حفرهٔ بحرانی PHP2Shell: اجرای کد بدون لاگین در سرورهای PHP

پروژهٔ PHP روز ۲۱ اکتبر ۲۰۲۶ نسخه‌های امنیتی 8.5.12، 8.4.27، 8.3.36 و 8.2.35 را منتشر کرد تا دو آسیب‌پذیری بحرانی CVE-2026-109618 و CVE-2026-109619 را ببندد. این باگ‌ها که با نام PHP2Shell شناخته می‌شوند، می‌توانند بدون لاگین روی سرورهای PHP اجرای کد از راه دور انجام دهند. امتیاز CVSS هر کدام حدود ۹٫۲ است.

به گزارش CISA و CERT-EU تقریباً هر نصب PHP که درخواست وب سرو می‌کند در معرض خطر است؛ از جمله PHP-FPM و Apache با mod_php. وردپرس رسماً اعلام کرد آپدیت هستهٔ وردپرس لازم نیست و فقط باید ران‌تایم PHP به‌روز شود. AWS گفته تلاش‌های بهره‌برداری از حدود ۱۷ اکتبر — چند روز قبل از افشا — دیده شده و بعداً بهره‌برداری گسترده‌تر شده است.

برای جزئیات فنی، نسخه‌های آسیب‌پذیر و گام‌به‌گام رفع مخصوص وردپرس و CMSهای مشابه، راهنمای کامل رفع حفرهٔ PHP2Shell در وردپرس را بخوانید.

منبع: CISA، WordPress.org، PHP Foundation.