اشکالات بحرانی PHP سایت های دولتی را قبل از انتشار رفع سریع آفلاین می کند

تیم توسعه PHP یک انتشار امنیتی خارج از چرخه عادی را برای 14:00 UTC در 21 اکتبر 2026 برنامه ریزی کرد تا دو نقص بحرانی را بعد از اینکه جزئیات یک روز قبل در اینترنت منتشر شدند، بر اساس گزارش The Hacker News و شرکت امنیتی Sansec، اصلاح کند. نقایص به عنوان CVE-2026-109618 و CVE-2026-109619 ردیابی شدند و محققان آن ها را به طور غیررسمی "PHP2Shell" نام دادند، نامی که تیم خود PHP پذیرفت نکرد، طبق گزارش The Hacker News.

نقایص چیستند

بر اساس نوشته فنی Sansec، CVE-2026-109618 یک خرابی use-after-free در مدیریت پیشرفت آپلود PHP است که می تواند حافظه سرور را — شامل رمزهای عبور، نشانه های جلسه و کلیدهای خصوصی TLS — از طریق کوکی PHPSESSID درز کند، به گونه ای که شرکت آن را با خرابی Heartbleed سال 2014 مقایسه کرد. CVE-2026-109619 یک خرابی use-after-free جداگانه است که هنگام بروز خطای مرگبار در طی خستگی حافظه، به همراه اشتباه نوع در OPcache PHP، بروز می کند، که Sansec گفت امکان اجرای کد از دور را فراهم می کند. هر دو خرابی از طریق درخواست های multipart/form-data قابل دسترسی هستند، که قالبی است که صفحات وب برای آپلود فایل استفاده می کنند.

مرکز ملی امنیت سایبری انگلستان (NCSC) خطر را در هشدار 21 اکتبر خود به عنوان اجازه برای مهاجم برای "اجرای دستورات روی هر سرور وب که PHP را اجرا می کند" بدون نیاز به ورود توصیف کرد و مسئله را بحرانی رتبه بندی کرد.

چرا دولت ها و پلتفرم ها آفلاین شدند

از آنجا که PHP بخش بزرگی از وب را تشکیل می دهد، چندین سازمان تصمیم گرفتند سایت های روبروی عموم را بجای انتظار برای رفع، خاموش کنند. Techzine گزارش کرد که خدمات دولتی هلندی شامل MijnOverheid، DigiD و سیستم های پارلمانی به صورت موقت آفلاین شدند، و داستان خبری که توسط KSL منتشر شد، گفت که آژانس های امنیت سایبری در هلند و فنلاند سایت های دولتی را به عنوان پیشگیری خاموش کردند. Techzine همچنین گزارش کرد که NCSC انگلستان و آژانس امنیت سایبری و زیرساخت های کریتیکال آمریکا (CISA) هشدار صادر کردند که به مسؤولان برای اعمال رفع یا غیرفعال کردن سیستم های متاثر توصیه می کنند، در حالی که Wikipedia و Meta با اعمال PHP runtime های اصلاح شده و قوانین جدار آتش تطبیقی وب بجای پیش رفتن تاریک، فعال ماندند.

Sansec گزارش کرد که توسعه دهنده اصلی PHP Gina Peter Banyard خاموش کردن سرورها قبل از رسیدن رفع را برای سازمان هایی که نمی توانند فوری رفع کنند منطقی ترین گزینه توصیف کرد — توصیه ای که چندین بدنه هلندی پیروی کردند.

Cloudflare گفت که شروع به مشاهده تلاش های استفاده سوء قبل از انتشار رفع رسمی کرد. بر اساس گزارش KSL، رئیس تکنولوژی Cloudflare گفت شرکت حملات اولیه را مشاهده می کند و به طور مداوم کاهش های خود را به روز می کند بر اساس روش های حمله جدید، حفاظت Cloudflare را به عنوان یک راه حل موقت تا رسیدن رفع رسمی PHP توصیف می کند. Sansec به طور جداگانه گزارش کرد که Cloudflare حملات را شروع شده در 07:43 UTC در 21 اکتبر، تقریباً شش ساعت قبل از رفع برنامه ریزی شده PHP، شناسایی کرد.

• WordPress، Drupal، Joomla و Magento، سیستم های مدیریت محتوا و تجارت الکترونیکی ساخته شده بر اساس PHP
• نسخه های خاصی که Sansec به عنوان تایید شده ای که در معرض خطر هستند نام برد: Magento 2.4.9، WordPress 7.1.2، Drupal 11.4.3، Joomla 6.1.4، MediaWiki 1.46.2، Roundcube 1.7.4، phpMyAdmin 5.2.3، Nextcloud 35.0.1، Laravel 13.11 و Symfony 8.1
• پلتفرم های میزبانی مشترک و پانل های کنترل که PHP را جمع بندی می کنند، بر اساس هشدار NCSC
• خدمات دولت هلند DigiD و MijnOverheid، بر اساس Techzine

مقیاس قرار گیری: تخمین ها متفاوت است

آنچه شناخته شده و آنچه شناخته نشده است

تیم PHP تایید کرد که PHP 8.2، 8.3، 8.4 و 8.5 رفع های رسمی دریافت خواهند کرد — انتظار می رود به عنوان نسخه های 8.5.12، 8.4.27، 8.3.36 و 8.2.35، بر اساس The Hacker News — در حالی که شاخه های پایان شده دعم 8.1 و قدیمی تر از طریق فروشنده رفع نخواهند شد. Sansec، با این حال، گفت کد معیوب اساسی تا PHP 5.4.0 برمی گردد، به معنی بسیاری از نصب های قدیم و غیر پشتیبانی شده در معرض خطر باقی می مانند بدون رفع رسمی دسترسی. بر اساس The Hacker News، هیچ مدل اثبات مفهوم عمومی تا زمان گزارش 21 اکتبر دسترسی پذیر نبود، و نقایص در آن زمان به کتالوگ Vulnerabilities شناخته شده استفاده شده CISA اضافه نشده بود — اگرچه بیانیه بعدی Cloudflare نشان دادند تلاش های حمله در حال حاضر در حال انجام بود.

زمینه: نقایص چگونه یافت شدند

جدول زمانی Sansec اولین خرابی را در تحقیقاتی که در 1 اگست 2026 شروع شد، توسط محقق با نام مستعار "Calif" که با OpenAI کار می کرد، گزارش شد در 11 اگست برای تیم امنیت PHP، ردیابی می کند. یک گزارش دوم مرتبط از تیم Wiz Research آمد — توسط Sansec نام برده شدند Sagi Tzadik، Shir Tamari، Nir Ohfeld و Tomer Schwartz — در 24 اگست. Sansec گفت هر دو تیم تحقیقاتی به مدل های هوش مصنوعی اعتبار دادند برای تسریع کار یافتن و سازگاری سازی استفاده سوء در نسخه های PHP، یک محقق گفته شده است کار کردن استفاده سوء در حدود یک هفته رسیده است. جزئیات افشای مرتب و ممنوع عموماً در 20 اکتبر درز کرد، PHP را وادار کرد که اعلان خود را جلو بکشد و انتشار رفع 21 اکتبر را تنظیم کند.