PHP وصله های اضطراری را برای نقص های مهم PHP2Shell ارسال می کند

تیم امنیتی PHP وصله‌های امنیتی اضطراری را برای دو آسیب‌پذیری حیاتی اجرای کد از راه دور (RCE) (CVE-2026-109618 و CVE-2026-109619) منتشر کرد که در مجموع به عنوان PHP2Shell ردیابی می‌شوند.

دو نقص RCE احراز هویت نشده PHP2Shell بر تمام نصب‌های PHP که درخواست‌های وب را ارائه می‌کنند، از جمله PHP-FPM، Apache با mod_php، php-cgi، FrankenPHP و LiteSpeed ​​تأثیر می‌گذارد.

تیم امنیتی PHP گفت: "ما بیشترین خطر را برای mod_php در نظر می گیریم، با یک سوء استفاده نشان داده شده که در آن یک درخواست احراز هویت نشده می تواند حمله را قبل از اجرای هر کد برنامه آغاز کند."

هر دو نقص از یک مشکل اساسی ناشی می‌شوند: PHP می‌تواند حافظه خود را در حالتی خراب نگه دارد که یک درخواست به‌طور غیرعادی به پایان برسد، و هر دو می‌توانند برای اجرای کد از راه دور مورد سوء استفاده قرار گیرند.

CVE-2026-109618 می تواند برای به دست آوردن اجرای کد از راه دور به عنوان حساب کاربر وب با بهره برداری از زنجیره ای از نقاط ضعف که باعث خرابی خارج از حافظه می شود، استفاده شود، در حالی که آسیب پذیری وضعیت جهانی کهنه CVE-2026-109619 با استفاده از دیسک های تکراری، استفاده مجدد از دیسک، استفاده مجدد از دیسک، اجرای مجدد احراز هویت، و استفاده مجدد از دیسک، امکان استفاده از آن را فراهم می کند. امتیازات کارگر وب

سرپرستان باید PHP 8.5.12، 8.4.27، 8.3.36، یا 8.2.35 را در اسرع وقت بر روی سرورهایی که PHP 8.x دارند نصب کنند و اگر از PHP 7 یا قبل از آن استفاده می کنند، به نسخه ثابت مهاجرت کنند.

توسعه‌دهندگان PHP افزودند: "PHP 8.1 و بالاتر دیگر به‌روزرسانی‌هایی را از پروژه PHP دریافت نمی‌کند. برخی توزیع‌ها و فروشندگان LTS اصلاحات پشتیبان‌گیری را ارائه می‌کنند، بنابراین برای جزئیات بیشتر با فروشنده خود تماس بگیرید یا به نسخه پشتیبانی‌شده ارتقا دهید."

با توجه به شدت این آسیب‌پذیری‌ها، تیم امنیتی PHP حداقل پورت‌های پشتیبان منبع را برای PHP 7.4، PHP 8.0 و PHP 8.1 ارائه کرد تا به افراد کمک کند از منبع یا بدون دسترسی به یک فروشنده LTS بسازند.

این به دنبال هشدار روز سه‌شنبه توسعه‌دهندگان PHP است که از مدیران می‌خواهد خود را برای نصب این به‌روزرسانی‌های امنیتی به محض انتشار آماده کنند.

آنها گفتند: «همه کاربران PHP تشویق می‌شوند همین الان آماده شوند تا بتوانند به محض عرضه شدن نسخه را ارتقا دهند. اگر جزئیات آسیب‌پذیری عمومی منتشر شود یا اگر شواهدی مبنی بر بهره‌برداری فعال در طبیعت ظاهر شود، ما این حق را برای خود محفوظ می‌داریم که زودتر منتشر کنیم.» جینا پیتر بانیارد، توسعه‌دهنده هسته PHP هشدار داد که هیچ گونه کاهش دهنده PHP2Shell وجود ندارد و استفاده از وصله‌های امنیتی رسمی تنها دفاع دائمی در برابر حملات است.

قبل از انتشار وصله‌ها، مدیر ارشد فناوری Cloudflare Dane Knecht تأیید کرد که این شرکت (که قبلا مجموعه‌ای از قوانین WAF را برای جلوگیری از روش‌های بهره‌برداری شناخته شده PHP2Shell طراحی کرده بود) در حال مشاهده حملات اولیه است که این دو آسیب‌پذیری را هدف قرار می‌دهند. با این حال، Knecht همچنین تاکید کرد که این محافظت‌ها موقتی هستند و از همه مدیران خواست تا به‌روزرسانی‌های امنیتی PHP را به محض در دسترس قرار گرفتن نصب کنند.

مرکز ملی امنیت سایبری بریتانیا (NCSC) همچنین به سازمان های بریتانیا هشدار داده است که فورا سیستم ها را با استفاده از PHP به روز کنند یا آنها را آفلاین کنند تا زمانی که وصله شوند.

PHP (پیش پردازشگر فرامتن) یک زبان توسعه وب منبع باز و سمت سرور است که 75٪ تا 80٪ از تمام وب سایت ها، از جمله آنهایی که از سیستم های مدیریت محتوا (CMS) مانند وردپرس، جوملا و دروپال استفاده می کنند، قدرت می دهد.

بر اساس تخمین های VirusTotal، بیش از 5.1 میلیون هاست PHP به صورت آنلاین در معرض دید قرار می گیرند که تقریبا 3.8 میلیون آنها حداقل یک پورت باز دارند.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

PHP به ادمین ها در مورد دو نقص مهم هشدار می دهد، وصله های اضطراری فردا منتشر می شوند

F5 وصله‌های خارج از باند را برای آسیب‌پذیری‌های مهم NGINX منتشر می‌کند

هکرها از نقص SiteGuard WAF برای اجرای دستورات به عنوان ادمین سوء استفاده می کنند

نقص بحرانی BlockStrap به هکرها اجازه می دهد تا کد را روی سرورهای مجنتو اجرا کنند

دروپال نقص های مهم RCE را اصلاح می کند، هشدار می دهد که ممکن است به زودی اکسپلویت ها ظاهر شوند