دو آسیب‌پذیری بسیار خطرناک در زبان برنامه‌نویسی PHP شناسایی شده‌اند که می‌توانند امنیت میلیون‌ها وب‌سایت را تهدید کنند. این نقص‌های امنیتی با شدت ۹٫۲ از ۱۰، امکان اجرای کد از راه دور را تحت شرایط مشخص برای مهاجمان فراهم می‌کنند؛ حتی اگر مهاجم حساب کاربری معتبری در سرور نداشته باشد.
تیم توسعه PHP در ۲۱ اکتبر ۲۰۲۶ وصله‌های اضطراری برای رفع این آسیب‌پذیری‌ها منتشر کرده است. کارشناسان امنیت سایبری از مدیران سرورها خواسته‌اند بدون تأخیر نسخه PHP مورد استفاده خود را بررسی و به‌روزرسانی کنند.
دو آسیب‌پذیری بحرانی PHP چه خطراتی دارند؟
آسیب‌پذیری‌های جدید با شناسه‌های CVE-2026-109618 و CVE-2026-109619 ثبت شده‌اند و هر دو امتیاز ۹٫۲ از ۱۰ را در استاندارد CVSS نسخه ۴ دریافت کرده‌اند.
این امتیاز نشان‌دهنده شدت بحرانی نقص‌های امنیتی است.
مهاجمان در صورت فراهم‌بودن شرایط لازم می‌توانند از این آسیب‌پذیری‌ها برای اجرای دستورات دلخواه روی سرور استفاده کنند.
چنین حمله‌ای ممکن است به سرقت اطلاعات، دسترسی به فایل‌های حساس، تغییر محتوای وب‌سایت یا نفوذ به بخش‌های دیگر زیرساخت منجر شود.
نکته نگران‌کننده این است که سوءاستفاده از این نقص‌ها لزوماً به ورود اولیه مهاجم به حساب کاربری نیاز ندارد.
آسیب‌پذیری PHP2Shell چیست؟
پژوهشگران امنیتی شرکت Wiz مجموعه آسیب‌پذیری‌های جدید را با نام PHP2Shell معرفی کرده‌اند.
این مشکلات به نحوه مدیریت حافظه در هسته PHP مربوط می‌شوند.
در بعضی شرایط، مدیریت نادرست خطاهای کمبود حافظه می‌تواند باعث شود PHP از داده‌های ناقص یا بخش‌هایی از حافظه که قبلاً آزاد شده‌اند استفاده کند.
آسیب‌پذیری CVE-2026-109618
این نقص به شرایط کمبود حافظه یا Out-of-Memory مربوط است.
در جریان پردازش بعضی درخواست‌ها، خطای کمبود حافظه می‌تواند روند آماده‌سازی داده‌های داخلی را مختل کند.
در ادامه، هنگام پاک‌سازی درخواست، ممکن است اطلاعات ناقص به‌اشتباه معتبر تلقی شوند.
این وضعیت می‌تواند به تخریب حافظه و در شرایط خاص به اجرای کد از راه دور منجر شود.
آسیب‌پذیری CVE-2026-109619
آسیب‌پذیری دوم به استفاده از حافظه پس از آزادسازی آن مربوط می‌شود.
در این وضعیت، برخی داده‌های داخلی مرتبط با درخواست قبلی ممکن است پس از آزادشدن حافظه همچنان باقی بمانند.
اگر درخواست بعدی به این داده‌های نامعتبر دسترسی پیدا کند، امکان بروز رفتار غیرمنتظره و سوءاستفاده امنیتی وجود دارد.
پژوهشگران همچنین درباره احتمال افشای اطلاعات حساس موجود در حافظه سرور هشدار داده‌اند.
آیا سایت‌های وردپرسی هم در خطر هستند؟
بله، وب‌سایت‌های وردپرسی نیز باید این هشدار را جدی بگیرند.
وردپرس با زبان PHP توسعه یافته و برای اجرای بخش مهمی از قابلیت‌های خود به این زبان وابسته است.
البته وجود وردپرس روی یک سرور به‌تنهایی به معنای قابل‌نفوذبودن آن نیست. میزان خطر به نسخه PHP، پیکربندی سرور و شرایط فنی محیط اجرا بستگی دارد.
نکته مهم این است که نقص‌های جدید در هسته PHP قرار دارند، نه لزوماً در افزونه یا قالب وردپرس.
بنابراین، حتی وب‌سایتی که وردپرس و تمام افزونه‌های آن را به‌روز نگه داشته است، ممکن است همچنان از نسخه آسیب‌پذیر PHP استفاده کند.
این موضوع درباره سامانه‌های دیگری مانند Joomla و Drupal و بسیاری از برنامه‌های اختصاصی مبتنی بر PHP نیز صدق می‌کند.
وصله امنیتی PHP منتشر شد؛ کدام نسخه‌ها امن هستند؟
تیم PHP در روز ۲۱ اکتبر ۲۰۲۶ به‌روزرسانی‌های امنیتی زیر را منتشر کرده است:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
این نسخه‌ها برای رفع دو آسیب‌پذیری بحرانی جدید منتشر شده‌اند.
مدیران سرورها باید متناسب با شاخه PHP مورد استفاده خود، نسخه اصلاح‌شده را نصب کنند.
برای نمونه، سروری که از PHP 8.4 استفاده می‌کند باید به نسخه 8.4.27 یا نسخه اصلاح‌شده بعدی ارتقا پیدا کند.
همچنین استفاده‌کنندگان نسخه‌های قدیمی و خارج از پشتیبانی باید برای مهاجرت به شاخه‌های پشتیبانی‌شده برنامه‌ریزی کنند.
در برخی توزیع‌های لینوکس ممکن است وصله امنیتی از طریق بسته اختصاصی همان توزیع ارائه شود و شماره نسخه ظاهری PHP تغییر نکند. در چنین مواردی باید وضعیت اصلاح آسیب‌پذیری از طریق اطلاعیه رسمی ارائه‌دهنده سیستم‌عامل بررسی شود.
چند سرور در معرض خطر آسیب‌پذیری PHP هستند؟
شرکت امنیتی Palo Alto Networks اعلام کرده براساس داده‌های ابزار Cortex Xpanse، بیش از ۲۲٫۶ میلیون نمونه در دسترس از طریق اینترنت را شناسایی کرده که ممکن است در برابر این آسیب‌پذیری‌ها آسیب‌پذیر باشند.
این رقم به معنای هک‌شدن ۲۲٫۶ میلیون سرور نیست.
همچنین نمی‌توان نتیجه گرفت تمام نمونه‌های شناسایی‌شده قطعاً در شرایط قابل سوءاستفاده قرار دارند.
بااین‌حال، گستردگی استفاده از PHP در اینترنت باعث شده این آسیب‌پذیری‌ها از نظر امنیتی اهمیت زیادی پیدا کنند.
مرکز ملی امنیت سایبری بریتانیا نیز با انتشار هشدار رسمی، از سازمان‌ها خواسته است اقدامات لازم را برای کاهش خطر انجام دهند.
آیا هکرها از آسیب‌پذیری‌های PHP سوءاستفاده کرده‌اند؟
انتشار وصله‌های امنیتی معمولاً توجه پژوهشگران و مهاجمان را به جزئیات آسیب‌پذیری جلب می‌کند.
گزارش‌هایی از ظهور تلاش‌های اولیه برای سوءاستفاده از نقص‌های جدید منتشر شده است.
بااین‌حال، باید میان انتشار کد اثبات مفهوم، تلاش برای بهره‌برداری و نفوذ موفق به سرورها تفاوت قائل شد.
وجود یک نمونه کد آزمایشی به معنای آن نیست که تمام وب‌سایت‌های آسیب‌پذیر مورد حمله موفق قرار گرفته‌اند.
با توجه به شدت بالای این نقص‌ها، توصیه اصلی کارشناسان امنیتی همچنان نصب فوری وصله‌هاست.
مدیران سایت‌ها برای جلوگیری از هک PHP چه کار کنند؟
نخستین اقدام، شناسایی نسخه PHP نصب‌شده روی سرور است.
مدیران سایت‌های وردپرسی معمولاً می‌توانند نسخه PHP را از طریق اطلاعات سلامت سایت در پیشخوان وردپرس یا پنل مدیریت هاست بررسی کنند.
پس از شناسایی نسخه، باید به‌روزرسانی امنیتی متناسب با محیط سرور نصب شود.
اقدامات مهم عبارت‌اند از:
- بررسی نسخه PHP و شناسایی سرورهای آسیب‌پذیر
- تهیه نسخه پشتیبان از فایل‌ها و پایگاه داده
- نصب نسخه اصلاح‌شده PHP یا بسته امنیتی ارائه‌دهنده سیستم‌عامل
- راه‌اندازی مجدد سرویس‌های PHP-FPM، Apache یا سایر پردازش‌های PHP در صورت نیاز
- بررسی گزارش‌های امنیتی سرور برای شناسایی فعالیت‌های غیرعادی
- اطمینان از عملکرد صحیح وب‌سایت پس از به‌روزرسانی
در صورتی که مدیر سایت به تنظیمات PHP دسترسی ندارد، باید موضوع را فوراً با شرکت هاستینگ در میان بگذارد.
همچنین استفاده از فایروال برنامه‌های تحت وب می‌تواند به کاهش برخی خطرات کمک کند، اما جایگزین نصب وصله امنیتی نیست.
آیا به‌روزرسانی وردپرس برای رفع این مشکل کافی است؟
خیر. به‌روزرسانی هسته وردپرس، قالب‌ها و افزونه‌ها ضروری است، اما به‌تنهایی این دو نقص موجود در PHP را برطرف نمی‌کند.
برای رفع آسیب‌پذیری‌های CVE-2026-109618 و CVE-2026-109619 باید نسخه PHP اجراشده روی سرور اصلاح شود.
در هاست‌های اشتراکی، مسئولیت نصب وصله‌های PHP معمولاً برعهده شرکت میزبانی است.
بااین‌حال، مدیر وب‌سایت باید از نصب به‌روزرسانی اطمینان حاصل کند.
جمع‌بندی
شناسایی دو آسیب‌پذیری بحرانی در هسته PHP یکی از مهم‌ترین هشدارهای امنیت وب در اکتبر ۲۰۲۶ محسوب می‌شود.
این نقص‌ها می‌توانند تحت شرایط مشخص به اجرای کد از راه دور و دسترسی غیرمجاز به اطلاعات سرور منجر شوند.
با انتشار نسخه‌های اصلاح‌شده در ۲۱ اکتبر، مهم‌ترین اقدام برای مدیران وب‌سایت‌ها نصب فوری به‌روزرسانی‌های امنیتی است.
کاربران عادی معمولاً نیازی به تغییر تنظیمات مرورگر ندارند؛ زیرا این آسیب‌پذیری‌ها در سمت سرور قرار دارند و مسئولیت اصلی رفع آن‌ها برعهده مدیران زیرساخت و شرکت‌های میزبانی است.
