# ثغرة PHP2Shell وثغرات Next.js لشهر أكتوبر 2026: هل متجرك في أمان؟

**حمل شهر أكتوبر 2026 مجموعتين من الثغرات الحرجة في مواقع الويب، واستهدف المهاجمون ثغرات PHP قبل أن يصبح التصحيح علنيا.** يمكن أن تسمح ثغرة PHP2Shell (CVE-2026-109618 وCVE-2026-109619) لشخص غير مسجل الدخول بتشغيل شيفرة برمجية على خادم يعمل بـ PHP. أصلحها مشروع PHP في 21 أكتوبر 2026 في الإصدارات 8.5.12 و8.4.27 و8.3.36 و8.2.35. وقبل ذلك بأسبوع، في 14 أكتوبر، أصلح Next.js ثغرتين حرجتين تسمحان بتنفيذ أوامر عن بعد وثغرة حجب خدمة واحدة في الإصدارين 16.4.1 و15.5.28. وأدرجت CISA، الوكالة الأمريكية للأمن السيبراني، ثغرتي PHP في قائمتها للثغرات المستغلة فعليا في 26 أكتوبر، وأمهلت الوكالات الفيدرالية الأمريكية حتى 29 أكتوبر لتطبيق التصحيح.

إذا كان متجرك يعمل على WordPress مع WooCommerce أو على PrestaShop أو Magento أو OpenCart أو Laravel أو أي برنامج PHP آخر على استضافة تديرها بنفسك، فهذا الأمر يعنيك، وتحديث الإضافات لن يصلحه. إصدار PHP الذي يشغل المتجر هو ما يجب أن يتغير. يشرح هذا الدليل ما تفعله كل ثغرة، وما يمكن أن يأخذه المخترق من متجر يبيع بالدفع عند الاستلام، وكيف تتحقق من إصداراتك، وأي إصدار يصلح أي ثغرة. كل تاريخ وإصدار أدناه مأخوذ من النشرات الأمنية للجهات المطورة وتقارير شركات الأمن، وقد قرئت في 29 أكتوبر 2026.

<!-- -->

![ثغرات PHP وNext.js لشهر أكتوبر 2026: حاسوب محمول يعرض متجرا إلكترونيا خلف درع تحذير، مع قفل يجري إصلاحه](/ar/assets/images/ar-cover-05c741976fcf53f91f4108ccf5e28039.webp)

## ثغرات أكتوبر 2026 في لمحة[​](#ثغرات-أكتوبر-2026-في-لمحة "رابط مباشر إلى ثغرات أكتوبر 2026 في لمحة")

| الثغرة                                        | المعرف                              | الخطورة                              | من هو المعرض                                                                | أصلحت في                              | مستغلة                           |
| --------------------------------------------- | ----------------------------------- | ------------------------------------ | --------------------------------------------------------------------------- | ------------------------------------- | -------------------------------- |
| تلف في ذاكرة PHP عندما ينفد الطلب من الذاكرة  | CVE-2026-109618                     | حرجة، 9.2 (CVSS 4.0، تقييم PHP)      | كل موقع PHP يخدم طلبات الويب                                                | PHP 8.5.12، 8.4.27، 8.3.36، 8.2.35    | نعم، في قائمة CISA منذ 26 أكتوبر |
| حالة قديمة في PHP يعيد الطلب التالي استعمالها | CVE-2026-109619                     | حرجة، 9.2 (CVSS 4.0، تقييم PHP)      | كل موقع PHP يخدم طلبات الويب                                                | PHP 8.5.12، 8.4.27، 8.3.36، 8.2.35    | نعم، في قائمة CISA منذ 26 أكتوبر |
| تقدم رفع الملفات في جلسات PHP                 | CVE-2026-115560                     | لم تنشر أي درجة                      | فقط التطبيقات التي تغير `session.serialize_handler` إلى `php` أثناء التشغيل | لم تصلح بعد، يوجد حل مؤقت             | لا يوجد تقرير                    |
| تنفيذ شيفرة عبر `use cache` في Next.js        | GHSA-673q-mjm6-r5xr (بلا رقم CVE)   | حرجة، 9.5 (CVSS 4.0، تقييم Next.js)  | App Router مع Cache Components، من 16.0.0 إلى 16.4.0                        | Next.js 16.4.1                        | ليست في قائمة CISA               |
| تحسين الصور في Next.js مع ملفات SVG           | CVE-2026-96889، GHSA-2464-fhr4-w9xw | حرجة، 9.5 (CVSS 4.0، تقييم Next.js)  | Next.js على Linux مع glibc، ابتداء من 10.0.0                                | Next.js 16.4.1 و15.5.28 وsharp 0.35.5 | ليست في قائمة CISA               |
| حجب الخدمة عبر Server Actions في Next.js      | CVE-2026-94482، GHSA-p3m5-59mp-jv5r | عالية، 8.2 (CVSS 4.0، تقييم Next.js) | App Router مع Server Action واحد على الأقل، ابتداء من 13.0.0                | Next.js 16.4.1، 15.5.28               | ليست في قائمة CISA               |

يقصد بعمود "مستغلة" في الجدول قائمة الثغرات المستغلة فعليا (Known Exploited Vulnerabilities) كما نشرت في 29 أكتوبر 2026. وتختلف الدرجات من جهة تقييم إلى أخرى: تمنح NVD الثغرة CVE-2026-109618 درجة 9.8 والثغرة CVE-2026-109619 درجة 8.1 على مقياس CVSS 3.1 الأقدم.

## ما هي ثغرة PHP2Shell ولماذا هي خطيرة[​](#ما-هي-ثغرة-php2shell-ولماذا-هي-خطيرة "رابط مباشر إلى ما هي ثغرة PHP2Shell ولماذا هي خطيرة")

PHP2Shell خللان منفصلان في محرك PHP نفسه، البرنامج الذي يشغل WordPress وWooCommerce وPrestaShop وMagento ومعظم المتاجر على الويب. هكذا يصفهما مشروع PHP في نشرته الأمنية:

* **CVE-2026-109618:** عندما ينفد طلب من الذاكرة، يمكن أن يتوقف PHP بينما بيانات الطلب الداخلية مهيأة جزئيا فقط. ثم تتعامل مرحلة التنظيف مع تلك البيانات المعطوبة على أنها صالحة. ويستطيع المهاجم دفع الطلب إلى تلك الحالة بطلب رفع ملف مصمم خصيصا، حتى ضمن حدود الحجم العادية للخادم.
* **CVE-2026-109619:** يمكن أن تبقى حالة داخلية تخص طلبا ما بعد تحرير ذاكرتها، ويمكن أن يستعملها الطلب التالي الذي يعالجه عامل PHP نفسه. وأكد مشروع PHP تنفيذ الشيفرة عبر خاصية تقدم رفع الملفات في الجلسات (session upload progress)، المفعلة افتراضيا، وعبر مسار تتبع الأخطاء (error backtrace) في PHP 8.5.

لا يحتاج أي من الخللين إلى تسجيل الدخول، وعلى mod\_php يقع الأول قبل أن تبدأ شيفرة متجرك نفسها في العمل. يذكر مشروع PHP الإعدادات المعرضة: PHP-FPM وApache مع mod\_php وphp-cgi وFrankenPHP وLiteSpeed، ويعتبر الخطر أعلى على mod\_php. وأكد باحثو Calif تنفيذ الشيفرة قبل تسجيل الدخول على WordPress 7.1.2 وDrupal 11.4.3 وJoomla 6.1.4 وMagento 2.4.9 وphpMyAdmin 5.2.3 وLaravel 13.11 وSymfony 8.1، وغيرها.

نطاق الإصدارات المتأثرة واسع. تبدأ سجلات NVD من PHP 7.3.0 للخلل الأول ومن PHP 5.4.0 للخلل الثاني. التصحيحات المدعومة متوفرة للإصدار 8.2 وما بعده. أما PHP 7.4 و8.0 و8.1، التي انتهى دعمها، فقد نشر لها فريق أمن PHP تصحيحات مختصرة للشيفرة المصدرية، ولم تحصل PHP 7.3 وما قبلها على أي شيء من مشروع PHP.

### كيف جرى الكشف عن الثغرة[​](#كيف-جرى-الكشف-عن-الثغرة "رابط مباشر إلى كيف جرى الكشف عن الثغرة")

أبلغت Calif مشروع PHP عن ثغرة تنفيذ أوامر عن بعد في 11 أوت 2026، وأرسلت Wiz تقريرها الخاص في 24 أوت. ووجد فريق Codex Security التابع لـ OpenAI أجزاء من المشكلة أيضا. كان التصحيح مقررا في 22 أكتوبر، لكن رقمي CVE بدآ يتداولان في المنتديات نحو الساعة 15:00 بتوقيت UTC يوم 20 أكتوبر، فقدم مشروع PHP موعد الإصدار إلى 21 أكتوبر على الساعة 14:00 بتوقيت UTC. ومساء 20 أكتوبر، نشرت Calif أيضا عن طريق الخطأ فيديو إثبات مفهوم (proof of concept).

كانت شبكة الخوادم المصيدة (honeypot) التابعة لـ Amazon قد سجلت محاولة استغلال في 17 أكتوبر، قبل الكشف بأربعة أيام. وفي 24 أكتوبر أبلغ باحث عن استغلال ناجح لثلاثة خوادم مصيدة تعمل بـ PHP 8.4.26، وفي 26 أكتوبر أكدت Trail of Bits وجود شيفرات استغلال تعمل ضد PHP 8.2 إلى 8.5 غير المصححة. وأحصت شبكة مستشعرات عامة يديرها باحثون من Delft أكثر من 73,900 طلب استغلال من 676 عنوان IP في 73 دولة بين 21 و29 أكتوبر.

يتوقع بعض الخبراء هجمات جماعية أقل مما توحي به العناوين. كتبت Sansec، المتخصصة في أمن المتاجر، أن الهجوم يحتاج إلى معرفة محددة بالخادم المستهدف، وتصف Red Hat تنفيذ الشيفرة على إعداد PHP-FPM القياسي لديها بأنه صعب عمليا. ولا تقول أي منهما إن المتجر يستطيع الاستغناء عن التحديث.

## ما يستطيع المهاجم فعله في متجر مخترق[​](#ما-يستطيع-المهاجم-فعله-في-متجر-مخترق "رابط مباشر إلى ما يستطيع المهاجم فعله في متجر مخترق")

تنفيذ أوامر عن بعد يعني أن شيفرة المهاجم تعمل بالصلاحيات نفسها التي تعمل بها شيفرة متجرك. في متجر PHP عادي، يمنح ذلك الوصول إلى ملف الإعدادات الذي يحفظ كلمة مرور قاعدة البيانات، ومن هناك إلى كل الجداول. وبالنسبة لمتجر يبيع بالدفع عند الاستلام في الجزائر، قاعدة البيانات هي التجارة نفسها: الاسم ورقم الهاتف والولاية والبلدية والعنوان الكامل لكل زبون، إضافة إلى سجل طلباته.

ويصل الوصول نفسه إلى مفاتيح API المحفوظة في إعداداتك: حسابات شركات التوصيل، وخدمات إرسال SMS أو WhatsApp، ورموز Pixel الخاصة بـ Facebook وTikTok. ويستطيع المهاجم أيضا تغيير صفحة الطلب، أو استبدال رقم الهاتف الذي يتصل به الزبائن، أو زرع ملف مخفي يسمح له بالعودة بعد أن تطبق التصحيح.

ما فعله المهاجمون في أكتوبر موثق. سجلت مستشعرات Delft برامج تنزيل (droppers) تجلب بوتات مشتقة من Mirai، تستعمل الخادم المخترق لإغراق مواقع أخرى بالطلبات، وبابا خلفيا مكتوبا بلغة Nim ينتحل صفة برنامج اسمه "sysmon". وفي 28 أكتوبر أضافت CISA ثغرة في نواة Linux، هي CVE-2026-46300، مشيرة إلى أنها يمكن أن تربط بـ PHP2Shell لزرع webshell بلغة PHP وتنفيذ أوامر بصلاحيات root، وهي أعلى درجة تحكم في الجهاز.

حتى 29 أكتوبر، لا يذكر أي تقرير علني متجرا اخترق عبر PHP2Shell، ولا يذكر أي مصدر برامج لسرقة بيانات البطاقات (card skimmers) نشرت عبرها. والباب الخلفي الذي زرع خلال الفترة السابقة لتطبيق التصحيح يمكن أن يبقى بعد التحديث، لذلك تبقى الفحوص الواردة في الأقسام التالية مهمة حتى على خادم محدث.

## هل موقعي بـ PHP معرض للثغرة؟[​](#هل-موقعي-بـ-php-معرض-للثغرة "رابط مباشر إلى هل موقعي بـ PHP معرض للثغرة؟")

كل نسخة PHP لا تتضمن تصحيحات أكتوبر معرضة. ووضعك يتوقف على الجهة التي تشغل PHP لك.

**منصة متاجر مستضافة.** المنصة تشغل PHP لك، فالمنصة هي التي يجب أن تطبق التصحيح. اسألها إن لم تقل شيئا (جواب DZBuild في آخر هذا الدليل).

**استضافة مشتركة مع cPanel أو Plesk.** تعرض لوحة التحكم إصدار PHP، لكن التوزيعات تحتفظ غالبا بالرقم القديم على نسخة مصححة. نشرت cPanel التصحيح في EasyApache 4 الإصدار 25.91 يوم 21 أكتوبر للحزم من ea-php74 إلى ea-php85. وتقول Plesk إن نسخ 7.4 و8.0 و8.1 المنتهية الدعم لديها تحتفظ برقم الإصدار نفسه، وإن التصحيح يعرف من تاريخ بناء 21 أكتوبر 2026 أو بعده.

**خادمك الخاص (VPS).** الأمر `php -v` يعرض PHP الخاص بسطر الأوامر، وقد يختلف عن PHP الذي يخدم صفحات موقعك. تحقق من سجل تغييرات الحزمة بدلا من ذلك:

```
php -v

# Debian and Ubuntu: replace 8.3 with your PHP branch

zgrep CVE-2026-109618 /usr/share/doc/php8.3-common/changelog.Debian.gz

# Red Hat, AlmaLinux, Rocky Linux

rpm -q --changelog php-common | grep CVE-2026-109618
```

وجود سطر يذكر رقم CVE يعني أن حزمتك تتضمن التصحيح. إخفاء الترويسة `X-Powered-By` بالإعداد `expose_php = Off` لا يحميك؛ وتحليل VirusTotal يلخص ذلك ببساطة: هذا يخفي الترويسة، لا الثغرة.

## كيف تصلح ثغرة PHP2Shell[​](#كيف-تصلح-ثغرة-php2shell "رابط مباشر إلى كيف تصلح ثغرة PHP2Shell")

**على الاستضافة المشتركة**، راسل مزود الاستضافة واطرح هذه الأسئلة الدقيقة: أي نسخة PHP تخدم موقعي، وهل تتضمن تصحيحات CVE-2026-109618 وCVE-2026-109619؟ وهل أعيد تشغيل عمال PHP بعد التحديث؟ الجواب الجيد يذكر 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، أو نسخة توزيعة تذكر الثغرتين معا، ويؤكد إعادة التشغيل.

**على خادم Debian أو Ubuntu**، ثبت التحديثات وأعد تشغيل PHP. تثبيت الحزمة لا يصحح عمليات PHP التي تعمل حاليا، لذلك إعادة التشغيل جزء من الإصلاح:

```
sudo apt update

sudo apt upgrade

# replace 8.3 with your branch

sudo systemctl restart php8.3-fpm

# if your site uses Apache with mod_php

sudo systemctl restart apache2
```

الحزم المصححة هي 8.2.35-1~~deb12u1 على Debian 12 و8.4.27-1~~deb13u1 على Debian 13 و8.3.6-0ubuntu0.24.04.13 على Ubuntu 24.04. وللتأكد من أن PHP-FPM الذي يعمل يستعمل الملف التنفيذي الجديد، شغل `sudo ls -l /proc/$(pgrep -o php-fpm)/exe`: كلمة `(deleted)` في النهاية تعني أن البرنامج القديم ما زال في الذاكرة وأن إعادة التشغيل لم تحدث.

**مع Docker**، اسحب صورة رسمية مصححة مثل `php:8.5.12-fpm` أو `php:8.4.27-apache` أو `php:8.3.36-fpm-alpine`، ثم أعد بناء صورتك ونشرها. لم تحصل صورة PHP الرسمية على أي تصحيح للإصدار 8.1 أو ما قبله.

**على PHP 8.1 أو ما قبله**، انتقل إلى فرع مدعوم. ينتهي دعم PHP 8.2 في 31 ديسمبر 2026، لذلك يمنحك 8.4 أو 8.5 وقتا أطول. وتوجد نسخ مصححة بأثر رجعي من مستودع Ondřej Surý ومن Remi وUbuntu Pro وFreexian وTuxCare إذا احتجت بضعة أسابيع إضافية.

**إذا لم تستطع التحديث اليوم**، يذكر مشروع PHP تدابير جزئية: اضبط `memory_limit=-1` بطريقة لا تستطيع التطبيقات تجاوزها، وحدد `post_max_size` عند 8M دون رفع ملفات أو 32M مع رفع الملفات، واضبط `session.upload_progress.enabled=0`، وعلى PHP 8.5 اضبط `fatal_error_backtraces=0`، ثم أعد تشغيل كل العمال. يقول مشروع PHP إن هذه التدابير لا تسد إلا بعض مسارات الهجوم، وتعتبر watchTowr تغييرات الإعدادات غير فعالة. وتحجب Cloudflare أنماط الهجوم المعروفة لعملاء WAF المجاني والمدفوع منذ 21 أكتوبر على الساعة 03:02 بتوقيت UTC. لا شيء من هذا يغني عن التحديث.

**بعد التصحيح**، ابحث عن الآثار: ملفات PHP لم ترفعها أنت، خاصة في مجلدات الرفع، ومهام cron لم تنشئها، وحسابات مدير جديدة، وطلبات POST تحتوي على `PHP_SESSION_UPLOAD_PROGRESS` في سجلاتك. إذا وجدت أيا منها، فنظف الخادم، ثم غير كلمة مرور قاعدة البيانات وكل مفتاح API محفوظ عليه.

## ثغرة PHP الثالثة: CVE-2026-115560[​](#ثغرة-php-الثالثة-cve-2026-115560 "رابط مباشر إلى ثغرة PHP الثالثة: CVE-2026-115560")

في 23 أكتوبر نشر مشروع PHP نشرة إعلامية عن مسار منفصل "غير مرجح" لتنفيذ الشيفرة في خاصية تقدم رفع الملفات في الجلسات. وهو يمس أيضا PHP المصحح بالكامل، بما فيه 8.5.12. ولا ينطبق إلا عندما يضبط تطبيق ما `session.serialize_handler` على `php_binary` أو `php_serialize` في إعداداته، ثم يغيره إلى `php` بالدالة `ini_set()` قبل بدء الجلسة.

سيصلحه مشروع PHP في إصداره الدوري القادم، الذي لم يحدد له تاريخ بعد، وسينشر النشرة الكاملة حينها. وإلى حين ذلك الإصدار، الحل المؤقت هو الإعداد نفسه المذكور أعلاه، `session.upload_progress.enabled=0`. وفي 29 أكتوبر لم تكن للثغرة درجة CVSS ولا سجل في NVD، ولم يبلغ عن أي استغلال.

## التحديث الأمني لـ Next.js في 14 أكتوبر 2026[​](#التحديث-الأمني-لـ-nextjs-في-14-أكتوبر-2026 "رابط مباشر إلى التحديث الأمني لـ Next.js في 14 أكتوبر 2026")

أعلن Next.js عن الإصدار في 8 أكتوبر ونشره في 14 أكتوبر. اثنان من تصحيحاته الثلاثة كانا قد أرجئا من الإصدار الأمني لـ 30 سبتمبر ريثما تنسق المشاريع التي يعتمد عليها (upstream) فيما بينها. والتصحيحات الثلاثة كلها في 16.4.1 و15.5.28.

**ثغرة `use cache` (GHSA-673q-mjm6-r5xr).** في التطبيقات التي تستعمل App Router مع Cache Components، يمكن أن تؤدي دالة `use cache` تعيد عدة مصفوفات من نوع typed array إلى تنفيذ شيفرة دون تسجيل الدخول. تمس الإصدارات من 16.0.0 إلى 16.4.0. يقول Next.js إنه لا يوجد حل مؤقت، ويطلب من كل مستعملي 16.x الترقية حتى إن لم تكن لديهم دالة كهذه. وصدر تصحيح React المقابل في اليوم نفسه في `react-server-dom-webpack` و`-turbopack` و`-parcel` بالإصدارات 19.0.9 و19.1.10 و19.2.9 و19.3.1. ولم يكن قد خصص لها أي رقم CVE في 29 أكتوبر.

**ثغرة تحسين الصور (CVE-2026-96889، GHSA-2464-fhr4-w9xw).** يغير Next.js حجم الصور عبر مكتبة sharp، التي تستعمل librsvg لقراءة ملفات SVG. خلل من نوع use-after-free في librsvg، يطلقه ملف SVG مصمم خصيصا، يمكن أن يؤدي إلى تنفيذ شيفرة عندما يعمل Next.js على Linux مبني على glibc. التصحيح هو sharp 0.35.5، الصادر في 27 سبتمبر مع librsvg 2.63.2. يرفع Next.js 16.4.1 و15.5.28 الحد الأدنى المطلوب من sharp، وكل إصدارات Next.js من 10.0.0 حتى هذين الإصدارين متأثرة. لا تحصر النشرة الأمنية الخطر في المواقع التي فعلت الخيار `dangerouslyAllowSVG`، ويدعي مستودع لطرف ثالث نشر في 16 أكتوبر وجود استغلال مخبري يعمل بالإعدادات الافتراضية. لم نختبر هذا الادعاء.

**ثغرة Server Actions (CVE-2026-94482، GHSA-p3m5-59mp-jv5r).** يمكن لطلبات مصممة خصيصا إلى تطبيق App Router فيه Server Action واحد على الأقل أن تستهلك المعالج بالكامل وتعطل كل الطلبات الأخرى في العملية نفسها، مما قد يوقف المتجر عن العمل. التطبيقات التي تعمل بـ Pages Router أو دون Server Actions غير معرضة. تمس الإصدار 13.0.0 وما بعده، ولا يوجد حل مؤقت.

لم تكن أي من الثلاث في قائمة CISA للثغرات المستغلة في 29 أكتوبر، ولم تجد Cloud Security Alliance أي تقارير عن استغلال فعلي حتى 15 أكتوبر. ولـ Next.js سابقة قريبة: ثغرة React2Shell (CVE-2025-55182)، بدرجة 10.0 (CVSS 3.1) في React Server Components، كشف عنها في ديسمبر 2025 ودخلت قائمة CISA بعد يومين من الكشف عنها.

**Next.js 13 و14 لم يحصلا على أي تصحيح.** كلاهما لم يعد مدعوما. آخر إصدارين كانا 14.2.35 في ديسمبر 2025 و13.5.11 في مارس 2025، ومع ذلك يقع الإصداران ضمن نطاق الإصدارات المتأثرة بثغرتي الصور وServer Actions. المخرج الوحيد هو 15.5.28 أو 16.4.1. ويواصل Next.js 15 تلقي الإصدارات الأمنية حتى 31 جانفي 2027.

## كيف تتحقق من متجر Next.js وتحدثه[​](#كيف-تتحقق-من-متجر-nextjs-وتحدثه "رابط مباشر إلى كيف تتحقق من متجر Next.js وتحدثه")

شغل هذه الأوامر في مجلد مشروعك:

```
npx next --version

npm ls next sharp

node -e "console.log(require('sharp').versions)"
```

المطلوب هو Next.js 16.4.1 أو 15.5.28 (أو أحدث)، وsharp 0.35.5 أو أحدث، وقيمة `rsvg` تساوي 2.63.2 أو أعلى في آخر نتيجة. الأمر `next info` لا يعرض sharp، فتحقق منه على حدة. للتحديث:

```
npm install next@16.4.1    # on Next.js 16

npm install next@15.5.28   # on Next.js 15

npm install sharp@^0.35.5
```

هناك فخ في Next.js 15: الإصدار 15.5.28 ما زال يقبل sharp 0.34.x، الذي لم يحصل أبدا على تصحيح، لذلك يبقيك ملف القفل (lockfile) الذي يثبت نسخة قديمة من sharp معرضا للخطر بعد ترقية Next.js. ثبت sharp صراحة كما هو موضح أعلاه. إذا كنت تنشر بالإعداد `output: 'standalone'` في Docker، فالصورة تحمل `node_modules` التي بنيت بها: أعد بناءها ونشرها. وعلى Netlify، يمكن أن تبقى معاينات النشر القديمة ونشرات الفروع معرضة إلى أن تحذف. لم نجد أي تصريح من Vercel بأن التطبيقات على منصتها حميت تلقائيا من هذه الثغرات الثلاث، لذلك قم بالترقية وأعد النشر هناك أيضا.

وكان لـ Node.js نفسه إصدار أمني في 21 أكتوبر يصلح 10 ثغرات CVE، منها خلل في مفكك ضغط Brotli (CVE-2026-111497) يمكن أن يؤدي إلى تنفيذ أوامر عن بعد. الإصدارات المصححة هي 22.23.4 و24.22.1 و26.12.1. وانتهى دعم Node.js 20 في 30 أفريل 2026 ولن يحصل على أي تصحيح.

## ثغرات أخرى في أكتوبر 2026 تمس المتاجر الإلكترونية[​](#ثغرات-أخرى-في-أكتوبر-2026-تمس-المتاجر-الإلكترونية "رابط مباشر إلى ثغرات أخرى في أكتوبر 2026 تمس المتاجر الإلكترونية")

* **Drupal Commerce Core (CVE-2026-118539):** تجاوز لصلاحيات الوصول مصنف "Highly critical" (حرج جدا)، نشر في 28 أكتوبر ومستغل فعليا. أصلح في 3.3.13 و8.x-2.41. وتطلب Drupal من المواقع مراجعة طلباتها بحثا عن أي تناقضات.
* **Magento وAdobe Commerce BlockStrap (CVE-2026-103849):** تنفيذ شيفرة دون تسجيل الدخول، بدرجة CVSS 10.0، أصلح في 13 أكتوبر في APSB26-153 مع تصحيحات يدوية لـ Magento Open Source 2.4.7-p10 و2.4.8-p5 و2.4.9. ولم تكن Sansec قد رصدت أي هجمات على متاجر تعمل بعد.
* **Adobe Commerce PolyShell (CVE-2026-48356):** ثغرة في رفع الملفات معروفة منذ مارس 2026، أضيفت إلى قائمة CISA للثغرات المستغلة في 27 أكتوبر.
* **حزم npm خبيثة:** نشرت قاعدة بيانات النشرات الأمنية في GitHub ما مجموعه 948 نشرة عن برمجيات npm خبيثة بين 1 و29 أكتوبر 2026. افحص أي حزمة تضيفها إلى متجر JavaScript قبل تثبيتها.

## قائمة تحقق لأصحاب المتاجر الذين يستضيفون مواقعهم بأنفسهم[​](#قائمة-تحقق-لأصحاب-المتاجر-الذين-يستضيفون-مواقعهم-بأنفسهم "رابط مباشر إلى قائمة تحقق لأصحاب المتاجر الذين يستضيفون مواقعهم بأنفسهم")

1. اعرف إصدار PHP الذي يخدم متجرك، من مزود الاستضافة أو بالأوامر المذكورة أعلاه.
2. حدث إلى PHP 8.5.12 أو 8.4.27 أو 8.3.36 أو 8.2.35، أو إلى نسخة توزيعة تذكر الثغرتين معا.
3. أعد تشغيل PHP-FPM أو Apache حتى يكون البرنامج الذي يعمل هو الجديد.
4. اترك PHP 8.1 وما قبله وانتقل إلى فرع مدعوم.
5. إذا كان متجرك يستعمل Next.js، فانتقل إلى 16.4.1 أو 15.5.28 وإلى sharp 0.35.5، ثم أعد البناء والنشر.
6. ابحث عن ملفات PHP ومهام cron وحسابات مدير لا تعرفها.
7. إذا بدا أي شيء غير طبيعي، فغير كلمة مرور قاعدة البيانات وكل مفتاح API بعد تنظيف الخادم.

## متاجر DZBuild: لا شيء عليك فعله[​](#متاجر-dzbuild-لا-شيء-عليك-فعله "رابط مباشر إلى متاجر DZBuild: لا شيء عليك فعله")

تجار DZBuild لا يديرون خوادم، لذلك لا تنطبق عليهم أي من الخطوات السابقة. كانت إصدارات PHP الأمنية الصادرة في 21 أكتوبر 2026 تعمل على خوادم DZBuild في 22 أكتوبر، أي في اليوم التالي لنشرها من مشروع PHP. واجهات متاجر DZBuild لا تستعمل Next.js، لذلك لا تصل إليها ثغرات 14 أكتوبر. وثغرة PHP الثالثة تتطلب إعدادا للجلسات لا تغيره DZBuild أبدا. لا يوجد ما تحدثه، ولا مزود استضافة تراسله، ولا خادم تعيد تشغيله.

إذا كنت تدير متجر WooCommerce أو PrestaShop على استضافتك الخاصة وتفضل البيع على قضاء أسبوع في التحديثات الأمنية، [أنشئ متجر DZBuild مجانا](https://dzbuild.com/register). الدفع عند الاستلام وقوائم الولايات والبلديات والربط مع شركات التوصيل كلها مدمجة.

## أسئلة شائعة[​](#أسئلة-شائعة "رابط مباشر إلى أسئلة شائعة")

**ما هي ثغرة PHP2Shell؟** PHP2Shell هو الاسم الذي أطلق على ثغرتين في محرك PHP، هما CVE-2026-109618 وCVE-2026-109619، نشرتا في 21 أكتوبر 2026. كلتاهما يمكن أن تسمح لمهاجم غير مسجل الدخول بتشغيل شيفرة برمجية على خادم ويب يعمل بـ PHP. يصنف مشروع PHP كلتيهما بدرجة 9.2 من 10 (CVSS 4.0، حرجة).

**ما هي إصدارات PHP التي تصلح ثغرة PHP2Shell؟** PHP 8.5.12 و8.4.27 و8.3.36 و8.2.35، الصادرة في 21 أكتوبر 2026. توزيعات Linux تنشر التصحيح بأرقام إصداراتها الخاصة، مثل 8.2.35-1\~deb12u1 على Debian 12 و8.3.6-0ubuntu0.24.04.13 على Ubuntu 24.04. ومن مشروع PHP نفسه، لم تحصل PHP 7.4 و8.0 و8.1 إلا على تصحيحات للشيفرة المصدرية، ولم تحصل PHP 7.3 وما قبلها على أي تصحيح.

**هل يصلح تحديث WordPress أو WooCommerce أو PrestaShop ثغرة PHP2Shell؟** لا. الثغرتان في محرك PHP، لا في برنامج المتجر. وحده تحديث PHP يصلحهما. وقالت PrestaShop ذلك بوضوح: تحديث PrestaShop أو وحداته لن يصلح هذا الخلل، ولا يوجد تصحيح من PrestaShop لتثبيته.

**هل ثغرة PHP2Shell مستغلة فعليا؟** نعم. رصدت Amazon أول محاولة في 17 أكتوبر 2026، أي قبل أربعة أيام من نشر التصحيح، وأضافت CISA الثغرتين إلى قائمتها للثغرات المستغلة فعليا (Known Exploited Vulnerabilities) في 26 أكتوبر 2026. وبحلول 29 أكتوبر سجلت شبكة مستشعرات عامة واحدة أكثر من 73,900 طلب استغلال من 676 عنوان IP في 73 دولة.

**كيف أعرف إن كان متجري قد اخترق عبر PHP2Shell؟** ابحث عن ملفات PHP لم ترفعها أنت، خاصة في مجلدات الرفع، ومهام cron لم تنشئها، وحسابات مدير جديدة، وطلبات POST تحتوي على PHP\_SESSION\_UPLOAD\_PROGRESS في سجلات الخادم. إذا وجدت أيا منها، فاعتبر الخادم مخترقا وغير كلمة مرور قاعدة البيانات وكل مفتاح API محفوظ عليه بعد تنظيفه.

**ما هي إصدارات Next.js التي تصلح ثغرات أكتوبر 2026؟** Next.js 16.4.1 و15.5.28، الصادران في 14 أكتوبر 2026. تأكد أيضا أن مكتبة الصور sharp في الإصدار 0.35.5 أو أحدث، لأن Next.js 15.5.28 ما زال يقبل نسخة أقدم من sharp تبقى معرضة للثغرة CVE-2026-96889.

**هل ما زال استعمال Next.js 14 آمنا؟** لا. Next.js 13 و14 لم يعودا مدعومين ولم يحصلا على أي تصحيح في أكتوبر 2026، مع أنهما يقعان ضمن نطاق الإصدارات المتأثرة بثغرة تحسين الصور وثغرة حجب الخدمة في Server Actions. الإصداران المصححان الوحيدان هما 15.5.28 و16.4.1.

**هل يحتاج تجار DZBuild إلى فعل أي شيء؟** لا. كانت إصدارات PHP الأمنية الصادرة في 21 أكتوبر 2026 تعمل على خوادم DZBuild في 22 أكتوبر، وواجهات متاجر DZBuild لا تستعمل Next.js، وثغرة PHP الثالثة تتطلب إعدادا للجلسات لا تغيره DZBuild أبدا. ليس على التجار تحديث أي شيء.

## المصادر[​](#المصادر "رابط مباشر إلى المصادر")

* PHP، إعلان الإصدار الأمني والنشرتان الأمنيتان GHSA-w8hw-w9fx-j79w وGHSA-6wmf-4rv5-p3rp، 21 أكتوبر 2026: [php.net](https://www.php.net/archive/2026.php)
* PHP Foundation، رواية الإصدار والتسريب، 21 أكتوبر 2026: [thephp.foundation](https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/)
* CISA، قائمة الثغرات المستغلة فعليا (Known Exploited Vulnerabilities)، نسخة 29 أكتوبر 2026: [cisa.gov](https://www.cisa.gov/known-exploited-vulnerabilities-catalog)
* Amazon Threat Intelligence، الاستغلال قبل الكشف عن الثغرة: [aws.amazon.com](https://aws.amazon.com/blogs/security/amazon-threat-intelligence-identifies-php2shell-exploitation-prior-to-public-disclosure-in-madpot/)
* بيانات الاستغلال المباشرة من Delft، محدثة في 29 أكتوبر 2026: [php2shell.delftintellab.com](https://php2shell.delftintellab.com/)
* Sansec، ثغرة PHP2Shell والمتاجر الإلكترونية، 21 أكتوبر 2026: [sansec.io](https://sansec.io/research/php2shell)
* Calif، التطبيقات المتأثرة: [calif.io](https://calif.io/php2shell/)
* Next.js، التحديث الأمني لـ 14 أكتوبر 2026: [nextjs.org](https://nextjs.org/blog/nextjs-security-update-october-14-2026)
* النشرة الأمنية لـ sharp رقم GHSA-wq5f-xc86-pv6w: [github.com](https://github.com/lovell/sharp/security/advisories/GHSA-wq5f-xc86-pv6w)
* Node.js، الإصدارات الأمنية لشهر أكتوبر 2026: [nodejs.org](https://nodejs.org/en/blog/vulnerability/october-2026-security-releases)
* Drupal، SA-CONTRIB-2026-254: [drupal.org](https://www.drupal.org/sa-contrib-2026-254)

## مقالات ذات صلة[​](#مقالات-ذات-صلة "رابط مباشر إلى مقالات ذات صلة")

* [كم يكلّف متجر WordPress في الجزائر في سنته الأولى](https://dzbuild.com/ar/ar/blog/wordpress-store-real-cost-algeria.md)
* [WooCommerce والدفع عند الاستلام في الجزائر: ما الذي تبنيه أنت بنفسك](https://dzbuild.com/ar/ar/blog/woocommerce-cash-on-delivery-algeria.md)
* [الثقة والأمان للتجارة الإلكترونية في الجزائر](https://dzbuild.com/ar/ar/blog/trust-security-algerian-ecommerce-reviews-fraud-prevention.md)