PHP دو آسیب‌پذیری بحرانی RCE را که پیش از اعلام عمومی مورد بهره‌برداری قرار گرفته بودند، وصله کرد

پروژه PHP در ۲۱ اکتبر ۲۰۲۶ وصله‌های اضطراری امنیتی را برای رفع دو آسیب‌پذیری بحرانی اجرای کد از راه دور منتشر کرد — اما مهاجمان از ۱۷ اکتبر، چهار روز پیش از این وصله‌ها، در حال بهره‌برداری از آن‌ها بودند. آژانس امنیت ملی آمریکا (NSA) به سازمان‌های دارای PHP توصیه کرد فوراً به‌روزرسانی کنند یا سیستم‌های آسیب‌دیده را آفلاین کنند.

هر دو آسیب‌پذیری امتیاز CVSS v4.0 معادل ۹.۲ دارند. طبق گزارش رویترز، وب‌سایت‌های دولتی، مدارس و بیمارستان‌های سراسر جهان در جریان وصله‌سازی اضطراری از دسترس خارج شدند. متخصصان امنیتی ابعاد این بحران را با — و در برخی جنبه‌ها فراتر از — بحران Heartbleed در سال ۲۰۱۴ مقایسه کردند.

ماهیت آسیب‌پذیری‌ها

CVE-2026-109618 یک باگ خراب‌شدن حافظه در وضعیت خارج از حافظه است. اگر یک درخواست PHP در لحظه اشتباه به محدودیت حافظه برخورد کند، ممکن است داده‌ای نیمه‌مقداردهی‌شده باقی بماند که PHP بعداً آن را معتبر تلقی کند. روی Apache با mod_php، یک مهاجم بدون احراز هویت می‌تواند این را پیش از اجرای کد اپلیکیشن فعال کند و اجرای کد از راه دور کامل در تنظیمات پیش‌فرض نمایش داده شده است.

CVE-2026-109619 از وضعیت سراسری قدیمی سوءاستفاده می‌کند. یک خطای مهلک در لحظه نادرست می‌تواند حالت داخلی PHP را بگذارد که به حافظه یک درخواست قبلی اشاره کند. درخواست بعدی روی همان پروسس worker می‌تواند از این اشاره‌گر آویزان بهره‌برداری کند و use-after-free و RCE تأییدشده روی Apache با mod_php را امکان‌پذیر سازد.

ابزارهای هوش مصنوعی باگ را پیدا کردند؛ نشت embargو بحران را تسریع کرد

چندین تیم تحقیقاتی از آگوست ۲۰۲۶ به‌طور مستقل علت اصلی را پیدا کردند. Alpha-Omega پیش از این PHP را با Claude Mythos آنتروپیک اسکن کرده بود. شرکت‌کنندگان در برنامه Patch the Planet اوپن‌ای اولین گزارش کامل RCE را در ۱۱ آگوست ارسال کردند.

افشای هماهنگ‌شده در آستانه شکست بود. در ۲۰ اکتبر، CVE ID‌ها و امتیاز اشتباه CVSS 10.0 آنلاین لیک شدند. ساعاتی بعد، محقق Calif به‌اشتباه ویدیویی از اثبات مفهوم (PoC) کارا منتشر کرد که در شبکه‌های اجتماعی منتشر شد. صبح روز بعد، Chainguard بیش از شش ساعت پیش از انتشار عمومی، تصاویر Docker وصله‌شده را منتشر کرد.

رفع آسیب‌پذیری ماه‌ها طول کشید و این خود شکستی بود

PHP Foundation در تحلیل پس از رویداد اذعان کرد که علت اصلی در سال ۲۰۲۴ شناسایی شده بود اما وصله ماه‌ها به دلیل اختلاف‌نظر درباره trade-off‌های پیاده‌سازی به تأخیر افتاد. Foundation این را «شکستی ساختاری» نامید و اعلام کرد تیم امنیت اکوسیستم جدیدی ایجاد کرده و فرآیند تصمیم‌گیری را اصلاح خواهد کرد.