محققان امنیتی از وجود دو آسیب‌پذیری بحرانی در زبان برنامه‌نویسی PHP خبر داده‌اند که امکان اجرای کد از راه دور (Remote Code Execution یا RCE) را بدون نیاز به احراز هویت (Unauthenticated) فراهم می‌کنند. این آسیب‌پذیری‌ها با امتیاز CVSS 9.2 ارزیابی شده‌اند و پتانسیل بالایی برای سوءاستفاده از سرورهای تحت وب دارند.
جزئیات آسیب‌پذیری‌ها
- CVE-2026-109618: این آسیب‌پذیری مربوط به مدیریت حافظه (Out-of-memory) است. در این حالت، ممکن است فرآیند PHP در حین مقداردهی اولیه ناقص داده‌های درخواست، دچار اختلال شود و در مرحله پاک‌سازی (Cleanup)، داده‌های نامعتبر به عنوان داده‌های معتبر تلقی شوند که منجر به RCE می‌شود.
- CVE-2026-109619: این نقص ناشی از باقی ماندن وضعیت داخلی (Internal State) درخواست‌ها پس از آزاد شدن حافظه مربوطه است. درخواست‌های بعدی که توسط همان Worker پردازش می‌شوند، ممکن است از وضعیت قدیمی (Stale State) استفاده کنند که این امر نیز منجر به اجرای کد از راه دور می‌شود.
محیط‌های تحت تأثیر
تمامی نصب‌های PHP که درخواست‌های وب را پاسخ می‌دهند، در معرض خطر هستند؛ از جمله:
- PHP-FPM
- Apache با ماژول mod_php (بیشترین میزان ریسک)
- php-cgi
- FrankenPHP
- LiteSpeed
نسخه‌های آسیب‌پذیر و راهکار اصلاحی
گزارش‌ها حاکی از آن است که نسخه‌های 5 تا 8 PHP تحت تأثیر قرار دارند. نسخه‌های پشتیبانی‌شده باید فوراً به نسخه‌های زیر به‌روزرسانی شوند:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
نکته مهم: نسخه‌های قدیمی‌تر که از چرخه پشتیبانی خارج شده‌اند (End-of-Life)، بدون وصله امنیتی باقی خواهند ماند و در معرض خطر دائمی هستند.
اقدامات کاهش ریسک (Mitigation)
در صورتی که به‌روزرسانی فوری امکان‌پذیر نیست، اقدامات زیر توصیه می‌شود:
- برای CVE-2026-109618: مقدار
memory_limitرا روی-1تنظیم کنید و اطمینان حاصل کنید که اپلیکیشن‌ها نمی‌توانند این تنظیم را تغییر دهند. همچنین از محدودیت‌های Container یا cgroup استفاده کنید. - برای CVE-2026-109619: مقدار
session.upload_progress.enabledرا برابر با0قرار داده و تمامی Workerها را مجدداً راه‌اندازی (Restart) کنید.
به‌روزرسانی (اکتبر 22, 2026 — SecurityWeek)
به‌روزرسانی: گزارش‌های جدید تایید می‌کنند که آسیب‌پذیری‌های PHP2Shell، از جمله CVE-2026-109619، در محیط‌های واقعی (in-the-wild) مورد بهره‌برداری قرار گرفته‌اند. شرکت Amazon اعلام کرده است که اولین تلاش‌های اکسپلویت پیش از رفع محدودیت‌های انتشار (embargo) رخ داده است.
در واکنش به این وضعیت، شرکت‌های بزرگ فناوری اقدامات زیر را انجام داده‌اند:
- تامین‌کنندگان زیرساخت و ابری: شرکت‌های AWS، Google Cloud و Cisco در حال بررسی محصولات و ارائه راهکارهای مقابله‌ای هستند؛ سیسکو بیش از ۳۰ محصول خود را تحت بررسی قرار داده است.
- توزیع‌کنندگان سیستم‌عامل: نسخه‌های اصلاح‌شده برای Ubuntu و Debian منتشر شده است.
- مدیریت هاستینگ: پنل‌های cPanel و Plesk وصله‌های امنیتی را برای نسخه‌های مختلف PHP منتشر کرده‌اند.
- شرکت‌های امنیتی: شرکت‌هایی مانند Palo Alto Networks، Fortinet و CrowdStrike شناسایی‌های (detections) جدیدی برای مقابله با این حملات ارائه داده‌اند.
نهادهای امنیتی بین‌المللی از جمله CISA و NCSC بر لزوم به‌روزرسانی فوری سیستم‌های متصل به اینترنت تاکید کرده‌اند، با توجه به اینکه PHP به طور گسترده در بسیاری از نرم‌افزارها و سرویس‌های ابری تعبیه شده است.
به‌روزرسانی (اکتبر 22, 2026 — databreachtoday.com)
به‌روزرسانی: بنیاد PHP (PHP Foundation) رسماً اعلام کرد که فرآیند افشای هماهنگ‌شده آسیب‌پذیری‌ها (Coordinated Vulnerability Disclosure – CVD) در این سازمان با شکست ساختاری مواجه شده است. این نقص در فرآیند باعث شد جزئیات مربوط به آسیب‌پذیری‌های PHP2Shell پیش از آماده شدن وصله‌ها (Patches) به بیرون درز کند.
بررسی‌ها نشان می‌دهد که این نشت اطلاعاتی از چند مسیر رخ داده است:
- شرکت امنیتی Calif با انتشار اشتباه یک ویدئو، جزئیات فنی یک حمله Proof-of-Concept (PoC) را فاش کرد.
- شرکت Chainguard با انتشار پیش‌دستانه ایمیج‌های حاوی وصله، محدودیت زمانی (Embargo) را نقض کرد که به مهاجمان اجازه داد با تحلیل باینری، اکسپلویت‌های دقیق‌تری بسازند.
نکته بسیار حائز اهمیت، گزارش‌های مربوط به بهره‌برداری فعال است؛ داده‌های مربوط به تهدیدات (Threat Intelligence) شرکت Amazon نشان می‌دهد که عاملان تهدید (Threat Actors) از روز شنبه — یعنی چندین روز پیش از افشای رسمی — تلاش برای اکسپلویت این آسیب‌پذیری‌ها را آغاز کرده بودند. این موضوع نشان‌دهنده احتمال دسترسی مهاجمان به اطلاعات قبل از انتشار رسمی است.
اصلاح این آسیب‌پذیری‌ها (CVE-2026-109618 و CVE-2026-109619) به دلیل قرار داشتن در بخش‌های حساس مدیریت حافظه (Memory Management) و مدیریت خطا (Error Handling) در هسته PHP، بسیار دشوار و پیچیده است.
به‌روزرسانی (اکتبر 22, 2026 — The Register)
به‌روزرسانی: گزارش‌های جدید نشان می‌دهد که آسیب‌پذیری‌های بحرانی PHP2Shell (شامل CVE-2026-109618 و CVE-2026-109619) منجر به از کار افتادن ۳۲ سرویس دولتی در بریتانیا و اختلال در ۴ سرویس دیگر شده است. این اقدامات به صورت پیشگیرانه برای اعمال Patchهای امنیتی انجام شده و کشورهای دیگر از جمله آلمان، فرانسه، بلژیک، فنلاند و استرالیا نیز سرویس‌های دولتی خود را برای جلوگیری از نفوذ به‌طور موقت آفلاین کرده‌اند.
شرکت‌های AWS و Cloudflare تأیید کرده‌اند که بهره‌برداری فعال (In-the-wild exploitation) از این نقص‌ها حتی پیش از افشای عمومی آغاز شده بود و میلیون‌ها تلاش برای Weaponize کردن این آسیب‌پذیری‌ها ثبت شده است. این نقص‌ها که امکان اجرای کد از راه دور (RCE) را برای مهاجمان بدون احراز هویت فراهم می‌کنند، توسط ابزارهای هوش مصنوعی کشف شده‌اند؛ از جمله مدل GPT-5.6 Sol متعلق به OpenAI و ابزارهای AI شرکت Wiz.
مرکز ملی امنیت سایبری بریتانیا (NCSC) هشدار داده است که سازمان‌ها باید فوراً سیستم‌های آسیب‌پذیر خود را به‌روزرسانی کرده یا تا زمان رفع نقص، آن‌ها را از شبکه جدا کنند. همچنین گزارش شده است که NCSC بیش از ۵۰ هزار هشدار را برای کسب‌وکارها و سازمان‌های مختلف ارسال کرده تا از سرایت این تهدید جلوگیری شود.
به‌روزرسانی (اکتبر 23, 2026 — Malware News)
به‌روزرسانی:
گزارش‌های جدید از سوی شرکت‌های امنیت سایبری مانند Cloudflare و Cisco Talos نشان می‌دهد که پس از افشای آسیب‌پذیری‌های جدید PHP، میلیون‌ها تلاش برای اکسپلویت (Exploit) این حفره‌های امنیتی در سطح جهان شناسایی شده است. این آسیب‌پذیری‌ها که با نام مستعار ‘PHP2Shell’ شناخته می‌شوند، امکان اجرای کد از راه دور (RCE) را فراهم می‌کنند.
بر اساس داده‌های سرویس Censys، حدود ۳۹.۷ میلیون سرویس متصل به اینترنت که از نسخه‌های آسیب‌پذیر PHP استفاده می‌کنند، شناسایی شده‌اند. همچنین، تحلیل‌های امنیتی نشان‌دهنده ارتباط میان فعالیت‌های مربوط به این آسیب‌پذیری و فعالیت‌های Potassium botnet است؛ بات‌نتی که از دستگاه‌های آلوده برای حملات توزیع‌شده استفاده می‌کند.
به‌روزرسانی (اکتبر 23, 2026 — slowmist.medium.com)
به‌روزرسانی: گزارش‌های جدید از شناسایی و بهره‌برداری فعال از آسیب‌پذیری CVE-2026-109619 در محیط‌های واقعی (In-the-wild) توسط تیم‌های امنیتی آمازون (Amazon) تایید شده است. این نقص امنیتی در کنار مورد قبلی، امکان اجرای کد از راه دور (RCE) بدون احراز هویت را فراهم می‌کند.
تحقیقات فنی نشان می‌دهد که این تهدیدات شامل دو مکانیزم اصلی هستند: اول، فساد حافظه ناشی از کمبود حافظه (OOM Memory Corruption) و دوم، وضعیت جهانی قدیمی (Stale Global State) که در فرآیند PHP-FPM رخ می‌دهد. مهاجمان می‌توانند با سوءاستفاده از این موارد، بدون نیاز به عبور از لایه‌های احراز هویت یا API Key، کنترل فرآیندهای وب‌سرور را به دست بگیرند.
سازمان‌ها و مدیران زیرساخت باید فوراً از نسخه‌های اصلاح‌شده (Patched) زیر استفاده کنند:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
به‌روزرسانی (اکتبر 23, 2026 — msspalert.com)
به‌روزرسانی: آسیب‌پذیری‌های جدیدی که تحت عنوان PHP2Shell شناخته می‌شوند، شامل دو شناسه CVE-2026-109618 و CVE-2026-109619 هستند. این نقص‌های امنیتی با امتیاز CVSS 9.2، امکان اجرای کد از راه دور (RCE) بدون احراز هویت را فراهم می‌کنند.
کارشناسان امنیتی هشدار می‌دهند که ماهیت این تهدید می‌تواند مشابه حادثه Log4Shell باشد؛ به این معنا که با وجود فعالیت محدود فعلی، ریسک‌های بلندمدت آن به دلیل وابستگی‌های پنهان در پلتفرم‌های گسترده‌ای مانند WordPress و Drupal بسیار بالا است.
برای مقابله با این تهدید، نسخه‌های اصلاح‌شده (Patch) زیر منتشر شده‌اند و به‌روزرسانی فوری آن‌ها توصیه می‌شود:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
توصیه می‌شود سازمان‌ها علاوه بر وصله کردن سیستم‌های شناخته‌شده، فرآیند Audit (حسابرسی) زیرساخت خود را برای شناسایی تمامی وابستگی‌های نرم‌افزاری (Software Dependencies) که از PHP استفاده می‌کنند، انجام دهند.
