فهرست مطالب
تیم امنیتی PHP از انتشار پچ‌های اضطراری برای رفع دو آسیب‌پذیری بحرانی اجرای کد از راه دور خبر داد؛ اطلاعات این نقص‌ها پیش‌از موعد افشا شده است.
به گزارش سرویس فناوری تکناک، PHP یکی از زبان‌های برنامه‌نویسی پرکاربرد در توسعه وب است و بسیاری از وب‌سایت‌ها و برنامه‌های تحت وب، از سیستم‌های مدیریت محتوا و فروشگاه‌های اینترنتی گرفته تا سرویس‌های اختصاصی، از آن استفاده می‌کنند.
تیم توسعه PHP در اطلاعیه‌ای که روز سه‌شنبه منتشر شد، اعلام کرد به‌روزرسانی‌های امنیتی را روز چهارشنبه، ۲۱ اکتبر، ساعت ۱۴ به‌وقت هماهنگ جهانی (۱۰ صبح به‌وقت شرق آمریکا) منتشر خواهد کرد. هر دو آسیب‌پذیری طبق استاندارد CVSS نسخه ۴.۰ امتیاز ۹.۲ از ۱۰ دریافت کرده‌اند.
تیم امنیتی PHP همچنین با ارسال پیامی در فهرست ایمیلی ANNOUNCE از مدیران خواست برای نصب این به‌روزرسانی‌ها بلافاصله پس از انتشار آماده باشند.
این تیم هشدار داد: «در صورتی که جزئیات هر یک از آسیب‌پذیری‌ها عمومی شود یا شواهدی از سوءاستفاده فعال از آنها در دنیای واقعی به دست آید، این حق را برای خود محفوظ می‌دانیم که به‌روزرسانی‌ها را زودتر منتشر کنیم.»
آسیب‌پذیری‌های اجرای کد از راه دور در نسخه‌های مختلف PHP
توسعه‌دهندگان PHP هنوز جزئیات فنی این آسیب‌پذیری‌ها را منتشر نکرده‌اند. در نتیجه، نسخه‌های دقیق تحت‌تأثیر، روش‌های احتمالی سوءاستفاده و نسخه‌هایی که اصلاحیه‌های امنیتی را دریافت خواهند کرد، مشخص نیست.
بااین‌حال، پژوهشگران امنیتی شرکت watchTowr به وب‌سایت BleepingComputer گفته‌اند که این آسیب‌پذیری‌ها با شناسه‌های CVE-2026-109618 و CVE-2026-109619 ردیابی می‌شوند و از نوع اجرای کد از راه دور (RCE) هستند. به گفته این پژوهشگران، احتمال دارد نسخه‌های ۵، ۶، ۷ و ۸ زبان PHP تحت‌تأثیر قرار گرفته باشند.
بنجامین هریس، مدیرعامل watchTowr، به BleepingComputer گفت: «در یک ساعت گذشته، اطلاعات مربوط به دو آسیب‌پذیری اجرای کد از راه دور در PHP افشا شده است. قرار بود این آسیب‌پذیری‌ها تا زمان اعلام رسمی محرمانه بمانند و روز پنجشنبه ساعت ۱۱ صبح به‌وقت شرق آمریکا منتشر شوند.»
او افزود که این شرکت به‌دلیل حساسیت موضوع فعلاً نمی‌تواند اطلاعات فنی بیشتری ارائه کند، اما واقعی بودن هر دو آسیب‌پذیری را تأیید می‌کند. هریس همچنین گفت این دو نقص امنیتی طبق ارزیابی watchTowr امتیاز CVSS برابر با ۱۰ دارند و احتمالاً نسخه‌های ۵ تا ۸ PHP را تحت‌تأثیر قرار می‌دهند.
پژوهشگران watchTowr اعلام کرده‌اند که احتمالاً توانسته‌اند آسیب‌پذیری CVE-2026-109618 را با موفقیت بازتولید کنند؛ بااین‌حال، تا زمان انتشار پچ‌های امنیتی، جزئیات فنی آن را منتشر نخواهند کرد.
این شرکت همچنین تأکید کرده است که با وجود افشای زودهنگام اطلاعات، تاکنون شواهدی از بهره‌برداری عملی از این آسیب‌پذیری‌ها مشاهده نکرده است.
بیشتر بخوانید: عملیات مخفی فناوری اطلاعات کره شمالی با لپ‌تاپ‌های آمریکایی لو رفت
افشای زودهنگام اطلاعات پیش‌از اعلام رسمی
شرکت watchTowr در پیامی در شبکه اجتماعی X هشدار داد که اطلاعات مربوط‌به این آسیب‌پذیری‌ها پیش از تاریخ تعیین‌شده برای اعلام رسمی منتشر شده است.
پژوهشگران این شرکت نوشتند: «قرار بود همه تا پنجشنبه ساعت ۱۱ صبح به‌وقت شرق آمریکا منتظر بمانیم. اطلاعات مربوط به آسیب‌پذیری‌های روز صفر اجرای کد از راه دور در PHP که تحت توافق محرمانگی قرار داشتند، افشا شده است. می‌توانیم واقعی بودن آنها را تأیید کنیم.»
این هشدار پس از انتشار پستی در انجمن Hacker News متعلق به شرکت Y Combinator مطرح شد؛ پستی که اکنون حذف شده است. کاربری با نام «petecooper» در آن نوشته بود که قرار است جزئیات دو آسیب‌پذیری بحرانی اجرای کد از راه دور در PHP روز ۲۲ اکتبر منتشر شود.
بیشتر بخوانید: افشای آسیب‌پذیری امنیتی خطرناک در ربات‌های اسباب‌بازی هوشمند
در این پست که BleepingComputer پیش از حذف آن را مشاهده کرده بود، ادعا شده بود هر دو آسیب‌پذیری امتیاز ۱۰ از ۱۰ در معیار CVSS دارند و نسخه‌های PHP، از جمله نسخه ۵، را تحت‌تأثیر قرار می‌دهند. شناسه‌های اعلام‌شده در آن پست نیز با شناسه‌هایی مطابقت داشت که watchTowr بعداً منتشر کرد.
بااین‌حال، میان اطلاعات منتشرشده از سوی watchTowr و Hacker News با اطلاعیه رسمی تیم امنیتی PHP تفاوت‌هایی وجود دارد. درحالی‌که دو منبع نخست امتیاز CVSS این آسیب‌پذیری‌ها را ۱۰ اعلام کرده‌اند، تیم PHP برای هر کدام امتیاز ۹.۲ را بر اساس نسخه ۴.۰ این معیار در نظر گرفته است.
همچنین watchTowr از برنامه‌ریزی اولیه برای افشای اطلاعات در روز پنجشنبه خبر داده، اما تیم PHP رسماً انتشار به‌روزرسانی‌های امنیتی را برای صبح روز چهارشنبه برنامه‌ریزی کرده است.
تیم امنیتی PHP اعلام کرده است که هم‌زمان با انتشار به‌روزرسانی‌ها، جزئیات فنی کامل، نسخه‌های آسیب‌پذیر و نسخه‌های اصلاح‌شده را نیز منتشر خواهد کرد. تا آن زمان، مدیران سامانه‌های مبتنی بر PHP باید اطلاعیه‌های رسمی را دنبال کنند و برای نصب سریع پچ‌ها پس از انتشار آماده باشند.
بیشتر بخوانید: استفاده از گذرواژه ۱۲۳۴۵۶ باعث افشای اطلاعات میلیون‌ها نفر شد
