اطلاعات دو حفره امنیتی PHP قبل از انتشار رسمی فاش شده بود

تیم امنیتی PHP از انتشار وصله‌های اضطراری برای رفع دو آسیب‌پذیری حیاتی اجرای کد از راه دور اعلام شد. اطلاعات مربوط به این نقص ها از قبل فاش شده است.

به گزارش سرویس فناوری مجردPHP یکی از پرکاربردترین زبان های برنامه نویسی در توسعه وب است و بسیاری از وب سایت ها و برنامه های کاربردی تحت وب از سیستم های مدیریت محتوا و فروشگاه های آنلاین گرفته تا خدمات اختصاصی از آن استفاده می کنند.

در اطلاعیه‌ای در روز سه‌شنبه، تیم توسعه‌دهنده PHP اعلام کرد که به‌روزرسانی‌های امنیتی را در روز چهارشنبه، ۲۱ اکتبر در ساعت ۲ بعد از ظهر به وقت شرقی (۱۰:۰۰ صبح به وقت شرقی) منتشر خواهد کرد. هر دو آسیب پذیری بر اساس نسخه 4.0 CVSS امتیاز 9.2 از 10 را دریافت کرده اند.

تیم امنیتی PHP همچنین پیامی به لیست پستی ANNOUNCE ارسال کرد و از مدیران خواست تا به محض انتشار این به روز رسانی ها را نصب کنند.

این تیم هشدار داد: «ما این حق را برای خود محفوظ می‌داریم که در صورت عمومی شدن جزئیات آسیب‌پذیری‌ها یا یافتن شواهدی از بهره‌برداری فعال در دنیای واقعی، زودتر به‌روزرسانی‌ها را منتشر کنیم.

آسیب پذیری های اجرای کد از راه دور در نسخه های مختلف PHP

توسعه دهندگان PHP هنوز جزئیات فنی این آسیب پذیری ها را منتشر نکرده اند. در نتیجه، نسخه‌های دقیق تحت تأثیر، روش‌های سوءاستفاده احتمالی، و اینکه کدام نسخه‌ها وصله‌های امنیتی را دریافت خواهند کرد، ناشناخته هستند.

با این حال، محققان امنیتی در watchTowr به BleepingComputer گفتند که این آسیب‌پذیری‌ها به‌عنوان CVE-2026-109618 و CVE-2026-109619 ردیابی می‌شوند و از نوع Remote Code Execution (RCE) هستند. به گفته این محققان، نسخه های 5، 6، 7 و 8 زبان PHP احتمالا تحت تاثیر قرار خواهند گرفت.

بنجامین هریس، مدیرعامل WatchTowr به BleepingComputer گفت: “در یک ساعت گذشته، دو آسیب‌پذیری اجرای کد از راه دور در PHP فاش شده است. این آسیب‌پذیری‌ها قرار بود تا زمان اعلام رسمی محرمانه باقی بماند و در روز پنجشنبه در ساعت 11:00 صبح به وقت شرقی منتشر شد.”

وی افزود که این شرکت در حال حاضر به دلیل حساسیت موضوع نمی تواند اطلاعات فنی بیشتری ارائه کند، اما تایید کرد که هر دو آسیب پذیری واقعی هستند. هریس همچنین گفت که این دو آسیب‌پذیری دارای امتیاز CVSS 10 هستند که توسط watchTowr ارزیابی شده است و احتمالاً نسخه‌های 5 تا 8 PHP را تحت تأثیر قرار می‌دهند.

محققان watchTowr اعلام کرده‌اند که احتمالاً آسیب‌پذیری CVE-2026-109618 را با موفقیت بازتولید کرده‌اند. با این حال، تا زمانی که وصله های امنیتی منتشر نشود، جزئیات فنی را منتشر نخواهند کرد.

این شرکت همچنین تاکید کرده است که با وجود افشای اولیه اطلاعات، هنوز شواهدی مبنی بر بهره برداری عملی از این آسیب پذیری ها مشاهده نکرده است.

بیشتر بخوانید: عملیات محرمانه فناوری اطلاعات کره شمالی با لپ تاپ های آمریکایی فاش شد

افشای زودهنگام اطلاعات قبل از اعلام رسمی

شرکت watchTowr در پیامی در شبکه اجتماعی X هشدار داد که اطلاعات مربوط به این آسیب پذیری ها قبل از تاریخ تعیین شده برای اعلام رسمی منتشر شده است.

محققان این شرکت نوشتند: “قرار بود همه ما تا پنجشنبه ساعت 11 صبح به وقت شرقی منتظر بمانیم.” اطلاعات مربوط به آسیب‌پذیری‌های اجرای کد از راه دور صفر روز در PHP که توسط یک توافق‌نامه عدم افشای پوشش داده شده بودند، افشا شده است. ما می توانیم صحت آنها را تایید کنیم.”

این هشدار پس از انتشار پستی در فروم Hacker News متعلق به شرکت Y Combinator مطرح شد. اکنون پست حذف شده است. کاربری به نام «petecooper» نوشت که جزئیات دو آسیب‌پذیری حیاتی اجرای کد از راه دور در PHP قرار است در ۲۲ اکتبر منتشر شود.

بیشتر بخوانید: افشای یک آسیب پذیری امنیتی خطرناک در روبات های اسباب بازی هوشمند

این پست که قبل از حذف توسط BleepingComputer دیده شده بود، ادعا می کرد که هر دو آسیب پذیری امتیاز 10 از 10 را در بنچمارک CVSS دارند و بر نسخه های PHP از جمله نسخه 5 تأثیر می گذارد.

با این حال، بین اطلاعات منتشر شده توسط watchTowr و Hacker News و اعلام رسمی تیم امنیتی PHP تفاوت هایی وجود دارد. در حالی که دو منبع اول برای این آسیب‌پذیری‌ها امتیاز CVSS 10 داده‌اند، تیم PHP بر اساس نسخه 4.0 معیار به هر کدام امتیاز 9.2 داده است.

همچنین WatchTowr در ابتدا قصد داشت اطلاعات را در روز پنجشنبه منتشر کند، اما تیم PHP رسماً انتشار به‌روزرسانی‌های امنیتی را برای صبح چهارشنبه برنامه‌ریزی کرده است.

تیم امنیتی PHP اعلام کرده است که جزئیات فنی کامل، نسخه‌های آسیب‌پذیر و نسخه‌های وصله‌شده را هنگام انتشار به‌روزرسانی‌ها منتشر خواهند کرد. تا آن زمان، مدیران سیستم‌های مبتنی بر PHP باید اعلامیه‌های رسمی را دنبال کنند و آماده نصب سریع وصله‌ها پس از انتشار باشند.

بیشتر بخوانید: استفاده از رمز عبور 123456 اطلاعات میلیون ها نفر را در معرض دید قرار داد