هشدار PHP درباره دو آسیب‌پذیری بحرانی؛ پچ‌های اضطراری امروز منتشر می‌شوند
امروز عصر قرار است پچ‌های اضطراری برای آسیب‌پذیری‌های خطرناک PHP منتشر شوند و از کاربران خواسته شده بلافاصله سیستم‌های خود را آپدیت کنند.
امروز عصر قرار است پچ‌های اضطراری برای آسیب‌پذیری‌های خطرناک PHP منتشر شوند و از کاربران خواسته شده بلافاصله سیستم‌های خود را آپدیت کنند. تیم امنیتی PHP به مدیران وب‌سایت‌ها هشدار داده است خود را برای نصب به‌روزرسانی‌های امنیتی اضطراری در روز چهارشنبه آماده کنند.
این به‌روزرسانی‌ها قرار است دو آسیب‌پذیری بحرانی را برطرف کنند؛ درحالی‌که گزارش‌ها از افشای اطلاعات این آسیب‌پذیری‌ها پیش از زمان‌بندی رسمی انتشار جزئیات آن‌ها حکایت دارند. PHP زیربنای بسیاری از وب‌سایت‌ها و اپلیکیشن‌های تحت وب، ازجمله سیستم‌های مدیریت محتوا، پلتفرم‌های تجارت الکترونیک و سرویس‌های اختصاصی وب است.
تیم توسعه PHP در اطلاعیه‌ای که روز سه‌شنبه منتشر شد، اعلام کرد به‌روزرسانی‌های امنیتی را چهارشنبه ۲۱ اکتبر، ساعت ۱۴ به وقت هماهنگ جهانی (۱۷:۳۰ به وقت ایران) منتشر می‌کند. هر دو آسیب‌پذیری در نسخه ۴.۰ سیستم امتیازدهی آسیب‌پذیری‌های امنیتی (CVSS) امتیاز ۹.۲ از ۱۰ گرفته‌اند.
تیم امنیتی PHP همچنین با ارسال پیامی در فهرست ایمیلی ANNOUNCE، از مدیران خواسته است برای نصب به‌روزرسانی‌ها بلافاصله پس از انتشار آماده باشند. آسیب‌پذیری‌های بحرانی PHP چه خطری دارند؟
توسعه‌دهندگان PHP هنوز جزئیات فنی این آسیب‌پذیری‌ها، ازجمله نسخه‌های تحت‌تأثیر، روش‌های سوءاستفاده و نسخه‌های اصلاح‌شده را اعلام نکرده‌اند. بااین‌حال، پژوهشگران امنیتی شرکت واچ‌تاور (watchTowr) به وب‌سایت BleepingComputer گفته‌اند این دو آسیب‌پذیری با شناسه‌های CVE-2026-109618 و CVE-2026-109619، از نوع اجرای کد از راه دور (RCE) هستند و احتمالاً نسخه‌های ۵، ۶، ۷ و ۸ PHP را تحت‌تأثیر قرار می‌دهند.
پژوهشگران واچ‌تاور می‌گویند موفق شده‌اند آسیب‌پذیری CVE-2026-109618 را بازتولید کنند، اما تا زمان انتشار وصله‌های امنیتی، جزئیات فنی آن را منتشر نخواهند کرد. آن‌ها همچنین تأکید کرده‌اند با وجود افشای زودهنگام اطلاعات، تاکنون شواهدی از سوءاستفاده عملی از این آسیب‌پذیری‌ها مشاهده نکرده‌اند.
توسعه‌دهندگان PHP پس از افشای اطلاعاتی منتسب به این آسیب‌پذیری‌ها که هنوز صحت آن‌ها تأیید نشده است، اطلاعیه امنیتی خود را منتشر کردند. گزارش منتشرشده ویدیویی از ابزار اکسپلویت موسوم به PHP2Shell را نشان می‌دهد که با اجرای کد روی وب‌سرورها، سامانه‌های مبتنی بر PHP را هدف قرار می‌دهد.
این ابزار روی نسخه‌های مختلف وردپرس ۷.۱.۳، مدیاویکی ۱.۴۶.۲، پی‌اچ‌پی بی‌بی ۳.۳.۱۷، مجنتو ۲.۴.۹، جوملا ۶.۲.۰، لاراول ۱۳.۳۶.۰ و ۸.۸۳.۲۹، سیمفونی ۸.۱.۹، دروپال ۱۱.۴.۱۰ و WHMCS ۹.۰.۹ نمایش داده شده است. دین کِنخت (Dane Knecht)، مدیر ارشد فناوری شرکت کلودفلر که در حوزه امنیت وب و فضای ابری فعالیت می‌کند، می‌گوید حملات درحال ظهور هستند و کلادفلر برای مقابله موقت با این تهدید، در حال به‌روزرسانی قوانین فایروال خود است.
تیم واکنش اضطراری رایانه‌ای اتحادیه اروپا (CERT-EU) روز سه‌شنبه در اطلاعیه‌ای اعلام کرد امتیاز ۹.۲ نشان‌دهنده خطر اجرای کد از راه دور بدون احراز هویت است؛ نوعی آسیب‌پذیری که به مهاجمان اجازه می‌دهد بدون ورود به سیستم، کد مخرب را روی سامانه‌های آسیب‌پذیر اجرا کنند. مرکز امنیت سایبری استرالیا (ACSC) نیز توصیه‌های مشابهی منتشر کرد و از سازمان‌ها خواست سامانه‌های مبتنی بر PHP در زیرساخت‌های خود را شناسایی کنند، برای نصب وصله‌های امنیتی آماده باشند و برنامه‌های کاربردی را از نظر نشانه‌های فعالیت مخرب زیر نظر بگیرند.