شناسایی آسیب‌پذیری امنیتی در هسته PHP

تیم امنیتی PHP از شناسایی دو آسیب‌پذیری خطرناک در هسته PHP خبر داد و اعلام کرد که به‌روزرسانی لازم را برای رفع آن‌ها منتشر می‌کند. طبق اطلاعیه رسمی، وصله‌های امنیتی در روز چهارشنبه ۲۱ اکتبر ۲۰۲۶ ساعت ۱۴:۰۰ به وقت جهانی (۱۷:۳۰ به وقت تهران) در دسترس قرار خواهند گرفت. این دو آسیب‌پذیری که با شناسه‌های CVE-2026-109618 و CVE-2026-109619 ثبت شده‌اند، درجه خطر ۹.۲ از ۱۰ را به خود اختصاص داده‌اند که نشان‌دهنده وضعیت بحرانی آن‌ها است.

تیم توسعه PHP هنوز اطلاعات دقیقی را درباره جزئیات فنی و نسخه‌های آسیب‌پذیر منتشر نکرده، اما از مدیران سرورها خواسته شده است تا برای نصب فوری این آپدیت‌ها آماده باشند.

پژوهشگران موسسه امنیتی watchTowr اعلام کرده‌اند که این دو آسیب‌پذیری از نوع اجرای کد از راه دور (RCE) هستند و نسخه‌های ۵ تا ۸ PHP را در معرض خطر قرار می‌دهند. محققان این موسسه توانسته‌اند آسیب‌پذیری CVE-2026-109618 را در محیط آزمایشگاهی بازتولید کنند، اما تاکنون هیچ گزارشی از سوءاستفاده هکرها در دنیای واقعی به‌دست نیاورده‌اند. پیش از اطلاعیه رسمی PHP، یک پست در انجمن Hacker News (که اکنون حذف شده است)، درجه خطر این دو مورد را ۱۰ از ۱۰ و زمان انتشار وصله‌ها را ۲۲ اکتبر اعلام کرده بود.

تیم توسعه PHP تاکید کرده است که بلافاصله پس از انتشار آپدیت‌ها، اطلاعات فنی کامل و فهرست دقیق نسخه‌های آسیب‌پذیر را منتشر خواهد کرد. با توجه به اینکه هسته وردپرس و اکثر سایت‌ها بر پایه PHP کار می‌کنند، به مدیران سرورها و سایت‌ها توصیه می‌شود نسخه PHP هاست خود را بررسی کرده و آماده نصب سریع این به‌روزرسانی‌های امنیتی باشند.