فهرست مطالب
تیم امنیتی PHP راهکار موقتی برای مقابله با آسیب‌پذیری جدید اجرای کد از راه دور منتشر کرده است که هنوز وصله امنیتی ندارد و فقط سیستم‌هایی با تنظیمات خاص را تحت تأثیر قرار می‌دهد.
به گزارش سرویس امنیت سایبری تکناک، این آسیب‌پذیری با شناسه CVE-2026-115560 شناسایی شده است. تیم امنیتی PHP توضیح داد که سوءاستفاده از این ضعف امنیتی به شرایط غیرمعمولی نیاز دارد و اغلب برنامه‌ها در معرض آن نیستند. توسعه‌دهندگان برای کاهش خطر تا زمان انتشار وصله، غیرفعال کردن یکی از قابلیت‌های مربوط به نشست کاربران را توصیه کرده‌اند.
PHP زبان برنامه‌نویسی متن‌بازی است که برای توسعه وب کاربرد گسترده‌ای دارد. نزدیک به ۷۰ درصد وب‌سایت‌های اینترنت از این زبان استفاده می‌کنند. برآوردهای VirusTotal نیز نشان می‌دهد بیش از ۵٫۱ میلیون میزبان PHP از طریق اینترنت در دسترس هستند و حدود ۳٫۸ میلیون میزبان دست‌کم یک درگاه ارتباطی باز دارند. این آمار به معنای آسیب‌پذیر بودن همه این میزبان‌ها نیست.
بیشتر بخوانید: آسیب‌پذیری PHP وب‌سایت‌های دولتی اروپا و کانادا را از دسترس خارج کرد
شرایط خاص برای سوءاستفاده از آسیب‌پذیری PHP
تیم امنیتی PHP در اطلاعیه خود اعلام کرد که مهاجم تنها زمانی می‌تواند از CVE-2026-115560 بهره‌برداری کند که برنامه ترکیبی غیرمعمول از تنظیمات و کد اجرایی داشته باشد. نخست، مقدار session.serialize_handler باید در فایل پیکربندی روی php_binary یا php_serialize تنظیم شده باشد. سپس برنامه باید هنگام اجرا و پیش از فراخوانی تابع session_start()، با استفاده از تابع ini_set() مقدار این گزینه را به php تغییر دهد.
علاوه بر این شرایط، قابلیت ثبت و پیگیری پیشرفت بارگذاری فایل‌ها در نشست‌های PHP نیز باید فعال باقی مانده باشد. وجود هم‌زمان این شرایط زمینه بهره‌برداری از آسیب‌پذیری را فراهم می‌کند. بنابراین، صرف استفاده از PHP یا فعال بودن قابلیت بارگذاری فایل برای نتیجه‌گیری درباره آسیب‌پذیر بودن یک وب‌سایت کافی نیست.
توسعه‌دهندگان تصریح کردند برنامه‌هایی که روش سریال‌سازی نشست را هنگام اجرا تغییر نمی‌دهند، می‌توانند قابلیت پیگیری پیشرفت بارگذاری را همچنان فعال نگه دارند. به گفته آنها، ترکیب مورد نیاز برای حمله در محیط‌های واقعی بعید است. به همین دلیل، تیم امنیتی تصمیم گرفته است اصلاح نهایی را در چرخه انتشار معمول PHP قرار دهد و جزئیات کامل CVE-2026-115560 را همراه نسخه بعدی اعلام کند.
راهکار موقت برای محافظت از برنامه‌های PHP
تیم امنیتی PHP از مدیران سیستم‌ها و توسعه‌دهندگان خواسته است تا پیش از انتشار وصله، در برنامه‌هایی که ممکن است شرایط یادشده را داشته باشند، مقدار session.upload_progress.enabled را برابر صفر قرار دهند. این تغییر، قابلیت پیگیری پیشرفت بارگذاری فایل‌ها را غیرفعال می‌کند و راهکار پیشنهادی برای کاهش خطر آسیب‌پذیری جدید است.
تنظیم توصیه‌شده به این صورت است:
session.upload_progress.enabled=0
تیم توسعه PHP تأکید کرد که اگر مدیران این تنظیم را پیش‌تر اعمال کرده‌اند، باید آن را حفظ کنند و به اقدام دیگری برای اجرای همین راهکار نیاز ندارند. این توصیه نخستین بار در جریان رسیدگی به دو آسیب‌پذیری بحرانی دیگر مطرح شده بود که وصله‌های آنها روز چهارشنبه منتشر شد.
این دو آسیب‌پذیری با شناسه‌های CVE-2026-109618 و CVE-2026-109619 شناخته می‌شوند و نام مشترک PHP2Shell را دارند. برخلاف آسیب‌پذیری جدید که هنوز وصله ندارد، به‌روزرسانی‌های اضطراری برای PHP2Shell منتشر شده‌اند. تیم امنیتی PHP یک روز پیش از انتشار این اصلاحات، از مدیران خواسته بود برای نصب فوری آنها آماده باشند.
بیشتر بخوانید: هشدار فوری گوگل کلود درباره آسیب‌پذیری‌های بحرانی PHP
گسترش تلاش‌ها برای بهره‌برداری از PHP2Shell
در حالی که تیم PHP راهکار موقت این آسیب‌پذیری تازه را اعلام کرده است، شرکت‌های امنیت سایبری همچنان فعالیت مهاجمان علیه دو آسیب‌پذیری PHP2Shell را بررسی می‌کنند. پیش از انتشار وصله‌ها، نمونه‌هایی از کد اثبات مفهوم در اینترنت منتشر شد، اما تیم امنیتی PHP اعلام کرد که هیچ‌یک از نمونه‌های منتشرشده عملکرد موفقی نداشته‌اند.
شرکت‌های Cloudflare، watchTowr، Previdian، Hadrian و Patchstack تلاش‌های ناموفق برای بهره‌برداری از PHP2Shell را حتی پیش از افشای عمومی شناسایی کردند. این تلاش‌ها پس از افشای اطلاعاتی شامل شناسه‌های آسیب‌پذیری‌ها و توصیه‌های امنیتی ارائه‌شده به برخی زیرساخت‌های حیاتی مشاهده شدند.
پژوهشگران اطلاعات تهدیدات آمازون نیز اعلام کردند که مهاجمان چهار روز پیش از انتشار وصله‌های روز چهارشنبه، هدف قرار دادن این ضعف‌های امنیتی را آغاز کرده بودند. سی‌جی موزس، مدیر ارشد امنیت اطلاعات AWS بیان کرد که تفاوت محموله‌های مورد استفاده و زیرساخت‌های ناشناس‌سازی نشان می‌دهد احتمالا چندین گروه در این فعالیت‌ها نقش داشته‌اند. وی تصریح کرد که هنوز معلوم نیست آیا تلاش‌های شناسایی‌شده می‌توانستند به نفوذ موفق در سیستم‌های واقعی منجر شوند.
همچنین موزس از گسترش تلاش‌های بهره‌برداری از PHP2Shell خبر داد، اما تعداد حملات موفق احتمالی همچنان نامشخص است. تیم TRACE شرکت Dataminr نیز روز پنجشنبه اعلام کرد که فعالیت‌های مشاهده‌شده پس از افشای آسیب‌پذیری‌ها عمدتا به اسکن، شناسایی ویژگی‌های سیستم‌ها و اجرای کدهای ناکارآمد محدود بوده و تاکنون نفوذ موفق شناخته‌شده‌ای ثبت نشده است.
پژوهشگران Dataminr هشدار دادند که ممکن است در آینده کدهای بهره‌برداری عملیاتی یا حملات موفق ظاهر شوند. هرچند، این هشدار به آسیب‌پذیری‌های PHP2Shell مربوط است و نباید با وضعیت CVE-2026-115560 اشتباه گرفته شود. برای آسیب‌پذیری جدید، توصیه فعلی تیم PHP بررسی شرایط خاص پیکربندی و حفظ تنظیم موقت اعلام‌شده تا انتشار وصله رسمی است.
