فناوری · خبر
دو نقص بحرانی PHP با نام "PHP2Shell" بیشتر وب را در معرض خطر قرار می‌دهند
انتشار:
به‌طور خلاصه
دو آسیبپذیری بحرانی PHP با نام مستعار "PHP2Shell" به مهاجمین اجازه میدهد تا کد مخرب را بر روی سرورهای وب بدون ورود اجرا کنند، به گفته شرکت امنیتی که آنها را کشف کرده است. رفعهای CVE-2026-109618 و CVE-2026-109619 در 21 اکتبر 2026 عرضه شدند، ماه‌ها پس از اینکه محققان اول بار باگها را گزارش کردند، و شرکات متعددی از آن پس تلاشهای بهرهبرداری را در طبیعت ثبت کرده‌اند.
این نسخه ترجمهٔ ماشینی متن اصلی (English) است. خواندن متن اصلی
در 21 اکتبر 2026، پروژه PHP نسخههای رفع‌شده زبان را پس از اینکه محققان امنیتی دو آسیبپذیری اجرای کد از راه دور بحرانی را با نام جمعی "PHP2Shell" فاش کردند، منتشر کرد. این نقایص، که به عنوان CVE-2026-109618 و CVE-2026-109619 ردیابی میشوند، توسط شرکت امنیت ابری Wiz Research کشف شدند، که سازمانهای Calif و OpenAI را برای مشارکت در کشف، هماهنگی و تایید رفع قدردانی کردند، بر اساس نوشتار عمومی Wiz.
آسیبپذیریهای دو چه می‌کنند
Wiz میگوید دو CVE در واقع چهار باگ زمینه‌ای مجزا را برمی‌دارند. CVE-2026-109618 یک نقص use-after-free در unserializer پیشرفت آپلود جلسه PHP را پوشش میدهد، که میتواند برای اجرای کد از راه دور سوء‌استفاده شود، و همچنین یک باگ مرتبط که میتواند حافظه را از یک فرآیند کارگر PHP در حال اجرا بدون احراز هویت نشت کند. CVE-2026-109619 یک use-after-free در مدیریت دنباله‌خطای مرگبار PHP و یک نقص نوع-confusion جداگانه در OPcache، کش بایت‌کد حافظه‌مشترک PHP را پوشش میدهد.
بر اساس Wiz، هر دو مشکل در مسیرهای کدی قرار دارند که تقریباً هر درخواست PHP از آنها عبور می‌کند: مدیریت حافظه و مدیریت خطا. PHP Foundation همین نکته را در نظرات گزارش‌شده توسط خبرگزاری SecurityWeek مطرح کرد.
هر دو مشکل در بخش‌هایی از PHP قرار دارند که تقریباً هر درخواست به آنها دست می‌زند: مدیریت حافظه و مدیریت خطا.
جدول زمانی کشف
تیم تحقیقاتی Wiz — که در نوشته وبلاگ آنها به عنوان Sagi Tzadik، Shir Tamari، Nir Ohfeld و Tomer Schwartz نام‌برده شده‌اند — می‌گویند اولین باگ را در 19 اگوست 2026 کشف کردند، و سوء‌استفاده‌های کار اجرای کد از راه دور را در برابر نصب‌های WordPress و Drupal در دو روز بعدی تایید کردند. تیم یافته‌های خود را به تیم امنیتی PHP در 24 اگوست 2026 گزارش کرد. فاش‌سازی عمومی و رفعهای مربوطه در 21 اکتبر 2026 پیش آمد.
Wiz میگوید از مدل‌های کدنویسی هوش مصنوعی استفاده کرد، از جمله Gemini 4 Argon گوگل و GPT-5.6 Sol OpenAI، برای کمک به ساخت سوء‌استفاده‌های اثبات مفهوم، کاری را توصیف می‌کند که قبلاً برای محققان تخصصی ماه‌ها طول می‌کشید اما اکنون در ساعات قابل دستیابی است.
کی تحت تأثیر قرار دارد
Wiz میگوید نقایص زمینه‌ای در هر نسخه PHP منتشرشده در طول تقریباً دهه گذشته وجود دارند، با حضور حداقل یکی از دو CVE از PHP 5.4 به بعد. شرکت میگوید تأیید کرده است اجرای کد از راه دور بدون احراز هویت در برابر انتشارات کنونی سه سیستم مدیریت محتوای پرکاربرد: WordPress، Drupal و Joomla. SecurityWeek گزارش میدهد باگها روش‌های استقرار PHP معمول را تحت تأثیر قرار می‌دهند، از جمله PHP-FPM، Apache با mod_php، php-cgi، FrankenPHP و LiteSpeed.
Wiz مقیاس قرار‌گیری را به عنوان تأثیر بر تقریباً 70 درصد اینترنت توصیف می‌کند، اشاره‌ای به سهم وب‌سایت‌هایی که به نوعی روی PHP اجرا میشوند، بر اساس نوشتار شرکت.
| مورد | جزئیات |
|---|---|
| CVE-2026-109618 | Use-after-free در unserializer پیشرفت آپلود جلسه؛ اجرای کد از راه دور را فعال می‌کند |
| CVE-2026-109619 | Use-after-free در دنباله‌خطاهای مرگبار به علاوه یک باگ نوع-confusion در OPcache |
| شدت | با امتیاز 9.2 توسط تیم امنیتی PHP، بر اساس SecurityWeek |
| نسخههای رفع‌شده | PHP 8.5.12, 8.4.27, 8.3.36, 8.2.35، منتشرشده در 21 اکتبر 2026 |
| بازگذار‌ها | رفعهای حداقلی برای PHP 7.4, 8.0 و 8.1 نیز صادر شدند |
| مکتشفان | Wiz Research، قدردانی از Calif و OpenAI برای مشارکت در کشف، هماهنگی و تایید رفع |
تلاشهای بهرهبرداری پس از فاش‌سازی
شرکات امنیتی متعددی ترافیک حملات را در دور فاش‌سازی نظارت کردند. SecurityWeek گزارش میدهد که شرکت watchTowr اولین تلاشهای بهرهبرداری در طبیعت را در حوالی زمان فرود پیوندها شناخت اما تایید نشانه‌ای از سازش موفق نداشت. Hadrian به SecurityWeek گفت که تلاشهای بهرهبرداری در مقیاس بزرگ را قبل از اینکه رفعها منتشر شوند مشاهده کرد، متمرکز بر مسیر کد پیشرفت آپلود جلسه PHP. Patchstack، Cloudflare و Vega تلاش‌ها را در روز فاش‌سازی ثبت کردند، و Amazon گفت که تلاشهای بهرهبرداری را چهار روز قبل از حرکت رفعها شناسایی کرده بود.
چرا مقیاس PHP این را مهم می‌سازد
PHP توسط برنامه‌نویس دانمارکی-کانادایی Rasmus Lerdorf ایجاد شد، اول بار در 1995 منتشر شد، و همچنان یکی از زبان‌های اسکریپتی سمت سرور پرکاربرد برای ساخت وب‌سایت‌ها است، بر اساس ویکی‌پدیا. همان منبع یادداشت می‌کند که تا نوامبر 2025، بیش از نیمی از وب‌سایت‌های تحت نیروی PHP هنوز شاخه PHP 7 پشتیبانی نشده را اجرا می‌کردند، و حدود 9.7 درصد هنوز روی PHP 5 بودند، که سال‌ها قبل متوقف شده بود — الگویی از نرم‌افزار میراث‌دار که محققان امنیتی می‌گویند رفع سریع را در بین اکوسیستم PHP گسترده‌تر پیچیده می‌سازد.
پرسش‌ها
- PHP2Shell چیست؟
- PHP2Shell نام مستعاری است که محققان برای دو آسیبپذیری بحرانی PHP، CVE-2026-109618 و CVE-2026-109619، در نظر گرفتند، که میتواند به مهاجم اجازه دهد تا بدون ورود کد را بر روی سرور وب اجرا کند، بر اساس Wiz Research.
- کدام نسخههای PHP تحت تأثیر قرار دارند؟
- Wiz میگوید حداقل یکی از دو نقص نسخههای PHP از 5.4 تا انتشارات کنونی را تحت تأثیر قرار میدهد. رفعها برای PHP 8.5.12, 8.4.27, 8.3.36 و 8.2.35 صادر شدند، با بازگذارهای حداقلی برای PHP 7.4, 8.0 و 8.1، بر اساس SecurityWeek.
- آیا PHP2Shell واقعاً بهرهبرداری شده است؟
- بله. SecurityWeek گزارش میدهد که watchTowr، Hadrian، Patchstack، Cloudflare، Vega و Amazon همگی به طور جداگانه تلاشهای بهرهبرداری را ثبت کردند، برخی از آنها قبل از اینکه رفعهای رسمی در 21 اکتبر 2026 منتشر شوند.
- چه کسی آسیبپذیریهای PHP2Shell را کشف کرد؟
- شرکت امنیت ابری Wiz باگها را از 19 اگوست 2026 کشف کرد، و آنها را در 24 اگوست به تیم امنیتی PHP گزارش کرد. Wiz سازمانهای Calif و OpenAI را برای مشارکت در کشف، هماهنگی و تایید رفع قدردانی کرد، بر اساس نوشتار آن.
- کدام پلتفرمها آسیبپذیر تایید شدند؟
- Wiz میگوید که اجرای کد از راه دور بدون احراز هویت را در برابر انتشارات کنونی WordPress، Drupal و Joomla که روی نسخههای PHP تحت تأثیر اجرا میشوند، نشان داد.
منابع
این مطلب با هوش مصنوعی آماده شده و پیش از انتشار از بررسی خودکار منابع گذشته است. اگر خطایی دیدید، درخواست اصلاح کنید. درخواست اصلاح یا حق پاسخ · چگونه کار می‌کنیم
مطالب مرتبط
فناوریفهرست
بهترین برنامه‌های Android و ابزارهایی که می‌توانید خارج از Google Play Store دریافت کنید
کاربران Android محدود به Google Play نیستند: مخزن متن‌باز F-Droid، کلاینت ناشناس Google Play به نام Aurora Store، ردیاب بروزرسانی Obtainium، و کاتالوگ مبتنی بر Shizuku به نام ShizuStore همگی برنامه‌هایی را توزیع می‌کنند که فروشگاه رسمی نمی‌فهرست یا مجاز نمی‌کند. در اینجا نه فروشگاه و ابزار هستند که شایسته شناخت هستند، بر اساس فهرست‌های خود آنها و گزارش‌های MakeUseOf و Pocket-lint.
فناوریمقاله
PHP2Shell: دو نقص شدید PHP که دولت‌ها را مجبور کرد سایتهای خود را بسته کنند
PHP2Shell نام مستعاری برای دو نقص شدید و بدون احراز هویت در اجرای کد از دور در زبان برنامه‌نویسی PHP است — CVE-2026-109618 و CVE-2026-109619 — که در 20-21 اکتبر 2026 فاش شدند. از آنجایی که PHP بخش بسیار بزرگی از وب‌سایت‌های جهان را تشغیل میدهد، این نقص‌ها چندین دولت را مجبور کردند تا سایتهای عمومی خود را به‌عنوان اقدام احتیاطی بسته کنند. رفع رسمی با ارتقاء PHP انجام می‌شود؛ کاهش‌های موقتی در سطح سرور وجود دارد، اما خواننده‌های فردی نمی‌توانند بیش از تماشای اطلاع‌رسانی‌های نقض و استفاده از رمزهای عبور قوی و منحصربه‌فرد کاری کنند.
فناوریمقایسه
iPhone Duo در برابر Samsung Galaxy Z Fold7: مقایسه گوشی‌های تاشو
اولین گوشی تاشو اپل، iPhone Duo، در 23 اکتبر 2026 با قیمت شروع 1,999 دلار برای فروش رفت — یک سنت کمتر از Samsung Galaxy Z Fold7 (1,999.99 دلار). این دو گوشی سبک کتاب‌ای به طور عمده در اندازه صفحه‌نمایش، سخت‌افزار دوربین، وزن و سرعت شارژ متفاوت هستند، در حالی که قیمت‌های شروعی تقریباً یکسان دارند و بیش از سال یکی پس از دیگری عرضه شده‌اند.
فناوریخبر
PHP2Shell: دو نقص بحرانی PHP باعث خاموشی سایتهای جهانی
دو نقص بحرانی اجرای کد از راه دور در زبان برنامه نویسی PHP، که با شناسه CVE-2026-109618 و CVE-2026-109619 ردگیری می شوند و به نام "PHP2Shell" شناخته می شوند، به مهاجمین غیر مجاز اجازه می دهند کد را بر روی سرورهای آسیب پذیر اجرا کنند. PHP در 21 اکتبر 2026 پچ هایی منتشر کرد، پس از اینکه جزئیات استفاده بدافزار زود منتشر شد، و محققان امنیتی می گویند حملات پیش از ارسال اصلاحات آغاز شد، و این باعث شد بسیاری از سازمان ها سایت های خود را به عنوان اقدام احتیاطی خاموش کنند.