PHP به ادمین ها در مورد دو نقص مهم هشدار می دهد، وصله های اضطراری فردا منتشر می شوند

تیم امنیتی PHP به مدیران هشدار می‌دهد که فردا برای به‌روزرسانی‌های امنیتی اضطراری آماده شوند تا دو آسیب‌پذیری مهم را برطرف کنند، زیرا اطلاعات مربوط به نقص‌ها پیش از افشای برنامه‌ریزی‌شده‌شان به بیرون درز کرده است.

PHP بسیاری از وب‌سایت‌ها و برنامه‌های کاربردی تحت وب، از جمله سیستم‌های مدیریت محتوا، پلتفرم‌های تجارت الکترونیک و خدمات وب سفارشی را نیرو می‌دهد.

در مشاوره ای که روز سه شنبه منتشر شد، تیم توسعه PHP اعلام کرد که قصد دارد به روز رسانی های امنیتی را در روز چهارشنبه، 21 اکتبر، در ساعت 14:00 UTC (10:00 صبح شرقی) منتشر کند تا دو آسیب پذیری را برطرف کند که هر کدام تحت CVSS v4.0 دارای رتبه 9.2 هستند.

تیم امنیتی PHP همچنین اخطاریه ای را به لیست پستی ANNOUNCE خود ارسال کرد و از مدیران خواست تا خود را برای نصب به‌روزرسانی‌های امنیتی به محض در دسترس قرار گرفتن آماده کنند.

تیم امنیتی PHP هشدار داد: «ما حق انتشار زودتر در صورت عمومی شدن جزئیات آسیب‌پذیری یا اگر شواهدی از بهره‌برداری فعال در طبیعت ظاهر شود را برای خود محفوظ می‌دانیم».

توسعه دهندگان هیچ جزئیات فنی در مورد آسیب پذیری ها، از جمله اینکه کدام نسخه های PHP تحت تأثیر قرار می گیرند، چگونه می توان از آنها سوء استفاده کرد، یا نسخه هایی که حاوی اصلاحات هستند، فاش نکرده اند.

با این حال، محققان امنیتی در WatchTowr به BleepingComputer گفتند که آسیب‌پذیری‌هایی که به‌عنوان CVE-2026-109618 و CVE-2026-109619 ردیابی می‌شوند، نقص‌های اجرای کد از راه دور (RCE) هستند که اعتقاد بر این است که نسخه‌های 5، 6، 7 و 8 PHP را تحت تأثیر قرار می‌دهند.

بنجامین هریس، مدیر عامل watchTowr به BleepingComputer گفت: "در یک ساعت گذشته، دو آسیب‌پذیری اجرای کد از راه دور در PHP فاش شده است. این آسیب‌پذیری‌ها قبلا تحت تحریم برنامه‌ریزی شده بودند و قرار بود روز پنجشنبه در ساعت 11 صبح به وقت شرقی منتشر شوند."

"در حالی که به دلایل واضح نمی توانیم اطلاعات فنی را در این مرحله به اشتراک بگذاریم، با توجه به حساسیت، می توانیم تأیید کنیم که این آسیب پذیری ها واقعا واقعی هستند. هر دوی آنها CVSS10 هستند و به نظر می رسد که بر نسخه های 5، 6، 7 و 8 PHP تاثیر می گذارند."

WatchTowr همچنین گفت که معتقد است CVE-2026-109618 را با موفقیت بازتولید کرده است، اما تا زمانی که وصله های امنیتی در دسترس قرار نگیرد، اطلاعات فنی را منتشر نمی کند.

محققان تصریح کردند که علیرغم افشای اطلاعاتی که پیش از افشای برنامه ریزی شده گزارش شده است، بهره برداری از آسیب پذیری ها را در طبیعت مشاهده نکرده اند.

در پستی در X، watchTowr هشدار داد که اطلاعات مربوط به آسیب‌پذیری‌ها قبل از تاریخ افشای برنامه‌ریزی شده اولیه به بیرون درز کرده است.

محققان گفتند: "قرار بود همه ما تا پنجشنبه ساعت 11 صبح به وقت شرقی منتظر بمانیم. اطلاعات حفره های RCE روز صفر تحریم شده در PHP به بیرون درز کرده است. ما می توانیم تایید کنیم که آنها واقعی هستند."

این هشدار پس از یک پست حذف شده در انجمن خبری هکر Y Combinator است که در آن کاربری به نام "petecooper" ادعا می کند که دو آسیب پذیری حیاتی اجرای کد از راه دور PHP در 22 اکتبر فاش خواهند شد.

این پست که توسط BleepingComputer مشاهده شد، ادعا کرد که هر دو آسیب‌پذیری دارای امتیاز CVSS 10.0 هستند و بر نسخه‌های PHP مربوط به PHP 5 تأثیر می‌گذارند.

همچنین این آسیب‌پذیری‌ها را به‌عنوان CVE-2026-109618 و CVE-2026-109619 شناسایی کرد که با شناسه‌هایی که watchTowr بعدا به اشتراک گذاشت مطابقت داشت.

با این حال، اظهارات watchTowr و پست Hacker News با اعلام رسمی PHP متفاوت است. هر دو این آسیب‌پذیری‌ها را به‌عنوان CVSS 10.0 توصیف کردند، در حالی که تیم امنیتی PHP به هر یک امتیاز CVSS v4.0 9.2 اختصاص داد.

علاوه بر این، watchTowr به یک افشای اولیه برنامه ریزی شده برای پنجشنبه اشاره کرد، در حالی که PHP رسما انتشار امنیتی خود را برای فردا صبح برنامه ریزی کرده است.

تیم امنیتی PHP می‌گوید که جزئیات فنی کامل، نسخه‌های آسیب‌دیده و نسخه‌های ثابت را زمانی که به‌روزرسانی‌های امنیتی در دسترس قرار گیرند، منتشر خواهد کرد.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

بیشترین شدت نقص SonicWall SMA1000 اکنون در حملات مورد سوء استفاده قرار گرفته است

GitLab در مورد آسیب پذیری RCE حیاتی در سرویس AI Gateway هشدار می دهد

Dell از مدیران می‌خواهد تا در اسرع وقت، حداکثر شدت نقص‌های CSM را برطرف کنند

TeamViewer از کاربران می‌خواهد «در اسرع وقت» نقص‌های شدید را برطرف کنند.

GitLab کاربران را ترغیب می‌کند تا نقص‌های پیمایش مسیر حداکثر شدت را اصلاح کنند