التاريخ: 21 أكتوبر 2026
الجهة المصدرة: فريق أمن منصة ضروري (Darory Security Team)
التصنيف: تنبيه أمني عاجل / تحديثات بنية تحتية
المقدمة
أصدر فريق أمن لغة البرمجة PHP تنبيهاً أمنياً مبكراً وبصورة استباقية، يعلن فيه عن نيتها إطلاق إصدارات أمنية جديدة وطارئة في يوم الأربعاء، 21 أكتوبر 2026، في تمام الساعة 14:00 بتوقيت UTC.
يأتي هذا التحديث لمعالجة ثغرتين أمنيتين شديدتي الخطورة تم تصنيفهما وفق المعيار العالمي لتقييم الثغرات (CVSSv4) بـ 9.2 من 10. ويعكس هذا التقييم المرتفع خطورة الثغرتين وقدرتهما المحتملة على فتح ثغرات تنفيذ أوامر برمجية عن بُعد أو اختراق كلي للأنظمة غير المحدثة.
كما شدد فريق PHP على أنه وفي حال تسريب أي تفاصيل تقنية حول هاتين الثغرتين أو ظهور أدلة على استغلالهما فعلياً في الفضاء الرقمي، فسوف يتم طرح الإصدارات الأمنية في وقت أبكر من الموعد المحدد.
خطة وإجراءات فريق "ضروري" لتأمين الخوادم والخدمات
استجابةً لهذا التنبيه الأمني، وقبل طرح الإصدارات الرسمية، قامت إدارة البنية التحتية والأمن السيبراني في منصة ضروري (Darory) بتنفيذ خطة استجابة متكاملة لحماية خوادم الشركة والخدمات المستضافة عليها، وتتلخص الخطوات في المحاور التالية:
1. تقييد حركة المرور وحظر الوصول المباشر للخوادم
إخفاء الأجهزة والخوادم: تم تعديل وفحص قواعد جدار الحماية (Firewall) للتأكد من منع الوصول المباشر عبر عنوان الـ IP الخاص بالخوادم من شبكة الإنترنت العامة.
التمرير عبر الوكلاء الأمنيية: تمرير كافة طلبات الزوار حصرياً عبر جدران حماية تطبيقات الويب (WAF) وشبكات توزيع المحتوى (مثل Cloudflare أو bunny.net)، مما يضمن تصدّي هذه الطبقات للهجمات والمحاولات العشوائية قبل وصولها إلى بيئة PHP.
2. عزل البيئات والمستخدمين على مستوى النظام
الفصل التام للأنظمة: التأكد من إيقاف وإعادة ضبط صلاحيات الوصول بحيث يعزل كل موقع أو خدمة داخل بيئة خاصة وحساب مستخدم منفصل (System User) ذي صلاحيات محدودة.
منع الاختراق المتبادل: يضمن هذا العزل عدم قدرة المهاجم على الانتقال بين بيئات المواقع الأخرى المجاورة في حال تم استهداف جزء محدد.
3. تقليل مساحة الهجوم على بيئة PHP
تعطيل الدوال الخطرة: مراجعة وتحديث ملف التكوين الرئيسي php.ini لتعطيل كافة الدوال التي تتيح التفاعل المباشر مع نظام التشغيل، وأبرزها:
exec, shell_exec, passthru, system, popen, proc_open, show_source
تحديد الصلاحيات: تقييد مسارات قراءة وكتابة الملفات داخل النطاقات المخصصة بكل تطبيق فقط.
4. إدارة التحديثات التلقائية واليدوية
الخدمات المدارة سحابياً: بالنسبة للتطبيقات المدارة آلياً (مثل منصات Laravel Cloud)، تم فحص آليات الترقية التلقائية للتأكد من تطبيق التحديث الفوري بمجرد توفر الحزم الأمنية الرسمية.
الخوادم الخاصة (Plesk / Ubuntu): تجهيز مستودعات التحديث وتجربة سيناريوهات التحديث على بيئات الاختبار لترقية PHP إلى أحدث إصدار فرعي آمن (مثل 8.3 و 8.4) بدون التسبب في أي توقف للخدمات.
5. الحماية ضد المحاولات العشوائية ومراقبة السجلات
تأمين الواجهات: تفعيل المصادقة المشددة، وتطبيق حظر آلي لطلبات إعادة تعيين كلمات السر والواجهات العامة لحمايتها من هجمات التخمين (Brute-Force).
المراقبة المستمرة: تشغيل أدوات مراقبة سجلات النظام (Access Logs) في الوقت الفعلي لرصد أي سلوك غير معتاد قبل وأثناء فترة التحديث.
توصياتنا لعملاء ومستخدمي "ضروري"
الاستعداد الفوري: تجهيز فريق الدعم الفني لديك لتطبيق تحديثات PHP فور توفرها.
فحص التوافق: التأكد من اختبار بيئة العمل للتأكد من عدم تعارض التحديثات الأمنية مع النظم البرمجية المستعملة.
المتابعة: البقاء على اطلاع مستمر عبر قنواتنا وإعلانات PHP الرسمية.