یک باگ سوم PHP2Shell وجود دارد، اما رفع اضطراری دریافت نخواهد کرد

با ادامه هرج و مرج PHP2Shell، محققان سومین آسیب‌پذیری PHP را پیدا کردند که می‌تواند به مهاجمان اجازه دهد تا وب‌سایت‌ها را کنترل کنند یا بدافزار را از راه دور بر روی سیستم‌های آسیب‌پذیر اجرا کنند. اما این یکی تعمیر اضطراری دریافت نخواهد کرد.

بنیاد PHP روز جمعه به The Register گفت که یک شناسه CVE (CVE-2026-115560) را برای یک نقص RCE سوم برای همراهی با دو مورد اول که شامل PHP2Shell هستند، رزرو کرده است، و یک نرم‌افزار مشاوره کامل و ثابت را با نسخه معمولی بعدی PHP منتشر خواهد کرد.

الیزابت بارون، مدیر اجرایی بنیاد PHP، به The Register گفت: CVE-2026-115560 "نیازمند ترکیبی بسیار بعید از پیکربندی و کد برنامه کاربردی PHP خاص است، که ما انتظار نداریم در استفاده عملی از PHP رخ دهد." "مشکل را می توان با تنظیمات پیکربندی کاهش داد. بنابراین در حال حاضر تیم امنیتی PHP فقط یک توصیه اطلاعاتی در وب سایت PHP منتشر کرده است که دقیقا این وضعیت را توضیح می دهد."

توصیه اطلاعاتی که در روز جمعه منتشر شد، پیشنهاد می‌کند که کاربران "sesion.upload_progress.enabled=0 را تا نسخه بعدی رفع اشکال بعدی تنظیم کنند تا از یک بردار RCE بعید محافظت کنند."

این حملات بعید RCE به یک برنامه نیاز دارند تا "sesion.serialize_handler را در پیکربندی خود روی php_binary یا php_serialize تنظیم کند و سپس آن را در زمان اجرا با ini_set() قبل از فراخوانی session_start() به php تغییر دهد. علاوه بر این، ویژگی پیشرفت بارگذاری جلسه باید فعال باشد.

به گفته بنیاد PHP، این راه‌اندازی در برنامه‌های کاربردی دنیای واقعی بعید است، و به همین دلیل خطر بزرگی مانند دو CVE قبلی که در اوایل این هفته اینترنت را به آتش کشیدند، ندارد.

اینها البته CVE-2026-109618 و CVE-2026-109619 هستند که مجموعا PHP2Shell نامیده می شوند. آسیب‌پذیری‌های مرتبط شامل نقص‌های ایمنی حافظه در PHP، زبان برنامه‌نویسی منبع باز است که در حدود ۷۰ درصد وب‌سایت‌های دارای زبان برنامه‌نویسی شناخته‌شده سمت سرور اجرا می‌شود. بنیاد PHP رسما هر دو باگ را در روز چهارشنبه افشا و اصلاح کرد.

علی‌رغم گزارش‌هایی مبنی بر تلاش‌های بهره‌برداری انبوه، و چندین سوء استفاده اثبات مفهومی قبل و بعد از افشای CVE، تا روز جمعه هیچ سازش موفقیت‌آمیز تایید شده‌ای به PHP2Shell نسبت داده نشده است.

بارون گفت: "ما هیچ مدرکی مبنی بر بهره برداری موفقیت آمیز از این دو آسیب پذیری از چهارشنبه قبل از افشای اطلاعات نداریم و در حال حاضر هیچ مدرکی مبنی بر سوء استفاده از این آسیب پذیری ها در نسخه های PHP اصلاح شده نداریم." ما هیچ نشانه دیگری از OpenAI، Wiz یا Calif دریافت نکردیم، که با آنها در حال کار نزدیک روی این موضوع هستیم، در مورد هر گونه مشکل در سیستم های وصله شده.

رجیستر با چندین محقق امنیتی دیگر تماس گرفت، همه آنها گفتند که تلاش های بهره برداری را مستند کرده اند - اما هیچ حمله موفقیت آمیز تایید شده ای در طبیعت وجود نداشت.

چارلز کارماکال، مدیر ارشد فناوری Mandiant در یک پست جمعه در لینکدین گفت: «با این وجود، ممکن است بهره‌برداری از قبل به صورت محدود آغاز شده باشد و تهدید قابل دوام و بسیار جدی است. Google Cloud مالک Mandiant به همراه امنیت ابری Wiz است که یکی از سازمان‌هایی است که در یافتن و گزارش آسیب‌پذیری‌های PHP2Shell اعتبار دارد.

با وجود "هیچ مدرکی دال بر بهره برداری در مقیاس گسترده" موفقیت آمیز، Carmakal خاطرنشان کرد که چندین اکسپلویت PoC وجود دارد که به صورت آنلاین در حال پخش عمومی هستند.

به گفته او، بسیاری از اینها به نظر می‌رسد که "ویب کدگذاری شده" هستند و قادر به اجرای کد از راه دور نیستند. با این حال، ما برخی از PoC‌ها را تایید کرده‌ایم که قادر به RCE در برابر استقرار پیش‌فرض mod_php هستند اما نه PHP-FPM.