أعلن فريق PHP في 21 أكتوبر 2026 عن ثغرتين حرجتين يمكن أن تسمحا لمهاجم غير مسجل بتنفيذ كود على الخادم قبل أن يبدأ كود الموقع نفسه. الخطر يشمل المواقع التي تستقبل طلبات ويب عبر PHP-FPM أو Apache mod_php أو php-cgi أو FrankenPHP أو LiteSpeed.
ما الإصدارات التي أغلقت الثغرتين؟
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
ما الذي تفعله اليوم؟
- تحقق من إصدار PHP في لوحة الاستضافة أو عبر مسؤول الخادم.
- حدّث إلى أحد الإصدارات الآمنة أعلاه، ثم أعد تشغيل خدمة PHP وخادم الويب.
- راجع السجلات لأي طلبات غير معتادة قبل التحديث، خصوصًا إذا كنت تستخدم mod_php.
- اختبر تسجيل الدخول والطلبات والدفع بعد الترقية، واحتفظ بنسخة احتياطية حديثة.
هل موقع إيفان كود متأثر؟
موقع إيفان كود مبني على Next.js ولا يشغّل PHP، لذلك هذه الثغرتان لا تنطبقان على بنيته. نشرنا التنبيه لأن عددًا كبيرًا من مواقع العملاء والأسواق العربية يعمل على PHP وWordPress، ولأن تأخير تحديث الخادم يترك الخطر قائمًا حتى لو كان التطبيق نفسه محدثًا.