PHP کاهش آسیب پذیری RCE جدید را بدون وصله به اشتراک می گذارد

تیم امنیتی PHP اقدامات کاهشی را برای یک آسیب‌پذیری جدید اجرای کد از راه دور به اشتراک گذاشته است که بر سیستم‌هایی با پیکربندی‌های غیر پیش‌فرض تأثیر می‌گذارد و هیچ وصله‌ای ندارد.

PHP یک زبان توسعه وب منبع باز است که تقریبا 70 درصد از وب سایت های موجود در اینترنت از آن استفاده می کنند. بر اساس برآوردهای VirusTotal، بیش از 5.1 میلیون هاست PHP به صورت آنلاین در معرض دید هستند و تقریبا 3.8 میلیون حداقل یک پورت برای حملات باز دارند.

طبق توصیه‌های جمعه، این نقص امنیتی (که با نام CVE-2026-115560 دنبال می‌شود) تنها زمانی می‌تواند مورد سوء استفاده قرار گیرد که سیستم‌هایی با "ترکیب غیرمعمولی از پیکربندی و کد برنامه" مورد هدف قرار گیرند.

تیم PHP توضیح داد: "یک برنامه باید session.serialize_handler را در پیکربندی خود روی php_binary یا php_serialize تنظیم کند و سپس آن را در زمان اجرا با ini_set() قبل از فراخوانی session_start() به php تغییر دهد. پیشرفت آپلود جلسه نیز باید همچنان فعال باشد."

"برنامه‌هایی که هرگز کنترل کننده سریال را در زمان اجرا تغییر نمی‌دهند، می‌توانند این ویژگی را فعال نگه دارند. از آنجایی که این راه‌اندازی در عمل بعید است، ما آن را در چرخه انتشار معمولی مدیریت می‌کنیم و در نسخه بعدی یک توصیه کامل برای CVE-2026-115560 منتشر خواهیم کرد."

تا زمانی که یک وصله امنیتی در دسترس نباشد، توسعه دهندگان PHP تنظیم session.upload_progress.enabled=0 را پیشنهاد کردند و افزودند که "اگر آن را اعمال کردید، آن را در جای خود نگه دارید و نیازی به اقدام دیگری نیست."

این کاهش قبل از اصلاح دو آسیب‌پذیری مهم RCE دیگر (CVE-2026-109618 و CVE-2026-109619) که در مجموع به عنوان PHP2Shell ردیابی می‌شوند، باید در روز چهارشنبه اعمال می‌شد.

تیم امنیتی PHP یک روز پس از اینکه از ادمین‌ها خواسته بود برای نصب به‌روزرسانی‌ها به محض در دسترس قرار گرفتن آماده شوند، آسیب‌پذیری‌های PHP2Shell را اصلاح کردند.

در حالی که برخی از کدهای اثبات مفهوم (PoC) قبل از انتشار وصله ها منتشر شد، تیم امنیتی PHP گفت که هیچ کدام کاربردی نبود.

با این حال، چندین شرکت امنیت سایبری (از جمله Cloudflare، watchTowr، Previdian، Hadrian و Patchstack) تلاش‌های سوء استفاده ناموفق را قبل از افشای عمومی، پس از برخی جزئیات در مورد نقص‌های امنیتی PHP2Shell (از جمله شناسه‌های CVE و زیرساخت‌های انتقادی ارائه‌شده به برخی از زیرساخت‌های کاهش‌دهنده مشاوره آنلاین) شناسایی کردند.

محققان امنیتی در آمازون Threat Intelligence همچنین گفتند که مهاجمان چهار روز قبل از انتشار وصله‌های امنیتی در روز چهارشنبه، آسیب‌پذیری‌های PHP2Shell را هدف قرار دادند.

CJ Moses، افسر ارشد امنیت اطلاعات AWS، گفت: "بارهای واقعی و انتخاب‌ها در زیرساخت ناشناس‌سازی متفاوت بود، که نشان می‌دهد اینها چندین بازیگر هستند. تجزیه و تحلیل فنی در حال انجام است، و مشخص نیست که آیا هر یک از این تلاش‌ها در سیستم‌های دنیای واقعی موفق بوده است یا خیر."

او افزود: «PHP2Shell اکنون شاهد تلاش‌های بهره‌برداری گسترده در طبیعت است»، اگرچه مشخص نیست که چند حمله (در صورت وجود) موفق بوده‌اند.

تیم تحقیقات تهدیدات و مهندسی سایبری Dataminr (TRACE) همچنین در گزارشی پنج‌شنبه گفت که «فعالیت مشاهده‌شده از زمان افشای آسیب‌پذیری به اسکن، انگشت نگاری، و استفاده از سوء استفاده‌های غیرفعال، بدون هیچ گونه مصالحه‌ای محدود می‌ماند»، اما خاطرنشان کرد که «فقط یک مسئله زمان برای POC‌های فعال یا بهره‌برداری موفقیت‌آمیز باقی می‌ماند».

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

PHP وصله های اضطراری را برای نقص های مهم PHP2Shell ارسال می کند

HPE هشت RCE را با حداکثر شدت وصله می کند و ایرادات AOS را احراز می کند

GitLab درباره آسیب‌پذیری جدید اجرای کد با حداکثر شدت هشدار می‌دهد

F5 وصله‌های خارج از باند را برای آسیب‌پذیری‌های حیاتی NGINX منتشر می‌کند

هکرها از نقص SiteGuard WAF برای اجرای دستورات به عنوان ادمین سوء استفاده می کنند