پروژه PHP در ۲۱ اکتبر ۲۰۲۶ نسخه‌های 8.5.12، 8.4.27، 8.3.36 و 8.2.35 را برای رفع دو آسیب‌پذیری بحرانی منتشر کرد. به گزارش Salesforce، نقص‌های CVE-2026-109618 و CVE-2026-109619 که با نام مشترک PHP2Shell شناخته می‌شوند، در استقرارهای آسیب‌پذیر می‌توانند اجرای کد از راه دور و بدون احراز هویت را ممکن کنند.
PHP2Shell چه خطرهایی دارد؟
برای هر دو نقص، امتیاز پایه 9.2 در CVSS v4.0 گزارش شده است. CVE-2026-109618 یک مشکل خرابی حافظه است که در شرایط مشخص می‌تواند به اجرای کد از راه دور بینجامد. CVE-2026-109619 نیز به باقی‌ماندن وضعیت سراسری مربوط می‌شود و علاوه بر اجرای کد، احتمال افشای حافظه را به همراه دارد. آسیب‌پذیر بودن هر سامانه به نسخه PHP در حال اجرا، وضعیت نصب وصله‌ها و پیکربندی آن وابسته است؛ بنابراین صرف استفاده از PHP به معنای قابل بهره‌برداری بودن یک سایت یا برنامه نیست.
گزارش‌های منتشرشده از نمایش‌های فنی معتبر برای بهره‌برداری و همچنین فعالیت‌های مشکوک یا تلاش‌های احتمالی در فضای واقعی حکایت دارند، اما این موارد به‌تنهایی اثبات‌کننده نفوذ موفق یا آلودگی گسترده سامانه‌های عملیاتی نیستند. Salesforce نیز اعلام کرده محصولات، خدمات و زیرساخت خود را بررسی می‌کند و در زمان انتشار گزارش، مدرکی از بهره‌برداری مؤثر بر سامانه‌ها یا داده‌های مشتریانش در اختیار نداشته است.
مدیران سایت چه اقدامی انجام دهند؟
توصیه اصلی، شناسایی استقرارهای احتمالا آسیب‌پذیر و به‌روزرسانی خود محیط اجرای PHP است؛ به‌روزرسانی صرف برنامه‌های مبتنی بر PHP کافی نیست. تیم امنیت PHP تأکید کرده راهکار کاهنده‌ای که این خطر را به‌طور کامل برطرف کند وجود ندارد و نصب نسخه اصلاح‌شده انتخاب ایمن است.
اگر نصب وصله فوری ممکن نیست، جداسازی موقت سامانه‌های آسیب‌پذیرِ متصل به اینترنت یا اجرای اقدامات کاهش خطر مندرج در اطلاعیه امنیتی PHP می‌تواند میزان مواجهه را کم کند، اما جایگزین به‌روزرسانی نیست. برای PHP 7.4، 8.0 و 8.1 نیز وصله‌های حداقلی در سطح کد منبع ارائه شده و برخی توزیع‌ها و عرضه‌کنندگان پشتیبانی بلندمدت بسته اصلاح‌شده دارند؛ بااین‌حال این وصله‌ها پشتیبانی رسمی شاخه‌های پایان‌عمر را بازنمی‌گردانند و ارتقا به نسخه پشتیبانی‌شده همچنان راهکار بلندمدت پیشنهادی است.
مشتریان Heroku باید برنامه‌های PHP خود را با نسخه‌های اصلاح‌شده بازسازی و دوباره مستقر کنند. کاربران PHP 8.1 روی Heroku-22 نیز لازم است راهنمای وصله بازگشتی Heroku را بررسی و برای مهاجرت به نسخه‌ای تحت پشتیبانی برنامه‌ریزی کنند. در مجموع، این رخداد برای مدیران سایت و تیم‌های توسعه یادآوری روشنی است که موجودی نسخه‌های PHP، وضعیت وصله‌ها و دسترسی اینترنتی سامانه‌ها باید بدون تأخیر بررسی شود.
