في 21 أكتوبر 2026، وصلني تنبيه من Contabo عن ثغرتين حرجتين في PHP. في خادم VPS غير مُدار، التنبيه بداية العمل؛ ويبقى تطبيق الإصلاح والتحقق منه مسؤولية مالك الخادم.
ما الذي تغيّر؟
أصدرت PHP إصلاحات للثغرتين CVE-2026-109618 وCVE-2026-109619، اللتين قد تسمحان بتنفيذ أوامر عن بُعد دون مصادقة. الإصدارات المصحّحة هي 8.2.35 و8.3.36 و8.4.27 و8.5.12. وإذا كانت توزيعتك تطبق إصلاحات خلفية، فراجع نشرتها الأمنية.
ماذا فعلت؟
فحصت حاويات WordPress العاملة ووجدت PHP 8.3.33. تحققت من سلامة أرشيفي النسخ الاحتياطي لقاعدة البيانات والملفات، ثم أعدت بناء الصورة المخصصة على الصورة الأساسية المحدّثة، وأعدت إنشاء حاويتي الويب والمهام المجدولة. تعرض الحاويتان الآن PHP 8.3.36، وحاوية الويب بحالة سليمة، والمتجر يستجيب برمز HTTP 200.
أبسط تسلسل صحيح
- حدّد نسخة PHP التي تخدم موقعك فعليًا.
- انسخ قاعدة البيانات والملفات احتياطيًا، ثم احصل على الحزمة أو الصورة المصحّحة من مزوّدها.
- حدّث بيئة التشغيل. في Docker، أعد بناء الصور المخصصة وإنشاء الحاويات المتأثرة؛ تنزيل الصورة وحده لا يكفي.
- تحقّق من بيئة الويب والمهام الخلفية، واختبر وظائف التطبيق المهمة.
ما النتيجة المتوقعة؟
يعالج التحديث هاتين الثغرتين، لكنه لا يثبت عدم وقوع اختراق سابق، كما أن نجاح فتح الصفحة الرئيسية لا يُعد اختبارًا كاملًا للدفع. استمر في مراجعة السجلات وسلوك التطبيق.
المصدر: النشرة الأمنية الرسمية لـPHP بتاريخ 21 أكتوبر 2026. التحقق التشغيلي: 22 أكتوبر 2026 بتوقيت السعودية.