كيفية التحقق مما إذا كانت تطبيقاتك المستضافة ذاتيًا تستخدم إصدارًا ضعيفًا من PHP

إيفا وونغ

IceWhale author

إيفا وونغ هي كاتبة تقنية و ومهندسة هاوية في ZimaSpace. مهووسة بالتكنولوجيا مدى الحياة ولديها شغف بالمختبرات المنزلية والبرمجيات مفتوحة المصدر، تتخصص في تبسيط المفاهيم التقنية المعقدة إلى أدلة عملية وسهلة الفهم. تؤمن إيفا بأن الاستضافة الذاتية يجب أن تكون ممتعة وليست مخيفة. من خلال دروسها، تمكّن المجتمع من تبسيط إعدادات الأجهزة، بدءًا من بناء أول نظام تخزين شبكي NAS وحتى إتقان حاويات Docker.

Conceptual guide: CHECK THE RUNNING PHP. Identify service; Inspect runtime; Verify vendor fix.

قد يشغّل المضيف عدة إصدارات من PHP في الوقت نفسه. وقد يكون الإصدار الذي يعرضه سطر أوامر SSH خاصًا بأداة سطر أوامر، بينما يستخدم موقع عام وقت تشغيل مختلفًا. لتقييم ثغرات PHP في أكتوبر 2026، اربط كل نتيجة إصدار بتطبيق وخدمة فعليين.

افحص البيئة التي تخدم التطبيق، لا PHP الخاص بسطر الأوامر على المضيف فحسب. قارن فرع وقت التشغيل الدقيق أو مراجعة حزمة التوزيعة بالتنبيه الأمني المنطبق، مع مراعاة الإصلاحات الخلفية التي يوثّقها المورّد، وأزل أي صفحة تشخيص مؤقتة بعد الفحص.

1. حدّد التطبيقات المعتمدة على PHP

أعدّ قائمة بالتطبيقات وطرق تثبيتها ومسارات الوصول الخارجية. راجع وثائق التطبيق أو بيانات الحزمة لتحديد ما إذا كان يستخدم PHP. أدرج الخدمات المساندة، مثل مشغّلات cron وأنظمة قوائم الانتظار، عند استخدامها صورة التطبيق نفسها.

لا تستنتج استخدام PHP من العلامة التجارية لجهاز NAS. فالجهاز الذي يشغّل مجموعة من التطبيقات يحتاج إلى تقييم كل خدمة على حدة.

2. افحص عملية نشر باستخدام Compose

docker compose ps
docker compose images
docker compose exec -T app php -v
docker compose exec -T app php --ini

نفّذ هذه الأوامر من مجلد مشروع Compose المقصود؛ واستبدل app بالخدمة التي تحتوي على PHP. تحدد الأوامر الحاويات الحالية وتستعلم عن الملف الثنائي داخل تلك الخدمة. إذا كان PHP يعمل في خدمة منفصلة باسم php أو fpm، فافحص تلك الخدمة بدلًا منها.

عدم وجود الملف التنفيذي php لا يثبت أن التطبيق آمن. فقد تتطلب الصور المصغّرة أو مسارات الملفات الثنائية البديلة أو خدمات وقت التشغيل المنفصلة استخدام طريقة الفحص التي يحددها المشرف. لا تثبّت حزمًا في حاوية إنتاج لمجرد إكمال التحقق من الإصدار.

3. افحص PHP المثبّت على المضيف

command -v php
php -v
php --ini

تصف هذه الأوامر إصدار PHP في الصدفة. بعد ذلك، افحص إعداد خادم الويب ومدير الخدمات لتحديد مجموعة PHP-FPM أو وحدة Apache أو المعالج الآخر الذي يخدم الموقع. تحقّق من إصدار حزمة ذلك المكوّن وتنبيه المورّد الأمني. توضّح وثائق PHP أن مواقع الإعدادات وسلوكها يختلفان حسب واجهة الخادم.

إذا كانت لوحة المعلومات تعرض معلومات خاصة ببيئة التشغيل لخدمة الويب الفعلية، فيمكن استخدامها كمصدر إضافي لسجل الأصول. لا تُبقِ صفحة phpinfo() عامة على الإنترنت؛ فقد تكشف تفاصيل لا صلة لها بهذا الفحص.

4. قارن الأدلة بالتنبيه الأمني

في حادثة 21 أكتوبر، إصدارات PHP الأمنية الصادرة من المشروع الأساسي هي 8.2.35 و8.3.36 و8.4.27 و8.5.12. وقد يتضمن إصدار مدعوم لاحق من الفرع نفسه هذه الإصلاحات. إذا كانت إحدى التوزيعات تنقل إصلاحات الأمان إلى إصداراتها السابقة، فاعتمد مراجعة الحزمة والتنبيه الأمني الخاص بها، بدلًا من رفض الحزمة أو اعتمادها استنادًا إلى رقم الإصدار الظاهر وحده.

سجّل النتيجة بإحدى ثلاث حالات: تم تأكيد الإصلاح، أو تم تأكيد التأثر، أو لم يُحسم الأمر بانتظار أدلة من المورّد. بالنسبة إلى البرامج التي انتهى عمرها الافتراضي، حدّد ترقية إلى إصدار مدعوم أو إصلاحًا صريحًا من مورّد يتولى صيانتها. ينبغي أن تظل النتيجة غير المحسومة ظاهرة في قائمة الصيانة.

5. تأكد مما يحدث بعد التحديث

كرّر الفحوص نفسها بعد النشر، بما في ذلك للمهام العاملة والحاويات المنفصلة. سجّل معرّف الصورة أو مراجعة الحزمة وحالة إعادة التشغيل. اختبر طلبًا عاديًا موثّقًا والوظائف التي تستخدمها أسرتك فعليًا.

على سحابة ZimaCube 2 الشخصية، احتفظ بهذا السجل مع إعدادات التطبيق وإرشادات النسخ الاحتياطي. والنتيجة المفيدة هي عبارة قابلة للتتبع مثل «يستخدم هذا التطبيق بيئة التشغيل المصححة هذه»، بدلًا من «تم تحديث جهاز NAS». إذا عثرت على حاوية متأثرة، فاتبع دليل التحديث المرتبط قبل تغيير وحدات تخزين بياناتها.

استكشف جهاز ZimaCube 2 NAS سحابي منزلي شخصي لتخزينك الخاص وإعداد التطبيقات المستضافة ذاتيًا. يعتمد أمان البرامج على الخدمات المثبتة وتهيئتها والتحديثات التي تم التحقق منها.