تیم توسعه PHP تنها دو روز پس از انتشار وصله‌های اضطراری برای آسیب‌پذیری‌های بحرانی PHP2Shell، نسبت به یک روش جدید برای اجرای کد از راه دور (RCE) توسط مهاجمان هشدار داد.
این آسیب‌پذیری جدید که با شناسه CVE-2026-115560 ثبت شده است، تنها برنامه‌های تحت وب با پیکربندی‌های غیرمعمول را تحت تأثیر قرار می‌دهد. به دلیل احتمال پایین وقوع این سناریو، تیم PHP قصد ندارد وصله اضطراری برای آن منتشر کند، اما توصیه می‌کند تا زمان انتشار نسخه رسمی بعدی، قابلیت session upload progress غیرفعال شود.
جزئیات فنی و شرایط وقوع آسیب‌پذیری
طبق گزارش‌های منتشر شده، این مشکل زمانی رخ می‌دهد که یک اپلیکیشن وب شرایط زیر را همزمان داشته باشد:
- تنظیم گزینه
session.serialize_handlerروی مقادیرphp_binaryیاphp_serializeدر فایل پیکربندی. - تغییر این گزینه به
phpدر حین اجرای برنامه با استفاده از تابعini_set(). - انجام این تغییر قبل از فراخوانی تابع
session_start(). - فعال بودن قابلیت Session upload progress.
PHP تأکید کرده است که این ترکیب از تنظیمات در عمل بسیار نادر است. با این حال، برای پیشگیری، توصیه می‌شود مقدار session.upload_progress.enabled=0 در تنظیمات اعمال شود. این همان راهکار مقابله‌ای (Mitigation) است که پیش‌تر برای آسیب‌پذیری CVE-2026-109619 نیز توصیه شده بود.
وضعیت بهره‌برداری و حملات اخیر
در حالی که تاکنون گزارشی مبنی بر بهره‌برداری از CVE-2026-115560 منتشر نشده است، اما تلاش‌ها برای سوءاستفاده از دو آسیب‌پذیری قبلی (PHP2Shell) به شدت افزایش یافته است. گزارش‌های Amazon و Cloudflare نشان می‌دهد که حملات مربوط به CVE-2026-109618 و CVE-2026-109619 تنها دقایقی پس از افشای آن‌ها، از ده‌ها هزار به میلیون‌ها مورد رسید. برخی از این حملات با هدف نصب نسخه‌هایی از بات‌نت Mirai انجام شده‌اند، هرچند تاکنون گزارش‌های موفقیت‌آمیز از اجرای کد در این حملات تایید نشده است.
به‌روزرسانی (اکتبر 23, 2026 — SecurityWeek)
به‌روزرسانی: گزارش‌های جدید نشان می‌دهند که عاملان تهدید (Threat Actors) در حال تلاش برای بهره‌برداری از آسیب‌پذیری‌های PHP2Shell جهت انتشار نسخه جدیدی از بات‌نت Mirai موسوم به Potassium هستند. اگرچه تلاش‌های اولیه برای سرایت (Infection) این بدافزار متوقف شده است، اما فعالیت‌های مرتبط با این بات‌نت برای حملات DDoS و دانلود بدافزارهای دیگر مشاهده شده است.
علاوه بر این، محققان شرکت VulnCheck موفق به یافتن روشی برای دور زدن مکانیزم ASLR (Address Space Layout Randomization) در آسیب‌پذیری CVE-2026-109618 شده‌اند که می‌تواند سطح خطر را در محیط‌های عملیاتی افزایش دهد. در پی این تحولات، برخی از سرویس‌های دولتی بریتانیا به عنوان اقدام احتیاطی از دسترس خارج شدند.
برای مقابله با این تهدید، مدیران باید فوراً نسخه‌های اصلاح‌شده PHP را برای جلوگیری از اجرای کد از راه دور (RCE) اعمال کنند:
- نسخه‌های 8.5.12، 8.4.27، 8.3.36 و 8.2.35
