مدیران وب‌سایت‌ها در سراسر جهان در حال آماده‌سازی برای تأثیرگذاری به دنبال نقص بزرگ PHP هستند

PHP دو آسیب‌پذیری حیاتی اجرای کد از راه دور را فاش می‌کند که می‌تواند کنترل وب‌سایت و سرقت اطلاعات را فعال کند.

جزئیات قبل از انتشار وصله به بیرون درز پیدا کرد و باعث شد یک توصیه امنیتی اولیه و هشدار ارتقاء فوری ارائه شود.

محققان تأیید کردند که این نقص ها واقعی هستند و انتظار می رود تأثیر گسترده ای در چندین نسخه PHP وجود داشته باشد PHP، مسلما محبوب‌ترین زبان برنامه‌نویسی برای وب‌سایت‌ها و برنامه‌های کاربردی وب در جهان، حاوی دو آسیب‌پذیری در سطح بحرانی است که می‌تواند سایت‌های بی‌شماری را در معرض حملات اجرای کد از راه دور (RCE) قرار دهد.

این نقص ها می تواند منجر به تصاحب وب سایت، سرقت داده ها، تغییر مسیرهای مخرب و مجموعه ای از موقعیت های مشابه شوم شود.

ساعت شلوغی امنیتی

پی اچ پی یک توصیه امنیتی جدید منتشر کرد که به ادمین ها در مورد وصله های ورودی هشدار می دهد.

در این توصیه نامه آمده است: "تیم امنیتی PHP مایل است از قبل در مورد یک نسخه امنیتی آینده اطلاع دهد."

"این برنامه برای چهارشنبه، 21 اکتبر 2026 در ساعت 14:00 UTC برنامه ریزی شده است. این دو آسیب پذیری حیاتی را برطرف می کند، هر دو دارای رتبه CVSS v4.0 9.2 هستند. همه کاربران PHP تشویق می شوند همین الان آماده شوند تا بتوانند به محض در دسترس قرار گرفتن نسخه، آن را ارتقا دهند. اگر جزئیات هر یک از آسیب پذیری های wild فعال شوند یا شواهد مربوط به آسیب پذیری های wild فعال شوند، حق انتشار را برای خود محفوظ می داریم. جزئیات، نسخه های آسیب دیده و نسخه های ثابت با انتشار منتشر خواهند شد.

اگر فکر می‌کنید این اعلامیه نسبتا غیرمتعارف است و ممکن است PHP هم این پچ را منتشر کند - کاملا درست می‌گویید. مشکل این است که شخصی قبل از لغو تحریم رسمی، آسیب‌پذیری‌ها را به خطر انداخت و جامعه امنیت سایبری در تلاش برای یافتن پاسخ بود.

آن "شخصی" شخصی با نام مستعار "petecooper" است که اوایل این هفته پست جدیدی را در انجمن خبری هکر Y Combinator منتشر کرد. در این پست، آنها ادعا کردند که PHP دو باگ اجرای کد از راه دور را در 22 اکتبر 2026 فاش می کند.

این پست از آن زمان حذف شده است، بنابراین ما نمی‌توانیم آن را به طور مستقل تأیید کنیم، اما BleepingComputer می‌گوید که این پست ادعا می‌کند که باگ‌ها دارای امتیاز CVSS 10.0 بوده و بر نسخه‌های PHP مربوط به PHP 5 تأثیر گذاشته است.

این پست همچنین باگ‌ها را به‌عنوان CVE-2026-109618 و CVE-2026-109619 برچسب‌گذاری کرد که متعاقبا تأیید شد. بنابراین، تنها چیزی که اشتباه است، امتیاز CVSS است که به نظر می رسد 9.2 باشد، نه 10.0.

از جمله افرادی که از این نقص و پچ آینده اطلاع داشتند، WatchTowr و Florian Roth، رئیس بخش تحقیقات Nextron Systems بودند.

تحریم این خبر برای 20 اکتبر تنظیم شده بود و وصله یک روز بعد، در 21 اکتبر منتشر می شود. با این حال، دیروز راث در X پستی ارسال کرد و گفت: "بسیار خوب، زیرا این خبر در حال حاضر منتشر شده است: یک آسیب پذیری RCE در هسته PHP، CVSS 10.0. جزئیات بیشتر برای انتشار در 20 اکتبر برنامه ریزی شده است. فقط وصله های PHP8 دریافت خواهند کرد."

درز روزهای صفر

به گفته BleepingComputer، این دست PHP را مجبور کرد، نه فقط توصیه را منتشر کند، بلکه یک اعلان به لیست پستی ANNOUNCE ارسال کند.

محققین امنیتی watchTowr این خبر را تایید کردند و گفتند که این اشکالات به‌عنوان CVE-2026-109618 و CVE-2026-109619 ردیابی می‌شوند و جامعه این دو را "php2shell" نامیده‌اند. بدیهی است که جزئیات فنی برای محافظت از کاربران پنهان شده است، اما به احتمال زیاد بر نسخه‌های 5، 6، 7 و 8 PHP تأثیر می‌گذارد.

بنجامین هریس، مدیر عامل watchTowr به BleepingComputer گفت: "در یک ساعت گذشته، دو آسیب‌پذیری اجرای کد از راه دور در PHP فاش شده است. این آسیب‌پذیری‌ها قبلا تحت تحریم برنامه‌ریزی شده بودند و قرار بود روز پنجشنبه در ساعت 11 صبح به وقت شرقی منتشر شوند."

"در حالی که به دلایل واضح نمی توانیم اطلاعات فنی را در این مرحله به اشتراک بگذاریم، با توجه به حساسیت، می توانیم تأیید کنیم که این آسیب پذیری ها واقعا واقعی هستند. هر دوی آنها CVSS10 هستند و به نظر می رسد که بر نسخه های 5، 6، 7 و 8 PHP تاثیر می گذارند."

محققان همچنین به نشریه گفتند که موفق به بازتولید موفقیت آمیز CVE-2026-109618 شده اند و تأیید می کنند که نقص ها واقعا کار می کنند. خبر خوب این است که هنوز هیچ گزارش تایید شده ای مبنی بر استفاده از این نقص ها به عنوان روزهای صفر در طبیعت وجود ندارد.