دو آسیب‌پذیری امنیتی با شدت ۹.۲ از ۱۰ در زبان برنامه‌نویسی PHP، امکان اجرای کد از راه دور بدون نیاز به ورود را برای مهاجمان فراهم می‌کرد. توسعه‌دهندگان PHP در ۲۱ اکتبر نسخه‌های اصلاح‌شده را منتشر کردند، اما پیش از انتشار وصله، جزئیات漏洞 به بیرون درز کرد و شرکت Cloudflare از مشاهده حمله‌ها خبر داد. در واکنش، برخی وب‌سایت‌های دولتی در فنلاند، هلند و فرانسه موقتا از دسترس خارج شدند.
این رخداد برای کاربران عادی به معنای نصب یک به‌روزرسانی روی تلفن یا رایانه نیست. مسئولیت اصلی متوجه صاحبان وب‌سایت‌ها، شرکت‌های میزبانی و مدیران سرورهاست؛ با این حال، گستردگی استفاده از PHP باعث شده است احتمال اثرگذاری آن بر شمار زیادی از خدمات آنلاین جدی باشد. طبق داده‌ای که در گزارش Decrypt به نقل از W3Techs آمده، PHP در حدود ۷۰ درصد از وب‌سایت‌هایی استفاده می‌شود که زبان سمت سرورشان مشخص است.
آسیب‌پذیری‌ها و وصله امنیتی
PHP نرم‌افزاری است که روی سرور اجرا می‌شود و بخشی از فرایند ساخت و ارائه صفحات وب را بر عهده دارد. بسیاری از وب‌سایت‌های وردپرسی نیز به سرورهای مبتنی بر PHP متکی هستند. دو نقص تازه با شناسه‌های CVE-2026-109618 و CVE-2026-109619، به مهاجم اجازه می‌دادند بدون احراز هویت، فرمان‌های دلخواه خود را روی سرور اجرا کند؛ قابلیتی که در ادبیات امنیت سایبری «اجرای کد از راه دور بدون احراز هویت» نام دارد.
نقص نخست زمانی ایجاد می‌شود که PHP هنگام پردازش یک درخواست با کمبود حافظه روبه‌رو شود و داده ناقص را بعدا به‌عنوان داده کامل در نظر بگیرد. نقص دوم باعث می‌شود بخشی از داده‌های مربوط به درخواست یک کاربر، پس از پایان پردازش در حافظه باقی بماند و درخواست بعدی بتواند به آن دسترسی پیدا کند. در صورت بهره‌برداری، پیامدها می‌تواند شامل سرقت داده، تغییر ظاهر وب‌سایت یا در اختیار گرفتن کامل سرور باشد.
بنیاد PHP شدت هر دو نقص را در سیستم امتیازدهی CVSS نسخه ۴، برابر با ۹.۲ از ۱۰ اعلام کرد. امتیاز ۹ یا بالاتر در این نظام، «بحرانی» محسوب می‌شود. نسخه‌های اصلاح‌شده PHP شامل 8.5.12، 8.4.27، 8.3.36 و 8.2.35 در ۲۱ اکتبر منتشر شدند و تیم امنیتی PHP از کاربران خواست فورا به‌روزرسانی کنند.
ریسک در برخی سرورهایی که از پیکربندی Apache با نام mod_php استفاده می‌کنند بالاتر گزارش شده است؛ زیرا در یک بهره‌برداری آزمایشی، حمله پیش از اجرای کد برنامه وب انجام می‌شد. قابلیت «پیگیری پیشرفت بارگذاری فایل» نیز یکی از مسیرهای تاییدشده ورود به این نقص‌ها بود؛ قابلیتی که بیش از یک دهه به‌طور پیش‌فرض فعال بوده، هرچند بسیاری از وب‌سایت‌ها از آن استفاده نمی‌کنند.
افشای زودهنگام و واکنش دولت‌ها
قرار بود جزئیات آسیب‌پذیری‌ها تا آماده شدن وصله عمومی نشود، اما روز سه‌شنبه مطلبی در انجمن Hacker News درباره افشای قریب‌الوقوع آن‌ها منتشر شد. شرکت امنیتی watchTowr بعدا واقعی بودن نقص‌ها و محرمانه بودن اطلاعات را تایید کرد و PHP زمان انتشار اصلاحیه را یک روز جلو انداخت.
شرکت Cloudflare صبح چهارشنبه، حدود شش ساعت پیش از انتشار وصله، از مشاهده حمله‌های اولیه خبر داد. این شرکت برای مشتریانش قواعد اضطراری فایروال وب را فعال کرد، اما آن را تنها اقدامی موقت دانست و نه جایگزینی برای نصب اصلاحیه.
در همین فاصله، مرکز فناوری اطلاعات دولتی فنلاند برخی خدمات عمومی وب را برای احتیاط از دسترس خارج کرد. سازمان ملی امنیت سایبری هلند نیز وب‌سایت خود را پایین آورد و وزارت کشور فرانسه اعلام کرد وب‌سایت‌های فرمانداری‌های این کشور تا آماده شدن وصله امنیتی موقتا آفلاین می‌مانند. تیم واکنش اضطراری سایبری اتحادیه اروپا به سازمان‌هایی که امکان نصب سریع وصله را ندارند توصیه کرد برنامه‌های در معرض اینترنت را از شبکه عمومی جدا کنند.
دامنه اثر و وضعیت نسخه‌های قدیمی
ادعاهای منتشرشده در شبکه‌های اجتماعی مبنی بر آسیب‌پذیر بودن همه نسخه‌های PHP از سال ۲۰۰۴، تایید نشده است. شرکت امنیت تجارت الکترونیکی Sansec دامنه آسیب‌پذیری را از PHP 5.4 به بعد دانسته است؛ یعنی نسخه‌هایی که از سال ۲۰۱۲ عرضه شده‌اند.
PHP به‌طور رسمی برای نسخه‌های 8.2 و جدیدتر اصلاحیه منتشر می‌کند. با این حال، به دلیل شدت رخداد، وصله‌های پایه برای نسخه‌های 7.4، 8.0 و 8.1 نیز ارائه شده و برخی توزیع‌های لینوکس در حال بازگردانی اصلاحات به بسته‌های قدیمی‌تر هستند. شرکت امنیتی Mallory در ۲۰ اکتبر حدود ۸۸۴ هزار میزبان متصل به اینترنت را شناسایی کرد که PHP 8.1 یا قدیمی‌تر را اعلام می‌کردند؛ این تعداد ۵۹ درصد از حدود ۱.۵ میلیون میزبانی بود که نسخه PHP خود را به‌صورت عمومی نشان می‌دادند. تعداد وب‌سایت‌ها می‌تواند بیشتر باشد، زیرا یک سرور میزبانی اشتراکی ممکن است چندین سایت را در خود جای دهد.
نسخه 8.2 نیز طبق برنامه در ۳۱ دسامبر ۲۰۲۶ به پایان عمر پشتیبانی می‌رسد و پس از آن وصله امنیتی بیشتری دریافت نمی‌کند. همچنین مخزن داوطلبانه Remi اعلام کرده بود در روز انتشار اصلاحیه به‌روزرسانی ارائه نمی‌کند؛ موضوعی که می‌تواند دسترسی برخی مدیران سرور به وصله را به تاخیر بیندازد.
مسئولیت مدیران سایت و تصویر بازار
کاربران عادی نیازی به نصب وصله PHP روی گوشی، مرورگر یا رایانه شخصی خود ندارند. صاحبان وب‌سایت باید از شرکت میزبانی خود درباره نسخه نصب‌شده و اعمال اصلاحیه پرس‌وجو کنند. شرکت Wordfence هشدار داده است که به‌روزرسانی خودکار وردپرس این مشکل را برطرف نمی‌کند و مدیر سایت باید مشخص کند چه فرد یا شرکتی مسئول به‌روزرسانی PHP سرور است. توسعه‌دهنده PHP نیز ارتقا یا نصب وصله را تنها راهکار این رخداد دانسته است.
**تصویر بازار بر اساس داده‌های Moneyiar:** در زمان‌های ثبت‌شده، قیمت AKEDO با نماد AKE برابر ۰.۰۳۱۱۹۷۸۷۱۸ دلار بود و در ۲۴ ساعت ۳۰.۳۹ درصد افزایش داشت، اما بازده هفت‌روزه آن منفی ۶.۴ درصد ثبت شد؛ این داده مربوط به ۲۲ اکتبر ۲۰۲۶ ساعت ۲۳:۲۸ به وقت +۰۳:۳۰ است. CROSS با نماد ONE در ۰.۱۰۱۴۹۷۶۴۰۶ دلار معامله شد؛ تغییرات آن در ۲۴ ساعت منفی ۱.۸۹ درصد و در هفت روز منفی ۴.۵۹ درصد بود، در ساعت ۲۳:۲۹ همان روز.
داده‌های دیگر Moneyiar مربوط به زمان‌های قدیمی‌تر است: Starpower با نماد STAR در ۰.۱۶۹۱۳۲۲۲۵۶ دلار، رشد ۲۶.۳۳ درصدی روزانه و ۵۵.۷۶ درصدی هفتگی را در ۲۶ اوت ۲۰۲۶ ساعت ۰۲:۲۳ نشان می‌داد. TAC Protocol با نماد TAC نیز ۰.۰۰۶۵۹۸۴۴۱۷ دلار قیمت داشت و تغییرات ۲۴ ساعته و هفت‌روزه آن به‌ترتیب ۶۹.۳۵ و ۱۶۶.۳۶ درصد بود؛ زمان ثبت این داده ۲۷ اوت ۲۰۲۶ ساعت ۰۹:۵۳ است.
