بنیاد PHP اعلام کرد که دو آسیب‌پذیری بحرانی در این زبان برنامه‌نویسی شناسایی شده است که می‌تواند منجر به اجرای کد از راه دور (Remote Code Execution یا RCE) شود. با وجود اینکه جزئیات فنی دقیق هنوز به صورت عمومی منتشر نشده است، اما امتیاز CVSS برای این دو آسیب‌پذیری، یعنی CVE-2026-109618 و CVE-2026-109619، معادل 9.2 گزارش شده است. این امتیاز نشان‌دهنده شدت بالای خطر و امکان اجرای کد بدون نیاز به احراز هویت (Unauthenticated RCE) است.
این آسیب‌پذیری‌ها تمامی نسخه‌های PHP از نسخه 5 به بعد را تحت تأثیر قرار می‌دهند. تیم توسعه PHP زمان انتشار وصله‌های امنیتی را برای تاریخ 21 اکتبر 2026، ساعت 14:00 UTC برنامه‌ریزی کرده است.
توصیه‌های امنیتی برای سازمان‌ها
با توجه به ماهیت بحرانی این تهدید، سازمان‌ها و مدیران امنیت (SOC Managers) باید اقدامات زیر را در دستور کار قرار دهند:
- شناسایی فوری تمامی اپلیکیشن‌ها، سرویس‌ها و زیرساخت‌هایی که از PHP استفاده می‌کنند.
- آماده‌سازی برای اعمال فوری وصله‌های امنیتی (Patching) بلافاصله پس از انتشار نسخه‌های اصلاح‌شده توسط بنیاد PHP.
- در صورتی که اعمال وصله در کوتاه‌مدت امکان‌پذیر نیست، اپلیکیشن‌های متصل به اینترنت (Internet-facing) را از شبکه‌های عمومی ایزوله کنید تا زمان رفع آسیب‌پذیری.
سازمان CERT-EU نیز به شدت توصیه کرده است که سازمان‌ها برای مقابله با این تهدید، آمادگی پاسخگویی و اعمال وصله‌ها را داشته باشند.
به‌روزرسانی (اکتبر 21, 2026 — BleepingComputer)
به‌روزرسانی: گزارش‌های جدید نشان می‌دهند که آسیب‌پذیری‌های شناسایی شده تحت شناسههای CVE-2026-109618 و CVE-2026-109619، از نوع اجرای کد از راه دور (RCE) هستند. این نقص‌های امنیتی طیف گسترده‌ای از نسخه‌های PHP شامل نسخه‌های 5، 6، 7 و 8 را تحت تأثیر قرار می‌دهند.
تیم امنیتی PHP اعلام کرده است که انتشار وصله‌های امنیتی برای رفع این دو آسیب‌پذیری (با امتیاز CVSS 9.2) برای تاریخ 21 اکتبر ساعت 14:00 UTC برنامه‌ریزی شده است. با وجود اینکه اطلاعات مربوط به این آسیب‌پذیری‌ها پیش از موعد مقرر لو رفته است، تا این لحظه شواهدی مبنی بر بهره‌برداری فعال (Active Exploitation) در محیط‌های عملیاتی مشاهده نشده است.
به‌روزرسانی (اکتبر 21, 2026 — arstechnica.com)
به‌روزرسانی:
جزئیات جدیدی از آسیب‌پذیری‌های بحرانی PHP منتشر شده است که شامل دو شناسه CVE-2026-109618 و CVE-2026-109619 می‌باشد. گزارش‌ها حاکی از وجود یک ابزار اکسپلویت (Exploit Tool) به نام PHP2Shell است که توانایی اجرای کد از راه دور (RCE) را بر روی طیف گسترده‌ای از سیستم‌های مدیریت محتوا (CMS) و فریم‌ورک‌ها از جمله WordPress، Magento، Laravel و Drupal نشان داده است.
تحلیلگران امنیتی هشدار داده‌اند که این آسیب‌پذیری‌ها تمامی نسخه‌های PHP از نسخه ۵ تا نسخه‌های فعلی را تحت تأثیر قرار می‌دهند و تخمین زده می‌شود که حدود ۱.۳ میلیون میزبان (Host) متصل به اینترنت در معرض خطر باشند. با توجه به اینکه انتظار می‌رود حملات گسترده بلافاصله پس از انتشار وصله‌های امنیتی (Patches) آغاز شود، مدیران سیستم باید آمادگی کامل برای به‌روزرسانی فوری را داشته باشند.
به‌روزرسانی (اکتبر 21, 2026 — blog.qualys.com)
به‌روزرسانی: گزارش‌های جدید نشان می‌دهند که آسیب‌پذیری CVE-2026-109619 نیز به این انتشار امنیتی حساس مربوط می‌شود. این شناسه در کنار CVE-2026-109618، هر دو دارای امتیاز بحرانی CVSS 9.2 هستند که امکان اجرای کد از راه دور (RCE) را فراهم می‌کنند.
تیم امنیتی PHP هنوز جزئیات فنی دقیق یا نسخه‌های تحت تأثیر را منتشر نکرده است، اما انتظار می‌رود این اطلاعات همزمان با انتشار وصله‌ها (Patches) در دسترس قرار گیرد. توصیه می‌شود مدیران سیستم‌ها و تیم‌های پاسخ به حوادث برای به‌روزرسانی فوری بلافاصله پس از انتشار وصله‌ها آماده باشند.
به‌روزرسانی (اکتبر 21, 2026 — Malware News)
به‌روزرسانی:
تحقیقات جدید، جزئیات فنی دقیق‌تری از آسیب‌پذیری‌های سری PHP2Shell، به‌ویژه CVE-2026-109619، ارائه کرده است. این آسیب‌پذیری در هنگام پردازش درخواست‌های multipart/form-data توسط موتور PHP فعال می‌شود. نکته کلیدی این است که این نقص امنیتی مستقیماً با پیکربندی session.upload_progress.enabled در ارتباط است؛ اگر این گزینه فعال باشد، مهاجم می‌تواند از طریق ارسال درخواست‌های خاص، فرآیند پردازش داده‌ها را مختل کند.
بر اساس تحلیل‌های فنی، ریشه این مشکل در یک خطای Use-after-free در تابع php_session_rfc1867_callback() در فایل ext/session/session.c نهفته است. این خطا زمانی رخ می‌دهد که مدیریت وضعیت نشست (Session) سعی می‌کند به اشاره‌گرهای حافظه‌ای دسترسی پیدا کند که قبلاً آزاد شده‌اند. این نقص می‌تواند منجر به کنترل جریان اجرای برنامه و در نهایت Remote Code Execution (RCE) شود.
توصیه‌های فوری برای تیم‌های امنیتی:
- غیرفعال‌سازی موقت: در صورت عدم نیاز برنامه‌ها، تنظیم
session.upload_progress.enabled = Offرا در فایلphp.iniاعمال و سرویس‌های مربوطه (مانند Apache یا PHP-FPM) را ری‌استارت کنید. - بازبینی موجودی (Inventory): فراتر از نام بسته‌ها، تمام نسخه‌های PHP در حال اجرا در کانتینرها و محیط‌های مختلف را شناسایی کنید.
- فیلترینگ در لایه Edge: استفاده از WAF برای محدود کردن درخواست‌های
multipart/form-dataدر مسیرهایی که نیازی به آپلود فایل ندارند.
به‌روزرسانی (اکتبر 21, 2026 — ncsc.gov.uk)
به‌روزرسانی: بنیاد PHP اعلام کرد که انتشار وصله‌های امنیتی برای رفع دو آسیب‌پذیری بحرانی در این زبان برنامه‌نویسی برای روز چهارشنبه، ۲۱ اکتبر ۲۰۲۶، ساعت ۱۵:۰۰ به وقت BST برنامه‌ریزی شده است. با این حال، احتمال انتشار زودتر از این زمان نیز وجود دارد.
مرکز امنیت سایبری ملی بریتانیا (NCSC) به سازمان‌ها توصیه کرده است که در صورت عدم امکان اعمال فوری وصله‌ها (Patching)، سیستم‌های مبتنی بر PHP را به‌منظور جلوگیری از سوءاستفاده احتمالی، از شبکه جدا یا آفلاین کنند.
به‌روزرسانی (اکتبر 21, 2026 — hackread.com)
به‌روزرسانی: توسعه‌دهندگان PHP به‌تازگی وصله‌های امنیتی اضطراری را برای رفع دو آسیب‌پذیری بحرانی (CVE-2026-109618 و CVE-2026-109619) منتشر کرده‌اند. این آسیب‌پذیری‌ها که تحت عنوان PHP2Shell شناخته می‌شوند، با امتیاز CVSS 9.2، امکان اجرای کد از راه دور (RCE) را فراهم می‌کنند.
تحقیقات نشان می‌دهد که این نقص‌ها ناشی از خطاهای مدیریت حافظه (Memory Handling) و مکانیزم‌های افشای حافظه (Memory Disclosure) هستند. محیط‌های زیر در معرض خطر مستقیم قرار دارند:
- Apache mod_php (بیشترین میزان ریسک)
- PHP-FPM
- php-cgi
- FrankenPHP
- LiteSpeed
مدیران سیستم باید بلافاصله نسخه‌های اصلاح‌شده را برای شاخه‌های (Branches) مورد استفاده خود نصب کنند. توجه داشته باشید که تغییر در تنظیمات (Configuration) تنها یک راهکار موقت است و نمی‌تواند جایگزین وصله اصلی شود.
به‌روزرسانی (اکتبر 21, 2026 — therecord.media)
به‌روزرسانی: گزارش‌های جدید تأیید می‌کنند که آسیب‌پذیری CVE-2026-109619 در حال حاضر در فضای واقعی (in-the-wild) مورد اکسپلویت قرار گرفته است. این آسیب‌پذیری‌ها که با نام مستعار “PHP2Shell” شناخته می‌شوند، امکان اجرای کد از راه دور (RCE) را فراهم می‌کنند. نکته قابل توجه، استفاده مهاجمان از ابزارهای مبتنی بر هوش مصنوعی برای تولید اکسپلویت‌های سریع است.
همچنین مشخص شده است که شرکت OpenAI از طریق برنامه ‘Patch the Planet’ در فرآیند کشف این آسیب‌پذیری‌ها نقش داشته است. از سوی دیگر، شرکت Cloudflare برای کاهش ریسک فوری، راهکارهای مقابله‌ای موقت (stopgap mitigations) را برای مشتریان خود ارائه کرده است.
با توجه به اینکه نسخه‌های قدیمی‌تر از PHP 8.2 دیگر به‌روزرسانی امنیتی دریافت نمی‌کنند، این سیستم‌ها در معرض خطر بسیار بالایی قرار دارند. توصیه می‌شود مدیران سیستم‌ها بلافاصله تمامی نمونه‌های PHP را شناسایی و در صورت عدم امکان وصله کردن (patching)، آن‌ها را از شبکه جدا کنند.
به‌روزرسانی (اکتبر 21, 2026 — therecord.media)
به‌روزرسانی: با شناسایی آسیب‌پذیری جدید CVE-2026-109619، مجموعه‌ای از باگ‌های بحرانی تحت عنوان PHP2Shell شناخته می‌شوند که امکان اجرای کد از راه دور (RCE) را فراهم می‌کنند. گزارش‌ها حاکی از آن است که ابزارهای هوش مصنوعی (AI) شرکت‌های Anthropic و OpenAI در شناسایی این آسیب‌پذیری‌ها نقش کلیدی داشته‌اند. این باگ‌ها که از سال ۲۰۲۴ وجود داشته‌اند، به دلیل چالش‌های مربوط به سازگاری با نسخه‌های قدیمی (Backward Compatibility) و نگرانی از کاهش عملکرد (Performance)، در فرآیند اصلاح با تأخیر مواجه شده بودند.
تحلیل‌های انجام شده نشان می‌دهد که بیش از ۵.۱ میلیون آدرس IP در حال اجرای PHP هستند که از این میان، ۷۵۸,۰۰۰ مورد از نسخه‌های منسوخ (EOL) استفاده می‌کنند. با توجه به اینکه بیش از ۷۰ درصد وب‌سایت‌های جهان از PHP استفاده می‌کنند، ابعاد این تهدید بسیار گسترده است. شرکت Cloudflare نیز تلاش‌هایی برای اکسپلویت (Exploit) این آسیب‌پذیری‌ها را گزارش کرده است.
نشت اطلاعات و انتشار زودهنگام ویدیوهای اثبات مفهوم (PoC) و تصاویر مربوط به وصله‌ها توسط برخی نهادها، روند توسعه اکسپلویت‌ها را تسریع کرده است. لازم به ذکر است که وصله‌های منتشر شده تنها برای نسخه‌های PHP 8.2 و بالاتر کاربرد دارند و سیستم‌های قدیمی‌تر دیگر پشتیبانی نمی‌شوند، که این موضوع ریسک باقی ماندن سازمان‌ها در معرض حمله را به شدت افزایش می‌دهد.
به‌روزرسانی (اکتبر 22, 2026 — databreachtoday.com)
به‌روزرسانی: جزئیات جدیدی از آسیب‌پذیری‌های بحرانی موسوم به “PHP2Shell” منتشر شده است که شامل دو شناسه CVE-2026-109618 و CVE-2026-109619 می‌باشد. این دو آسیب‌پذیری که هر دو دارای امتیاز CVSS v4.0 معادل ۹.۲ هستند، از طریق نقص در مدیریت حافظه (Memory Corruption) و وضعیت جهانی قدیمی (Stale Global State) امکان اجرای کد از راه دور (RCE) را فراهم می‌کنند.
سازمان‌ها باید بلافاصله از نسخه‌های اصلاح‌شده زیر استفاده کنند:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
گزارش‌ها حاکی از آن است که این آسیب‌پذیری‌ها توسط مدل‌های هوش مصنوعی (AI) کشف شده‌اند و در حال حاضر تلاش‌هایی برای بهره‌برداری (Exploitation) از آن‌ها در فضای سایبری مشاهده می‌شود. ریسک اصلی در محیط‌هایی مانند Apache با mod_php و سرویس‌های PHP-FPM، php-cgi، FrankenPHP و LiteSpeed بسیار بالا ارزیابی شده است.
به‌روزرسانی (اکتبر 22, 2026 — cointelegraph.com)
به‌روزرسانی: بنیاد PHP (PHP Foundation) رسماً پذیرفته است که به دلیل کمبود منابع و فرآیندهای تصمیم‌گیری دشوار، رفع این آسیب‌پذیری‌های بحرانی با تأخیر مواجه شده و این وضعیت را یک «شکست ساختاری» (structural failure) توصیف کرده است. این تأخیر که از سال ۲۰۲۴ آغاز شده بود، ناشی از تلاش توسعه‌دهندگان برای یافتن راهکاری بود که بدون مختل کردن اکوسیستم عظیم نرم‌افزارهای مبتنی بر PHP، مشکل را حل کند.
در پی انتشار وصله‌های اضطراری، بسیاری از سازمان‌های دولتی در کشورهای هلند، فنلاند، فرانسه، آلمان و استرالیا برای پیشگیری از حملات، وب‌سایت‌های خود را از دسترس خارج کردند. همچنین بنیاد ویکی‌مدیا (Wikimedia Foundation) اعلام کرد که برخی از سرویس‌های پشتیبان خود از جمله Toolforge و Cloud VPS را به عنوان اقدامی احتیاطی غیرفعال کرده است.
در حوزه امنیت بلاک‌چین، شرکت SlowMist هشدار داده است که بسیاری از دامنه‌ها در این صنعت از PHP استفاده می‌کنند و از صرافی‌ها و پلتفرم‌های DeFi خواسته است وضعیت خود را بررسی کنند. در همین راستا، OpenAI یک قابلیت در Codex در پلتفرم GitHub منتشر کرده است که به مدیران وب کمک می‌کند نسخه‌های آسیب‌پذیر PHP را شناسایی و به‌روزرسانی کنند.
به‌روزرسانی (اکتبر 22, 2026 — WIRED)
به‌روزرسانی: جزئیات جدید نشان می‌دهد که این دو آسیب‌پذیری که اکنون با نام مجموعه‌ای PHP2Shell شناخته می‌شوند، بسیار زودتر از زمان انتشار وصله‌های امنیتی مورد سوءاستفاده قرار گرفته‌اند. تحلیل‌های شرکت AWS تأیید می‌کند که اولین تلاش‌های برای اکسپلویت (Exploit) این آسیب‌پذیری‌ها از تاریخ ۱۷ اکتبر شناسایی شده است؛ یعنی چهار روز پیش از آنکه اصلاحات عمومی منتشر شود.
بر اساس گزارش‌های منتشر شده، این آسیب‌پذیری‌ها اکنون به‌طور گسترده در فضای اینترنت (In the wild) در حال بهره‌برداری هستند. مهاجمان برای پنهان‌کاری از شبکه‌های ناشناس (Anonymization networks) مانند VPN و پروکسی‌ها استفاده می‌کنند. همچنین، محققان هشدار داده‌اند که استفاده از ابزارهای مبتنی بر هوش مصنوعی (AI) باعث شده است فاصله زمانی بین انتشار وصله و توسعه اکسپلویت‌های فعال به‌شدت کاهش یابد، که این امر سرعت حملات را برای عامل‌های تهدید (Threat actors) افزایش می‌دهد.
