يعمل WordPress بلغة PHP، وإصدار PHP هو ما يحدد هل لا يزال موقعك يتلقى الإصلاحات الأمنية. في أكتوبر 2026 اكتُشفت في PHP ثغرتان حرجتان لا يمكن سدّهما إلا بتحديث PHP نفسه. ولم يكن لتحديث WordPress أي أثر عليهما. ستجد في هذا الدليل طريقة معرفة إصدار PHP في دقيقتين، وأي إصدار هو الآمن، وكيف تحدّثه دون أن يتعطل موقعك.
PHP2Shell: لماذا يهمّ إصدار PHP الآن
في 21 أكتوبر 2026 أصدر مشروع PHP إصلاحات لثغرتين حرجتين (CVE-2026-109618 وCVE-2026-109619) تُعرفان باسم PHP2Shell. تبلغ درجة خطورة كل منهما 9.2/10 (CVSS 4.0). وفي أسوأ الأحوال يستطيع المهاجم تنفيذ أوامره على الخادم دون تسجيل الدخول. وفي خوادم Apache التي تستخدم mod_php قد يبدأ الهجوم قبل أن تُنفَّذ أي شيفرة من WordPress أصلًا.
تشمل الثغرات جميع إصدارات كل فرع من فروع PHP السابقة للإصدار التصحيحي: 8.2.35 و8.3.36 و8.4.27 و8.5.12. أما PHP 8.1 والإصدارات الأقدم فلم تعد تتلقى أي تحديثات من مشروع PHP. وفي 23 أكتوبر أعلن PHP عن ثغرة ثالثة (CVE-2026-115560) يتطلب استغلالها مزيجًا نادرًا من الإعدادات وشيفرة التطبيق. وستُعالج هذه الثغرة في الإصدار الاعتيادي القادم.
وفقًا للمركز الوطني للأمن السيبراني في فنلندا (NCSC-FI)، لم تكن هناك في 21 أكتوبر أي معلومات عن استغلال فعلي لهذه الثغرات، لكن أمثلة شيفرة عاملة كانت موجودة بالفعل، لذا قد يتغير الوضع بسرعة.
تصدر إصلاحات أمنية للغة PHP عدة مرات في السنة، لكنها لا تصل إلا إلى فروع الإصدارات المدعومة. يتلقى كل فرع إصلاحات لنحو أربع سنوات، أما الثغرات التي تُكتشف بعد ذلك فتبقى مفتوحة. لذلك يُستحسن أن تتحقق من إصدار PHP بانتظام، لا فقط حين تتصدر ثغرة ما الأخبار.
كيف تتحقق من إصدار PHP
من لوحة تحكم WordPress
- سجّل الدخول إلى WordPress بحساب مدير.
- من القائمة الجانبية اختر أدوات ← صحّة الموقع (في واجهة WordPress الإنجليزية: Tools → Site Health).
- افتح تبويب معلومات (Info)، ثم قسم الخادم (Server).
- يظهر في سطر إصدار PHP (PHP version) رقم الإصدار الدقيق، مثل 8.3.36.
انظر إلى الرقم كاملًا. الفرع (8.3) يخبرك هل لا يزال الإصدار مدعومًا، والرقم الأخير (36) يخبرك هل ثُبّت آخر إصلاح. وإذا كان الإصدار قديمًا، يعرض WordPress في لوحة التحكم أيضًا التحذير تحديث PHP مطلوب. لكن لا تنتظر ظهور التحذير، وتحقق من الرقم بنفسك.
من لوحة تحكم الاستضافة
لدى معظم شركات الاستضافة يمكنك رؤية إصدار PHP وتغييره من لوحة التحكم. في cPanel يحمل هذا القسم عادةً اسم MultiPHP Manager أو Select PHP Version، وفي Plesk تجده ضمن إعدادات PHP لكل نطاق. وإذا لم تجده، فاسأل مزوّد الاستضافة عن إصدار PHP على موقعك، وهل ثُبّت إصلاح أكتوبر 2026.
من الخادم (لمديري الأنظمة)
على خادمك الخاص، يعرض الأمر php -v إصدار PHP الخاص بسطر الأوامر. وقد لا يكون هو نفسه الذي يشغّل الموقع، لأن خادم الويب قد يستخدم إصدارًا آخر عبر PHP-FPM أو وحدة Apache. وأدق معلومة تجدها في صفحة صحّة الموقع في WordPress.
كثيرًا ما تنقل توزيعات Linux مثل Debian وUbuntu وRed Hat الإصلاحات إلى حزمها الخاصة دون تغيير رقم الإصدار. لذا قد يبدو الرقم قديمًا رغم أن الإصلاح مثبّت. في هذه الحالة راجع سجل تغييرات الحزمة لترى هل تُذكر فيه معرّفات CVE.
ما إصدار PHP الآمن؟
الإصدار الآمن يستوفي شرطين: أن يكون فرعه لا يزال يتلقى إصلاحات أمنية، وأن يكون على الخادم أحدث إصدار تصحيحي من هذا الفرع. في أكتوبر 2026 يبدو الوضع هكذا:
| فرع PHP | نهاية الدعم الأمني | إصدار إصلاح PHP2Shell |
|---|---|---|
| 8.5 | 31 ديسمبر 2029 | 8.5.12 |
| 8.4 | 31 ديسمبر 2028 | 8.4.27 |
| 8.3 | 31 ديسمبر 2027 | 8.3.36 |
| 8.2 | 31 ديسمبر 2026 | 8.2.35 |
| 8.1 والأقدم | انتهى (8.1: 31 ديسمبر 2025، 7.4: 28 نوفمبر 2022) | لا يوجد إصدار رسمي |
يوصي WordPress باستخدام PHP 8.3 أو أحدث. ولا يزال يعمل على PHP 7.4، لكن wordpress.org يحذّر من أن الإصدار القديم قد يعرّض الموقع لمشكلات أمنية. ينتهي دعم PHP 8.2 في نهاية 2026، فإذا كان موقعك يستخدمه، فخطّط من الآن للانتقال إلى 8.3 أو 8.4.
بالنسبة إلى الإصدارات 7.4 و8.0 و8.1، أصدر فريق أمن PHP إصلاح PHP2Shell على هيئة شيفرة مصدرية فقط، لمن يبنون PHP بأنفسهم. وتُعِدّ بعض توزيعات Linux ومزوّدي الاستضافة حزمًا مصحّحة خاصة بهم للإصدارات القديمة. ومع ذلك يبقى الحل الدائم هو الانتقال إلى إصدار مدعوم.
كيف تحدّث PHP
في الاستضافة المشتركة
في الاستضافة المشتركة يثبّت المزوّد عادةً إصلاحات الفرع نفسه (مثل 8.3.35 ← 8.3.36). أما تغيير الفرع (مثل 8.1 ← 8.3) فتقوم به غالبًا بنفسك من لوحة التحكم. اتبع هذه الخطوات:
- خذ نسخة احتياطية من الملفات وقاعدة البيانات. توفّر كثير من شركات الاستضافة ذلك في لوحة التحكم.
- حدّث WordPress والقوالب والإضافات. فالإضافة أو القالب القديم سبب شائع لتعطّل الموقع عند تحديث PHP.
- اختبر أولًا على نسخة من الموقع إذا كانت الاستضافة توفّر بيئة اختبار (staging).
- غيّر إصدار PHP من لوحة التحكم.
- راجع الموقع: الصفحة الرئيسية والنماذج وصفحة الدفع في المتجر الإلكتروني ولوحة التحكم. وتأكد في صفحة صحّة الموقع من أن الإصدار الجديد مُفعّل.
إذا تعطّل شيء، فارجع مؤقتًا إلى الإصدار السابق، وأصلح الإضافة المسببة للمشكلة أو استبدلها، ثم حاول مجددًا. لا تبقَ على الإصدار القديم.
على خادمك الخاص
- ثبّت حزم PHP المحدّثة من توزيعتك (مثل
apt upgradeأوdnf upgrade) أو ابنِ الإصدار المصحّح بنفسك. - أعد تشغيل PHP-FPM وApache وسائر العمليات التي تشغّل PHP، مثل المهام الخلفية. لا يسري الإصلاح إلا بعد ذلك.
- إذا كان الموقع يعمل في حاوية، فابنِ صورة حاوية جديدة على أساس PHP المصحّح وانشرها.
- تحقق في النهاية من الإصدار في صفحة صحّة الموقع.
إذا تعذّر التحديث فورًا
بحسب PHP، الإصلاح الكامل الوحيد هو التحديث. وإذا تأخر، يستطيع مدير الخادم تقليل الخطر بإعدادات توصي بها نشرات PHP الأمنية. أما في الاستضافة المشتركة فعادةً ما يقرر المزوّد هذه الإعدادات.
session.upload_progress.enabled=0يمنع طرق الهجوم المؤكدة على الثغرتين CVE-2026-109619 وCVE-2026-115560. وبحسب PHP يُستحسن إبقاء هذا الإعداد معطّلًا حتى بعد التحديث إذا لم تكن بحاجة إلى هذه الميزة.- في PHP 8.5 يزيل
fatal_error_backtraces=0طريقة هجوم مؤكدة أخرى.
لا يحمي أيّ من الإعدادين من الثغرة CVE-2026-109618. قد تكسبك الإعدادات بعض الوقت، لكنها لا تغني عن التحديث.
الأسئلة الشائعة
هل يحدّث WordPress إصدار PHP تلقائيًا؟
لا. يحدّث WordPress نفسه، لكن PHP برنامج على الخادم يحدّثه مزوّد الاستضافة أو مدير الخادم. لذلك لا يعالج تحديث WordPress ثغرات PHP2Shell.
أي إصدار من PHP أختار لموقع WordPress؟
يوصي WordPress باستخدام PHP 8.3 أو أحدث. في أكتوبر 2026 يُعد 8.3 و8.4 خيارين جيدين، بشرط تثبيت آخر إصلاح وأن تدعم إضافاتك الإصدار.
هل يعطّل تحديث PHP الموقع؟
الإصدار التصحيحي ضمن الفرع نفسه، مثل 8.3.35 ← 8.3.36، نادرًا ما يعطّل شيئًا. أما تغيير الفرع فقد يعطّل إضافة أو قالبًا قديمًا، لذا خذ نسخة احتياطية واختبر أولًا.
هل لا يزال PHP 7.4 آمنًا؟
لا. انتهى دعمه الأمني في 28 نوفمبر 2022. لا يزال WordPress يعمل على 7.4، لكن wordpress.org يحذّر من أن الإصدار القديم قد يعرّض الموقع لمشكلات أمنية.
كيف أعرف هل ثبّتت شركة الاستضافة إصلاح PHP2Shell؟
انظر إلى رقم إصدار PHP كاملًا في صفحة صحّة الموقع، وقارنه بالجدول أعلاه. إذا كان الرقم أصغر، فاسأل المزوّد هل الإصلاح مضمّن في حزمتهم.
إذا عطّل تحديث PHP إحدى الإضافات أو احتجت إلى من يتولى صيانة موقعك، تواصل معنا. نساعدك في تحديث تطبيقات WordPress وPHP.
المصادر
- المركز الوطني للأمن السيبراني في فنلندا (NCSC-FI): Kriittisiä haavoittuvuuksia PHP:ssa (37/2026) (بالفنلندية)
- PHP: Security advisory: Critical remote code execution vulnerabilities, update now (بالإنجليزية)
- PHP: RCE via OOM corruption, CVE-2026-109618 (بالإنجليزية)
- PHP: RCE via stale global state, CVE-2026-109619 (بالإنجليزية)
- PHP: الإصدارات المدعومة (بالإنجليزية)
- WordPress: المتطلبات (بالإنجليزية)
