PHP2Shell: دو نقص بحرانی PHP باعث خاموشی سایتهای جهانی

PHP، زبان برنامه نویسی اسکریپتی که بخش بزرگی از کد سمت سرور وب را اجرا می کند، به دو نقص امنیتی بحرانی ضربه خورد که در اکتبر 2026 افشا شدند. به طور جمعی "PHP2Shell" نام دارند و با CVE-2026-109618 و CVE-2026-109619 ردگیری می شوند، و این ایرادات به مهاجمی بدون حساب یا رمز عبور اجازه می دهند کد دلخواه را بر روی یک سرور وب آسیب پذیر اجرا کند.

این نقاط ضعف چه می کنند

بر اساس شرکت امنیتی watchTowr، CVE-2026-109618 زمانی رخ می دهد که PHP در میان تنظیم یک درخواست ورودی، از حافظه تمام می شود و داده های درخواست داخلی تنها به طور جزئی مقدار اولیه دریافت می کند؛ سپس روتین تمیزکاری PHP اشتباهاً این داده های نامعتبر را به عنوان معتبر تعامل می کند. CVE-2026-109619 شامل وضعیت داخلی مرتبط با یک درخواست است که پس از آزاد شدن حافظه ای که به آن اشاره می کند، باقی می ماند، بنابراین یک درخواست بعدی که توسط همان فرایند کارگر پردازش می شود می تواند از آن وضعیت کهنه استفاده کند تا پیش از اینکه مقدار اولیه عادی آن را بازنشانی کند.

شرکت تحقیقاتی Wiz، که این ایرادات را بررسی کرده است، به Help Net Security گفت که این مشکلات برای سال ها بدون توجه باقی مانده و در میان شدیدترین مواردی است که در این زبان پیدا شده اند. علاوه بر اجرای کد کامل از راه دور، watchTowr گفت که این اشکالات می توانند فرایندهای کارگر PHP را خراب کنند، قراءت فایل خودسرانه را مجاز کنند، یا حافظه سرور را در معرض فشار قرار دهند.

چه کسی آن را کشف کرد و کی

دو نقص از طریق تلاش های تحقیقی جداگانه گزارش شدند. اطلاعیه watchTowr، کشف را به تیم تحقیق امنیتی در Calif نسبت می دهد، در حالی که پوشش Help Net Security، شناسایی و افشاء را به محققین در Wiz نسبت می دهد. جدول زمانی افشاء غیر معمول بود: جزئیاتی که قرار بود تحت محرمانگی باقی بماند، به طور علنی در 20 اکتبر 2026 افشا شد و watchTowr تأیید کرد که اطلاعات افشا شده واقعی است. مدیران PHP با انتشار پچ های یک روز قبل از تاریخ برنامه ریزی شده 22 اکتبر، ساعت 14:00 UTC در 21 اکتبر 2026 پاسخ دادند.

دامنه: کی PHP آسیب پذیر را اجرا می کند

PHP یکی از پرکاربردترین زبان های سمت سرور در وب است و این ایرادات می توانند بر هر تنظیماتی تأثیر بگذارند که درخواست های HTTP ورودی را از طریق آن پردازش می کند. تنظیمات آسیب پذیر شامل PHP-FPM، Apache با mod_php، php-cgi، FrankenPHP و LiteSpeed هستند، بر اساس watchTowr، به این معنی که خطا در خود لایه سرور است نه در هیچ کاربرد واحد.

از آنجا که PHP 7.4، 8.0 و 8.1 دیگر به طور رسمی پشتیبانی نمی شوند، watchTowr می گوید که هیچ پچی از پروژه PHP هسته برای سایت هایی که هنوز روی این شاخه ها کار می کنند، وجود ندارد، اگرچه توزیع لینوکس یا پچ های طولانی مدت فروشنده ممکن است به عنوان یک گزینه موقتی در دسترس باشند؛ در غیر این صورت این نصب ها باید به یک شاخه پشتیبانی شده منتقل شوند. PHP 7.3 و قدیمی تر هیچ اصلاحی ندارند، بر اساس watchTowr. اطلاعیه PHP بیان می کند که هیچ تغییر پیکربندی به طور کامل نقاط ضعف را بسته نمی کند جز اینکه نرم افزار را به روزرسانی کند.

اثر و استفاده

Help Net Security گزارش داد که شبکه honeypot که توسط Amazon اجرا می شود، تلاش های استفاده در 17 اکتبر 2026 - چهار روز قبل از پچ عمومی - شناسایی کرد، که نشان می دهد برخی از مهاجمین به دسترسی زودرس به جزئیات استفاده داشتند. watchTowr گفت که شبکه honeypot "Attacker Eye" خود، استفاده فعال در حال جریان ادامه یافتند پس از انتشار پچ در 21 اکتبر را مشاهده کرد. سیستم های مدیریت محتوا بر اساس PHP، از جمله WordPress، Drupal و Joomla، همراه با برنامه های مبتنی بر Laravel و پلتفرم های تجارت الکترونیکی، همگی در محدوده تأثیرگذار هستند زیرا بر روی موتور PHP آسیب پذیر کار می کنند.

در حالی که وصل شدن انجام می شود، آژانس های دولتی، انجمن های آنلاین، پلتفرم های بازی و برخی سایت های مرتبط بع زیرساخت به عنوان اقدام احتیاطی در حالی که اپراتورها اصلاحات را به کار می گذاشتند خاموش شدند، بر اساس پوشش خلاصه شده در ورودی PHP2Shell در ویکی پدیا. مرکز ملی امنیت سایبری انگلیس از سازمان هایی که نمی توانستند فوری پچ کنند، خواست سیستم های آسیب پذیر را خاموش کنند، بر اساس آنچه Help Net Security گزارش داد.

رتبه بندی شدت و آنچه اپراتورهای سایت باید انجام دهند

توسعه دهندگان PHP هر دو نقص را 9.2 از 10 در مقیاس CVSS v4.0 رتبه بندی کردند، نمره "حرج"، بر اساس اطلاعیه watchTowr. مسیر اصلاح واضح، بر اساس اطلاعیه PHP و watchTowr، به روزرسانی به PHP 8.5.12، 8.4.27، 8.3.36 یا 8.2.35 بر اساس شاخه ای که سرور اجرا می کند؛ سایت های روی 7.4، 8.0 یا 8.1 باید از پچ توزیع استفاده کنند یا به یک شاخه پشتیبانی شده منتقل شوند، در حالی که سروری روی 7.3 یا قدیمی تر هیچ اصلاحی در دسترس ندارند و نیاز به ارتقاء دارند.