آژانس امنیت سایبری و زیرساخت ایالات متحده (CISA) دو آسیب‌پذیری بحرانی در زبان برنامه‌نویسی PHP را که تحت عنوان PHP2Shell شناخته می‌شوند، به فهرست آسیب‌پذیری‌های مورد سوءاستفاده فعال (Known Exploited Vulnerabilities) خود اضافه کرد.
عامل‌های تهدید (Threat Actors) بدون داشتن هرگونه سطح دسترسی، می‌توانند از این دو نقص امنیتی (CVE-2026-109618 و CVE-2026-109619) در حملاتی با پیچیدگی بالا برای دستیابی به قابلیت اجرای کد از راه دور (RCE) در سیستم‌های وصله‌نشده استفاده کنند.
تیم امنیتی PHP این دو نقص را در روز چهارشنبه، ۲۱ اکتبر، اصلاح کرد. اگرچه پیش از انتشار وصله‌ها، جزئیات این آسیب‌پذیری‌ها و برخی از اثبات‌های مفهوم (PoC) در فضای آنلاین منتشر شد، اما تیم امنیتی PHP اعلام کرد که در آن زمان هیچ‌کدام از آن‌ها عملیاتی نبودند.
با این حال، چندین شرکت امنیت سایبری از جمله Cloudflare، Amazon، Hadrian، watchTowr، Previdian و Patchstack، تلاش‌های گسترده‌ای برای سوءاستفاده از این حفره‌ها را پیش از افشای عمومی شناسایی کرده بودند. محققان امنیت Amazon نیز اعلام کردند که مهاجمان چهار روز پیش از انتشار وصله‌های امنیتی، هدف‌گیری آسیب‌پذیری‌های PHP2Shell را آغاز کرده بودند.
CISA با افزودن این آسیب‌پذیری‌ها به فهرست خود، به آژانس‌های بخش اجرایی غیرنظامی فدرال (FCEB) دستور داد تا حداکثر تا روز پنج‌شنبه، سیستم‌های خود را ایمن‌سازی کنند. این دستورالعمل طبق دستورالعمل عملیاتی الزام‌آور (BOD 26-04) صادر شده است.
با توجه به اینکه PHP قدرت بخش بزرگی از وب را تأمین می‌کند (حدود ۷۰٪ از تمامی وب‌سایت‌ها)، این موضوع ریسک بسیار بالایی برای زیرساخت‌های جهانی دارد. بر اساس تخمین‌های VirusTotal، بیش از ۵.۱ میلیون میزبان PHP در اینترنت فعال هستند که بخش بزرگی از آن‌ها در معرض حملات قرار دارند.
علاوه بر این، تیم امنیتی PHP راهکارهای مقابله‌ای (Mitigation) را برای یک نقص RCE جدید (CVE-2026-115560) که هنوز وصله‌ای برای آن منتشر نشده است، به اشتراک گذاشته است. این آسیب‌پذیری در سیستم‌هایی با ترکیبات خاص از پیکربندی و کد برنامه قابل سوءاستفاده است.
