تیم امنیتی PHP یک راه حل جدید و بدون وصله برای این آسیب پذیری منتشر کرده است

تیم امنیتی PHP راه‌حلی را برای آسیب‌پذیری اجرای کد از راه دور جدید منتشر کرده است که هنوز وصله نشده است و فقط بر سیستم‌هایی با پیکربندی‌های خاص تأثیر می‌گذارد.

گزارش کردن خدمات امنیت سایبری یک مرحله ایاین آسیب پذیری به عنوان CVE-2026-115560 شناسایی شده است. تیم امنیتی PHP توضیح داد که بهره برداری از این ضعف امنیتی نیازمند شرایط غیرعادی است و اکثر برنامه ها در برابر آن آسیب پذیر نیستند. برای کاهش خطر تا زمان انتشار وصله، توسعه دهندگان توصیه کرده اند یکی از ویژگی های مربوط به جلسه کاربر را غیرفعال کنید.

PHP یک زبان برنامه نویسی است که به طور گسترده برای توسعه وب استفاده می شود. نزدیک به 70 درصد وب سایت های اینترنتی از این زبان استفاده می کنند. تخمین های VirusTotal همچنین نشان می دهد که بیش از 5.1 میلیون هاست PHP از طریق اینترنت قابل دسترسی هستند و حدود 3.8 میلیون هاست حداقل یک پورت ارتباطی باز دارند. این آمار به این معنی نیست که همه این هاست ها آسیب پذیر هستند.

بیشتر بخوانید: آسیب پذیری PHP وب سایت های دولتی اروپا و کانادا را از بین می برد

شرایط خاص برای بهره برداری از یک آسیب پذیری PHP

تیم امنیتی PHP در اعلامیه خود اعلام کرده است که مهاجم تنها زمانی می تواند از CVE-2026-115560 سوء استفاده کند که برنامه دارای ترکیبی غیرعادی از پیکربندی و کد اجرایی باشد. ابتدا باید مقدار session.serialize_handler در فایل پیکربندی روی php_binary یا php_serialize تنظیم شود. سپس برنامه باید هنگام اجرا و قبل از فراخوانی تابع ()sesion_start با استفاده از تابع ini_set() مقدار این گزینه را به php تغییر دهد.

علاوه بر این شرایط، قابلیت ثبت و پیگیری پیشرفت آپلود فایل ها در جلسات PHP نیز باید فعال باقی بماند. وجود همزمان این شرایط فرصت بهره برداری از آسیب پذیری را فراهم می کند. بنابراین، صرف استفاده از PHP یا فعال بودن قابلیت آپلود فایل برای نتیجه‌گیری آسیب‌پذیر بودن یک وب‌سایت کافی نیست.

توسعه دهندگان تصریح کردند که برنامه هایی که روش سریال سازی جلسات را در زمان اجرا تغییر نمی دهند، همچنان می توانند ردیابی پیشرفت بار را فعال نگه دارند. به گفته آنها، ترکیب مورد نیاز برای حمله در محیط های واقعی بعید است. به همین دلیل، تیم امنیتی تصمیم گرفته است تا اصلاح نهایی را در چرخه انتشار معمولی PHP قرار دهد و جزئیات کامل CVE-2026-115560 را با انتشار بعدی اعلام کند.

راه حلی برای محافظت از برنامه های PHP

تیم امنیتی PHP از مدیران سیستم و توسعه دهندگان خواسته است تا قبل از انتشار وصله، مقدار session.upload_progress.enabled را در برنامه هایی که ممکن است شرایط فوق را داشته باشند، صفر کنند. این تغییر توانایی ردیابی پیشرفت آپلود فایل را غیرفعال می کند و یک راه حل پیشنهادی برای کاهش خطر آسیب پذیری جدید است.

تنظیمات پیشنهادی به شرح زیر است:

session.upload_progress.enabled=0

تیم توسعه PHP تاکید کرد که اگر مدیران قبلاً این تنظیمات را اعمال کرده اند، باید آن را حفظ کنند و برای پیاده سازی همان راه حل نیازی به اقدام دیگری ندارند. این توصیه ابتدا در هنگام رسیدگی به دو آسیب‌پذیری حیاتی دیگر ارائه شد، وصله‌هایی که روز چهارشنبه منتشر شدند.

این دو آسیب‌پذیری با نام‌های CVE-2026-109618 و CVE-2026-109619 شناسایی شده‌اند و با نام PHP2Shell مشترک هستند. برخلاف آسیب‌پذیری جدید که هنوز اصلاح نشده است، به‌روزرسانی‌های اضطراری برای PHP2Shell منتشر شده است. یک روز قبل از انتشار این اصلاحات، تیم امنیتی PHP از مدیران خواست تا فوراً آنها را نصب کنند.

بیشتر بخوانید: هشدار فوری Google Cloud در مورد آسیب پذیری های مهم PHP

گسترش تلاش ها برای بهره برداری از PHP2Shell

در حالی که تیم PHP راه حلی را برای آسیب‌پذیری جدید اعلام کرده است، شرکت‌های امنیت سایبری همچنان در حال بررسی فعالیت مهاجمان علیه دو آسیب‌پذیری PHP2Shell هستند. قبل از انتشار وصله ها، نمونه هایی از کد اثبات مفهوم در اینترنت منتشر شد، اما تیم امنیتی PHP اعلام کرد که هیچ یک از نمونه های منتشر شده موفق نبودند.

Cloudflare، watchTowr، Previdian، Hadrian و Patchstack تلاش‌های ناموفق برای سوءاستفاده از PHP2Shell را حتی قبل از افشای عمومی شناسایی کردند. این تلاش ها پس از افشای اطلاعاتی از جمله شناسه های آسیب پذیری و توصیه های امنیتی ارائه شده به برخی از زیرساخت های حیاتی انجام شد.

محققان آمازون تهدید آمازون همچنین اعلام کردند که مهاجمان چهار روز قبل از انتشار وصله‌های روز چهارشنبه، هدف قرار دادن این نقاط ضعف امنیتی را آغاز کردند. سی جی موزس، مدیر ارشد امنیت اطلاعات در AWS، اظهار داشت که تفاوت در محموله های مورد استفاده و زیرساخت ناشناس سازی نشان می دهد که ممکن است گروه های متعددی در این فعالیت ها دخیل بوده باشند. وی تصریح کرد که هنوز مشخص نیست که آیا تلاش های شناسایی شده می تواند منجر به نفوذ موفقیت آمیز سیستم های واقعی شود یا خیر.

موسی همچنین افزایش تلاش‌های بهره‌برداری PHP2Shell را گزارش کرد، اما تعداد حملات موفقیت‌آمیز احتمالی همچنان نامشخص است. تیم TRACE شرکت Dataminr نیز روز پنجشنبه اعلام کرد که فعالیت‌های مشاهده شده پس از افشای آسیب‌پذیری‌ها عمدتاً به اسکن، شناسایی ویژگی‌های سیستم‌ها و اجرای کدهای مخرب محدود شده است و تاکنون هیچ نفوذ موفق شناخته‌شده‌ای ثبت نشده است.

محققان Dataminr هشدار دادند که ممکن است کدهای بهره برداری عملیاتی یا حملات موفقیت آمیز در آینده ظاهر شوند. با این حال، این هشدار مربوط به آسیب‌پذیری‌های PHP2Shell است و نباید با وضعیت CVE-2026-115560 اشتباه گرفته شود. برای آسیب پذیری جدید، توصیه فعلی تیم PHP این است که شرایط پیکربندی خاص را بررسی کرده و رفع موقت اعلام شده را تا زمان انتشار یک پچ رسمی حفظ کنید.