در سیستم مدیریت اطلاعات تهدیدات (MISP)، یک نقص امنیتی شناسایی شده است که از نحوه مدیریت phar stream wrapper در زبان PHP ناشی می‌شود. این قابلیت در هر دو نقطه ورود وب (Web Entry Point) و کنسول (Console Entry Point) فعال است و می‌تواند منجر به مخاطرات جدی امنیتی شود.
تحلیل فنی آسیب‌پذیری
به دلیل فعال بودن این Wrapper، زبان PHP یک آرشیو phar را به عنوان یک دایرکتوری شناسایی می‌کند. این رفتار دو پیامد امنیتی کلیدی دارد:
- ایجاد Sink برای Deserialization: هرگونه عملیات روی سیستم فایل (Filesystem Operation) که مسیر آن توسط کاربر کنترل شود و به یک آرشیو phar ختم گردد، باعث فراخوانی ضمنی تابع
unserialize()می‌شود. این موضوع یک مسیر مستقیم برای حملات Insecure Deserialization ایجاد می‌کند. - اجرای کد دلخواه (RCE): در صورتی که ریشه برنامه (Application Root) تغییر یابد، مهاجم می‌تواند به کدهای قابل اجرا در داخل یک فایل phar آپلود شده دسترسی پیدا کرده و در نهایت منجر به Remote Code Execution شود.
این آسیب‌پذیری با شناسه CVE-2026-95806 ثبت شده و مدیران SOC و مهندسان امنیت باید سریعاً وضعیت به‌روزرسانی سیستم‌های MISP خود را بررسی نمایند.
