
ثغرة PHP2Shell وثغرات Next.js لشهر أكتوبر 2026: هل متجرك في أمان؟
حمل شهر أكتوبر 2026 مجموعتين من الثغرات الحرجة في مواقع الويب، واستهدف المهاجمون ثغرات PHP قبل أن يصبح التصحيح علنيا. يمكن أن تسمح ثغرة PHP2Shell (CVE-2026-109618 وCVE-2026-109619) لشخص غير مسجل الدخول بتشغيل شيفرة برمجية على خادم يعمل بـ PHP. أصلحها مشروع PHP في 21 أكتوبر 2026 في الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35. وقبل ذلك بأسبوع، في 14 أكتوبر، أصلح Next.js ثغرتين حرجتين تسمحان بتنفيذ أوامر عن بعد وثغرة حجب خدمة واحدة في الإصدارين 16.4.1 و15.5.28. وأدرجت CISA، الوكالة الأمريكية للأمن السيبراني، ثغرتي PHP في قائمتها للثغرات المستغلة فعليا في 26 أكتوبر، وأمهلت الوكالات الفيدرالية الأمريكية حتى 29 أكتوبر لتطبيق التصحيح.
إذا كان متجرك يعمل على WordPress مع WooCommerce أو على PrestaShop أو Magento أو OpenCart أو Laravel أو أي برنامج PHP آخر على استضافة تديرها بنفسك، فهذا الأمر يعنيك، وتحديث الإضافات لن يصلحه. إصدار PHP الذي يشغل المتجر هو ما يجب أن يتغير. يشرح هذا الدليل ما تفعله كل ثغرة، وما يمكن أن يأخذه المخترق من متجر يبيع بالدفع عند الاستلام، وكيف تتحقق من إصداراتك، وأي إصدار يصلح أي ثغرة. كل تاريخ وإصدار أدناه مأخوذ من النشرات الأمنية للجهات المطورة وتقارير شركات الأمن، وقد قرئت في 29 أكتوبر 2026.









