PHP2Shell: دو نقص شدید PHP که دولت‌ها را مجبور کرد سایت‌های خود را بسته کنند

PHP2Shell نام مستعاری برای دو نقص در خود زبان برنامه‌نویسی PHP است، نه در هیچ وب‌سایت یا برنامه‌ای. آنها به عنوان CVE-2026-109618 و CVE-2026-109619 ردیابی می‌شوند، و تیم امنیتی PHP هر دو را در مقیاس CVSS v4.0 با امتیاز 9.2 از 10 رتبه‌بندی کرد، که سطح 'شدید' است، طبق صفحه آرشیو رسمی پروژه PHP 2026.

این دو نقص در واقع چه کاری انجام می‌دهند

طبق مشاوره رسمی PHP، CVE-2026-109618 زمانی فعال می‌شود که PHP در حین پردازش درخواست وب تمام شود. خطای تمام شدن حافظه می‌تواند PHP را قبل از اینکه داده‌های درخواست داخلی به‌طور کامل راه‌اندازی شوند قطع کند، و فرآیند پاک‌سازی که بعد از آن آغاز می‌شود ممکن است آن داده‌های ناقص را به عنوان معتبر در نظر بگیرد، که می‌تواند منجر به خرابی حافظه و اجرای کد از دور شود.

CVE-2026-109619 توسط PHP به عنوان خطای 'حالت عام منسوخ' توصیف می‌شود: داده‌های مرتبط با درخواست یک بازدیدکننده می‌تواند در حافظه سرور بعد از وقتی باید پاک شود باقی بماند، و درخواست بازدیدکننده بعدی که توسط همان فرآیند worker پردازش می‌شود ممکن است بر اساس آن بقایا عمل کند. شرکت امنیتی watchTowr، که یک شبکه نظارتی جهانی را اداره می‌کند، گفت هر دو خطا به مهاجم اجازه می‌دهند تا کد را بدون نیاز به ورود، قبل از اینکه کد خود وب‌سایت حتی شروع به اجرا شود، اجرا کنند.

شرکت امنیتی هلندی Sansec جزئیات فنی بیشتری اضافه کرد و گفت یکی از راه‌های بهره‌برداری از طریق ویژگی 'پیشرفت آپلود' جلسه PHP است و می‌تواند داده‌هایی مثل رمزهای عبور، کلیدهای API و کلیدهای رمزنگاری که در حافظه سرور از درخواست‌های دیگر غیرمرتبط باقی مانده‌اند را بسط دهد.

چرا بسیاری از وب‌سایت‌ها در معرض خطر قرار گرفتند

نقص‌ها در موتور PHP وجود دارند، بنابراین هر وب‌سایت یا برنامه‌ای که با PHP ساخته شده است ممکن است در معرض خطر باشد، صرف‌نظر از اینکه کدام سیستم محتوا بر روی آن اجرا می‌شود. این شامل پلتفرم‌های پرستاره مثل WordPress، Drupal، Joomla، Magento و Nextcloud است، طبق Sansec. PHP همچنان یکی از پرکاربردترین زبان‌های برنامه‌نویسی سمت سرور در وب است، که یکی از دلایلی است که نقص‌ها به عنوان ریسک وسیع و در مقیاس بزرگ در نظر گرفته شدند.

محققان امنیتی در Wiz این نقص‌ها را شناسایی کردند، و Help Net Security گزارش کرد که محققان گفتند پیشرفت‌ها در ابزارهای هوش مصنوعی مرزی به‌طور قابل‌توجهی سد فنی را برای تبدیل یک مشکل معالجه حافظه شناخته شده و سخت برای استفاده به یک بهره‌برداری کاری کاهش داده‌اند.

چرا دولت‌ها وب‌سایت‌ها را بسته کردند

جزئیات فنی نقص‌ها قبل از آماده شدن رفع رسمی PHP درز کردند، که مزیت سری اولی را که مدافعان قبل از اینکه رفع عام شود دریافت می‌کنند کاهش داد. وبلاگ امنیتی Safeguard گزارش کرد که در 21 اکتبر 2026، هلند خدماتی مثل سایت مرکز امنیت سایبری ملی خود، Overheid.nl، سایت مجلس نمایندگان و چندین سایت بیمارستان و حزب سیاسی را به‌عنوان اقدام احتیاطی بسته کرد. ارائه‌دهنده فناوری دولتی فنلاند Valtori خدمات شبکه دولتی را به‌عنوان اقدام احتیاطی بسته کرد، و شرکت فناوری اطلاعات شهرداری‌های دانمارک Kombit چندین خدمات مثل پلتفرم ارتباط مدرسی ملی را بسته کرد. وزارت کشور فرانسه به‌طور موقت سایت‌های پیشخوان و مواقع اداری محلی را بسته کرد و گفت منتظر اعمال رفع PHP است. ارائه‌دهنده فناوری اطلاعات فدرال آلمان ITZBund و وزارت امور خارجه بلژیک نیز سایت‌ها را بسته کردند، اما Safeguard گزارش کرد آنها دلایل متفاوتی دادند: ITZBund گفت هیچ حادثه امنیتی نمی‌داند، درحالی‌که وزارت امور خارجه بلژیک به گزارش‌های حملات استناد کرد.

watchTowr گفت شبکه honeypot آن، Attacker Eye، تلاش‌های بهره‌برداری واقعی را از 21 اکتبر 2026 ثبت کرد، یک روز پس از درز و همان روزی که PHP رفع خود را منتشر کرد.

مقایسه دو نقص

نحوه محافظت از وب‌سایت و داده‌های خود

1. اگر وب‌سایتی بر روی PHP اجرا می‌کنید: به نسخه رفع شده ارتقاء دهید — PHP 8.5.12، 8.4.27، 8.3.36 یا 8.2.35 — و بعد از آن تمام فرآیندهای worker PHP را دوباره راه‌اندازی کنید، زیرا مشاوره PHP و runZero تأکید می‌کنند که ارتقاء تنها رفع کامل است.
2. اگر هنوز بر روی PHP 7.4، 8.0 یا 8.1 هستید، که دیگر آپدیت‌های رسمی را دریافت نمی‌کنند، یک رفع امنیتی backported از توزیع Linux یا ارائه‌دهنده میزبانی خود بگیرید، زیرا پروژه PHP خود تعمیر آن شاخه‌ها را متوقف کرده است، طبق صفحه آرشیو PHP.
3. تا زمان رفع، runZero اقدامات موقتی را در سطح سرور یا proxy توصیه می‌کند: محدودیت‌های حافظه را محدود کنید تا برنامه‌ها نتوانند آنها را نادیده بگیرند، محدودیت‌های اندازه درخواست و آپلود چند بخشی کم را اعمال کنید، و ویژگی 'پیشرفت جلسه' در آپلود را غیرفعال کنید.
4. سیاق‌های دسترسی وب‌سرور خود را برای درخواست‌های POST غیرعادی multipart/form-data بررسی کنید، که Sansec می‌گوید عام برای تلاش‌های بهره‌برداری شناخته شده است، و برای قله‌های حافظه PHP غیرمنتظره یا خطاهای کشنده مراقبت کنید.
5. به عنوان کاربر روزمره اینترنت، نمی‌توانید سروری که کنترل نمی‌کنید را رفع کنید، اما می‌توانید از اطلاع‌رسانی‌های نقض خدماتی که استفاده می‌کنید مراقبت کنید، برای هر حساب از رمز عبور منحصربه‌فرد استفاده کنید، و احراز هویت دو عاملی را فعال کنید تا رمز عبور درز شده به تنهایی برای دسترسی به حساب‌های شما کافی نباشد.

چه چیزی هنوز نامعلوم است

تا زمان گزارش‌های بررسی‌شده، اختلاف نظر بین متخصصان در مورد گسترش بهره‌برداری فعلی در هنگام تصمیم چندین دولت برای بسته کردن وب‌سایت‌ها وجود داشت؛ Safeguard گزارش کرد که دولت هلند گفت هنگام اقدام هیچ علامتی از بهره‌برداری فعلی نداشت، درحالی‌که watchTowr به‌طور جداگانه تلاش‌های حمله واقعی را در روز بعد علیه honeypot های خود تأیید کرد.