تیم توسعه‌ی PHP روز ۲۱ اکتبر ۲۰۲۶ برای دو آسیب‌پذیری بحرانی وصله‌ی امنیتی منتشر کرد؛ حفره‌هایی که به مهاجم بدون احراز هویت اجازه می‌دهند روی وب‌سرورها کد اجرا کند. هم‌زمان مدیران امنیت چند شرکت بزرگ کریپتو از اپراتورها خواستند هرچه زودتر سرورهای خود را به‌روزرسانی کنند.
جزئیات دو آسیب‌پذیری
این دو باگ که با نام PHP2Shell شناخته می‌شوند، شناسه‌های CVE-2026-109618 و CVE-2026-109619 را دارند و هر دو در مقیاس CVSS نسخه‌ی ۴.۰ امتیاز ۹.۲ از ۱۰ گرفته‌اند. اولی به پاک‌سازی ناامن پس از خطای کمبود حافظه مربوط است و دومی به استفاده‌ی دوباره از وضعیت داخلی کهنه میان درخواست‌ها. PHP پیش از انتشار وصله، در ۲۰ اکتبر هشدار اولیه داده بود.
به گفته‌ی پروژه‌ی PHP، همه‌ی نصب‌هایی که درخواست وب پاسخ می‌دهند در معرض خطرند و بیشترین ریسک متوجه mod_php در آپاچی است. نسخه‌های اصلاح‌شده ۸.۲.۳۵، ۸.۳.۳۶، ۸.۴.۲۷ و ۸.۵.۱۲ هستند و برای شاخه‌های قدیمی ۷.۴، ۸.۰ و ۸.۱ هم وصله‌ی حداقلی در قالب کد منبع ارائه شده است. پروژه تاکید کرده که تنها راه‌حل کامل، به‌روزرسانی است.
حمله‌ها آغاز شده است
کلادفلر اعلام کرد ترافیک حمله علیه مشتریانش را مشاهده کرده و مهاجمان برای دور زدن محافظت‌های این شرکت، بار حمله را تغییر داده‌اند. دین کنشت، مدیر ارشد فناوری کلادفلر، گفت قواعد اولیه‌ی فایروال برنامه‌ی وب برای همه‌ی پلن‌ها، حتی پلن رایگان، فعال شده اما این فقط راه‌حلی موقت است.
- نیک پرکوکو، مدیر ارشد امنیت کراکن، توصیه کرد سرورهایی که فورا وصله نمی‌شوند از دسترس خارج شوند یا پشت فایروال قرار بگیرند و پس از وصله، سرورها برای حساب‌های مدیر ناشناس، فایل‌های تغییریافته و وب‌شل بررسی شوند.
- شارل گیمه، مدیر ارشد فناوری لجر، به هم‌پوشانی تهدیدهای PHP، Node.js و احراز هویت اینترنتی اشاره کرد.
- مرکز ملی امنیت سایبری بریتانیا هم از سازمان‌ها خواست نصب‌های PHP، به‌ویژه سیستم‌های رو به اینترنت، را شناسایی و به‌روزرسانی کنند.
در گزارش منبع، از نفوذ به کراکن یا لجر خبری داده نشده است.
منبع: CryptoSlate