PHP2Shell: دو باگ بحرانی اجرای کد در PHP، پیش از انتشار وصله هدف حمله بودند
دو آسیب‌پذیری بحرانی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 در هسته PHP اجرای کد از راه دور بدون احراز هویت را ممکن می‌کنند؛ وصله‌ها منتشر شده است.
دو آسیب‌پذیری بحرانی در مفسر هسته PHP با نام مشترک «PHP2Shell» روز ۲۱ اکتبر ۲۰۲۶ همراه با وصله‌های اضطراری منتشر شد. این دو باگ به مهاجم اجازه می‌دهد بدون احراز هویت و تنها با ارسال درخواست به وب‌سرور، کد دلخواه اجرا کند. به گفته گزارش‌ها، تلاش برای سوءاستفاده از آن‌ها پیش از انتشار عمومی وصله‌ها هم دیده شده بود.
ماجرا چیست؟
شناسه این دو نقص CVE-2026-109618 و CVE-2026-109619 است و هر دو در مقیاس CVSS نسخه ۴ امتیاز ۹.۲ گرفته‌اند. بنا بر گزارش‌ها، مشکل اول به مدیریت نادرست وضعیت پس از تمام‌شدن حافظه مربوط است: اگر کمبود حافظه وسط آماده‌سازی نیمه‌کاره یک درخواست رخ دهد، کد پاک‌سازی ممکن است داده نامعتبر را معتبر فرض کند. مشکل دوم به ماندن وضعیت سراسری درخواست‌های قبلی مربوط است. وضعیت داخلی متعلق به یک درخواست می‌تواند بیش از عمر حافظه پشتیبانش باقی بماند و درخواست بعدی روی همان پردازشگر به داده مقداردهی‌نشده دسترسی پیدا کند.
به گفته منابع، یک درخواست بدون احراز هویت برای راه‌اندازی حمله کافی است و این اتفاق پیش از اجرای کد برنامه رخ می‌دهد؛ یعنی امن‌بودن کد خود سایت جلوی آن را نمی‌گیرد. تقریباً همه شیوه‌های اجرای PHP تحت وب آسیب‌پذیرند: PHP-FPM، Apache با mod_php، php-cgi، FrankenPHP و LiteSpeed. ریسک در حالت mod_php بیشتر ذکر شده است.
نکات کلیدی
- شناسه‌ها: CVE-2026-109618 و CVE-2026-109619 با امتیاز ۹.۲
- نسخه‌های وصله‌شده: 8.5.12، 8.4.27، 8.3.36 و 8.2.35
- برای شاخه‌های 7.4، 8.0 و 8.1 فقط وصله‌های حداقلی گزارش شده است
کشف و زمان‌بندی
پژوهشگران شرکت Calif این باگ‌ها را حین ممیزی امنیتی کد PHP در قالب ابتکار «Hack the Planet» از OpenAI و Wiz پیدا کردند. به نوشته تک‌کرانچ، نشانه‌های اولیه این مشکلات سال ۲۰۲۴ دیده شده بود، اما آن زمان قابل سوءاستفاده تشخیص داده نشد و قابلیت بهره‌برداری آن‌ها در ۲۰۲۶ تأیید شد. پژوهشگران گفته‌اند هوش مصنوعی در فرایند کمک کرده، ولی بخش عمده کار به دانش قبلی خودشان تکیه داشته است.
برپایه گزارش‌ها، نخستین نشانه‌های بهره‌برداری حدود ۱۷ اکتبر، یعنی چند روز پیش از انتشار وصله‌ها، ثبت شد. تا ۲۵ اکتبر هم فعالیت پس از نفوذ تأیید شده است، هرچند به گفته تک‌کرانچ تبدیل این نقص‌ها به حمله گسترده و پایدار کار ساده‌ای نبوده است. یک CDN بزرگ هم برای بردارهای شناخته‌شده قواعد فایروال وب منتشر کرده است.
چرا مهم است؟
طبق گزارش‌ها حدود ۷۰ درصد وب از PHP استفاده می‌کند و سیستم‌هایی مثل وردپرس، دروپال، جوملا و مدیاویکی روی آن اجرا می‌شوند. به گفته تک‌کرانچ، برخی بانک‌ها، فروشگاه‌ها، سایت‌های بازی، بیمارستان‌ها و نهادهای دولتی تحت تأثیر قرار گرفتند. سازمان امنیت سایبری آمریکا (CISA) هم به‌صورت علنی خواستار وصله فوری شده است.
برای برنامه‌نویس‌ها و مدیران سایت‌های فارسی‌زبان، که بخش بزرگی از آن‌ها روی وردپرس و PHP ساخته شده، اولویت اول به‌روزرسانی نسخه PHP روی همه سرورها، چه داخل ایران و چه خارج از کشور، است. اگر سایتی روی هاست اشتراکی است، باید از پشتیبانی میزبان پرسید که وصله اعمال شده یا نه. در سیستم‌هایی که امکان وصله فوری ندارند، منابع حتی از قطع موقت سرویس به‌عنوان گزینه آخر نام برده‌اند. بررسی لاگ‌ها برای درخواست‌های مشکوک و فایل‌های ناشناخته هم توصیه می‌شود.
جمع‌بندی
PHP2Shell نشان می‌دهد باگی که سال‌ها بی‌خطر به نظر می‌رسید می‌تواند ناگهان به تهدیدی گسترده تبدیل شود. وصله‌ها در دسترس است و مهم‌ترین کار، به‌روزرسانی سریع به یکی از نسخه‌های ۸.۵.۱۲، ۸.۴.۲۷، ۸.۳.۳۶ یا ۸.۲.۳۵ و بررسی نشانه‌های نفوذ احتمالی است.
منابع
- TechCrunch: PHP-ocalypse: How two critical web bugs almost broke the internettechcrunch.com
- Help Net Security: PHP2Shell: Critical PHP vulnerabilities patched, update now!helpnetsecurity.com
این خبر بر اساس منابع بالا به فارسی بازنویسی و خلاصه شده است؛ برای جزئیات کامل به منبع اصلی مراجعه کنید.