطيرتان قد تسمحان بتنفيذ التعليمات البرمجية عن بُعد دون مصادقة. يحدد الإعلان الرسمي الخطر في التثبيتات التي تعالج طلبات الويب، ومنها PHP-FPM وApache mod_php. التحديث هو الإصلاح الكامل؛ التدابير المؤقتة ليست بديلًا مكافئًا.

وجود تثبيت ضعيف لا يثبت حدوث اختراق. تعامل مع التصحيح والتحقيق واستعادة بيانات الاعتماد كمهام مترابطة، واتخذ القرار حسب بيئتك والأدلة.

تأكد مما يعالج الطلبات فعلًا

احصر المواقع العامة والخدمات الداخلية والحاويات وحسابات الاستضافة التي تشغّل PHP. أكّد إصدار وحالة تصحيح بيئة تشغيل طلبات الويب؛ قد يخص إصدار سطر الأوامر تثبيتًا آخر.

في الاستضافة المُدارة، اطلب تأكيد الحزمة المطبقة والخدمة المتأثرة وإعادة التشغيل أو النشر. قد يعيد موزعو الأنظمة نقل الإصلاحات إلى إصدارات أقدم، فاحصل على تأكيدهم بدل الحكم برقم الإصدار الأصلي وحده. راجع النطاق مع المشغّل باستخدام تنبيهات فريق PHP. لا تنشر صفحة تشخيص تكشف إعدادات الخادم.

احتوِ التعرّض واستعد بيئة موثوقة

نسّق التحديث سريعًا مع الاستضافة أو فريق التشغيل. قيّد التعرّض أو اعزل الأنظمة إذا استدعى تقييم الحادث ذلك، مع حفظ الأدلة المهمة. لا تؤخر احتواءً عاجلًا لمجرد إنهاء جمع السجلات.

راجع فترة التعرّض وسجلات الويب والنظام والملفات أو العمليات غير المتوقعة وأحداث تدقيق المزودين المعنيين. غياب التنبيهات أو سجلات تبدو عادية لا يثبت أن المضيف لم يُمس.

إذا ثبت الاختراق أو وُجد اشتباه معقول، فاتبع إجراءات الحوادث لإعادة البناء أو الاستعادة من مصدر موثوق. التصحيح لا يزيل آليات بقاء المهاجم. لا تستخدم مضيفًا أو جهازًا غير موثوق لتوليد الأسرار البديلة أو استلامها أو تثبيتها.

قيّم بيانات الاعتماد قبل تدويرها

احصر ما كان بوسع العملية المتأثرة الوصول إليه: إعدادات التطبيق ومتغيرات البيئة ورموز النشر وبيانات قواعد البيانات ومفاتيح API. حدد الصلاحيات والنطاق واحتمال الانكشاف. الإعلان وحده لا يدل على تسرب كل بيانات اعتماد المؤسسة.

للبيانات المحتمل انكشافها، نسّق الاستبدال والإلغاء لدى الجهة المصدرة من جهاز إدارة موثوق. ثبّت البدائل في البيئة المعاد بناؤها والموثوقة وتحقّق من التكاملات المشروعة. اختر التسلسل حسب الإساءة الجارية وإمكانات المزود واعتماد الخدمات بعضها على بعض. لا تعد بخدمة بلا انقطاع ولا تترك مفتاحًا مكشوفًا نشطًا إلى أجل غير مسمى للراحة.

راجع الجلسات ووصول الاسترداد عند اللزوم، ووثّق مسؤول كل تغيير. لا تضع الأسرار الخام في تذكرة الحادث أو سجله. OWASP

أغلق الوصول الطارئ بعد انتهاء العمل

امنح المستجيبين حسابات فردية بصلاحيات ضيقة وموعد نهاية متفق عليه. بعد التعافي، راجع الأدوار المؤقتة والجلسات ووصول النشر وروابط التسليم. أزل الوصول المتبقي غير الضروري وأكّد النتائج في الخدمة المعنية بدل الاعتماد على تذكير تقويم فقط.

افصل بين ثلاثة ضوابط مختلفة

الضابط	ما الذي يغيّره	ما الذي لا يفعله
انتهاء رابط التسليم	الوصول اللاحق عبر ذلك الرابط	لا يلغي بيانات اعتماد المزود
إلغاء مفتاح لدى المزود	هل يقبل المزود ذلك المفتاح	لا يمحو النسخ أو يصلح مضيفًا مخترقًا
حذف رسالة أو ملاحظة	إتاحة العنصر داخل النظام	لا يسترجع التنزيلات أو اللقطات أو النص المنسوخ

سلّم مؤقتًا بعد استعادة الثقة فقط

إذا سمحت إجراءاتك، أنشئ مذكرة محمية بكلمة مرور من نظام موثوق تتضمن الحد الأدنى اللازم لمستلم متحقق منه. أرسل كلمة المرور منفصلة واستخدم الانتهاء أو حدود الوصول عندما تدعمها خطتك. لا تضع عبارات استرداد المحافظ أو المفاتيح الخاصة في التسليم.

LOCK.PUB أداة تسليم محدودة: لا يصحح PHP، ولا يصلح الأجهزة المصابة، ولا يلغي مفاتيح المزودين، ولا يسترجع النسخ. ولا يحل محل مدير الأسرار أو ضوابط الهوية أو الاستجابة للحوادث.

أسئلة شائعة

هل ينهي تثبيت تحديث PHP التحقيق؟

لا. يعالج الثغرة، بينما تحدد الأدلة والتعرّض ما تبقى من تحقيق وتعافٍ وإجراءات بيانات الاعتماد.

هل انتهاء المذكرة يعطّل مفتاح API داخلها؟

لا. ألغِ المفتاح أو استبدله لدى المزود. بيانات الاعتماد المنسوخة منفصلة عن الرابط الذي سلّمها.

ذو صلة: مشاركة مفاتيح API بحدود واضحة.