N環球 N GLOBE
فناوری جهانی

"PHP2Shell": PHP وصله های اضطراری را برای دو نقص مهم CVSS-9.2 ارسال می کند که امکان اجرای کد از راه دور غیرقابل احراز هویت را فراهم می کند.

· N GLOBE

PHP به‌روزرسانی‌های اضطراری را در 21 اکتبر منتشر کرد و دو نقص مهم را که مجموعاً PHP2Shell (CVE-2026-109618، CVE-2026-109619) نامیده می‌شوند، برطرف کرد که توسط محققان Wiz، Calif و OpenAI یافت شد. جزئیات قبل از افشای هماهنگ به بیرون درز کرد و Cloudflare حملات واقعی را قبل از ارسال پچ مشاهده کرد. هر نصب PHP که درخواست های وب را ارائه می دهد تحت تأثیر قرار می گیرد.

چرا مهم است

این یکی از شدیدترین آسیب پذیری های وب در سال های اخیر است. PHP بخش بزرگی از وب‌سایت‌های جهان (وردپرس، دروپال، جوملا) را تأمین می‌کند و این بار این نقص در خود موتور زبان وجود دارد - حتی یک سایت کاملاً نوشته شده هیچ محافظتی ارائه نمی‌کند. یک مهاجم نیازی به حساب کاربری ندارد. یک درخواست می تواند اجرای کد را بر روی سرور ارائه دهد.

این همچنین واضح‌ترین تصویری است که تاکنون از نقش دوگانه هوش مصنوعی در تحقیقات امنیتی نشان می‌دهد: ویز می‌گوید که نقص‌ها برای دهه‌ها در کمین بودند و نشان دادن قابلیت بهره‌برداری مستلزم زنجیره‌ای «در لبه آنچه محققین انسانی عملاً می‌توانستند به دست آورند» است. مدل‌های هوش مصنوعی مرزی به طور قابل‌توجهی این مانع را کاهش دادند و یک نقص قدیمی را به یک بهره‌برداری کاری تبدیل کردند.

گزارش کامل

تیم امنیتی PHP به روز رسانی های اضطراری را در 21 اکتبر منتشر کرد که CVE-2026-109618 و CVE-2026-109619 را اصلاح کردند، هر دو دارای رتبه CVSS v4.0 9.2 و نام مجموع PHP2Shell بودند. هر دو از حالت حافظه خراب ناشی می‌شوند که یک درخواست به‌طور غیرعادی پایان می‌یابد، و هر دو می‌توانند توسط مهاجمان احراز هویت نشده برای اجرای کد از راه دور مورد سوء استفاده قرار گیرند.

هر نصب PHP که درخواست های وب را ارائه می دهد تحت تأثیر قرار می گیرد، از جمله PHP-FPM، Apache mod_php، php-cgi، FrankenPHP و LiteSpeed. این تیم می‌گوید ریسک برای mod_php بالاتر است، جایی که یک اکسپلویت نشان‌داده شده قبل از اجرای هر کد برنامه فعال می‌شود. یک نقص حتی می‌تواند به مهاجم اجازه دهد تا حافظه کاری را که رمز عبور، توکن‌ها و کلیدهای API درخواست‌های دیگر را در خود نگه می‌دارد، بخواند.

این نقص ها توسط محققان Wiz، کالیفرنیا، OpenAI (یک شریک در برنامه Patch the Planet) و Quarkslab پیدا شد. جزئیات فنی در 20 اکتبر قبل از افشای هماهنگ برنامه ریزی شده فاش شد و باعث شد PHP یک روز زودتر منتشر کند. Cloudflare گفت که قبل از ارسال وصله و فعال کردن قوانین WAF در 21 اکتبر، ترافیک حمله به مشتریان خود را مشاهده کرده است.

از مدیران خواسته می شود فوراً به PHP 8.5.12، 8.4.27، 8.3.36 یا 8.2.35 به روز رسانی کنند. PHP 7 و نسخه‌های قبلی دیگر به‌روزرسانی‌های رسمی را دریافت نمی‌کنند.

💬 Comments

No comments yet. Be the first!