هشدار رسمی PHP
تیم PHP در ۲۱ اکتبر ۲۰۲۶ چهار نسخه امنیتی 8.2.35، 8.3.36، 8.4.27 و 8.5.12 را منتشر کرد. دلیل انتشار، دو آسیب‌پذیری بحرانی CVE-2026-109618 و CVE-2026-109619 است که طبق اعلام رسمی می‌توانند بدون احراز هویت به Remote Code Execution برسند.
چرا PHP2Shell جدی است؟
طبق اطلاعیه PHP، همه نصب‌های PHP که درخواست وب سرو می‌کنند باید در Scope بررسی قرار بگیرند؛ PHP-FPM، mod_php، php-cgi، FrankenPHP و LiteSpeed. upstream ریسک mod_php را بالاتر توصیف کرده و می‌گوید در آن سناریو امکان trigger شدن پیش از اجرای کد application وجود دارد.
در زبان عملیاتی، RCE یعنی مهاجم در صورت موفقیت می‌تواند کد را با سطح دسترسی فرایند PHP اجرا کند؛ این می‌تواند به shell روی میزبان منجر شود. IROSG جزئیات exploit یا PoC را بازنشر نمی‌کند.
نسخه‌های امن upstream
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
برای PHP 8.1 و قدیمی‌تر، وضعیت backport توزیع یا vendor را بررسی کنید یا به شاخه پشتیبانی‌شده مهاجرت کنید.
اقدام پیشنهادی IROSG
اول runtime واقعی را inventory کنید؛ فقط نسخه CLI کافی نیست و ممکن است poolهای FPM، container image یا appliance دیگری نسخه متفاوت داشته باشند. سپس patch، restart یا redeploy و بررسی logها را انجام دهید. خود PHP تأکید کرده mitigation کامل وجود ندارد و update تنها انتخاب امن است.
