آسیب‌پذیری‌های PHP در فهرست تهدید‌های فعال CISA قرار گرفت
به گزارش پایگاه خبری پایداری ملی به نقل از افتانا، آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) با تأیید بهره‌برداری فعال از دو آسیب‌پذیری امنیتی در PHP، این دو نقص را به فهرست آسیب‌پذیری‌های شناخته‌شده مورد بهره‌برداری (KEV) اضافه کرد. این آسیب‌پذیری‌ها که به‌تازگی وصله شده‌اند، امکان اجرای کد از راه دور بدون نیاز به احراز هویت را در سامانه‌های آسیب‌پذیر فراهم می‌کنند.
بر اساس این گزارش، هر دو آسیب‌پذیری امتیاز شدت ۹.۲ از ۱۰ را در سامانه امتیازدهی آسیب‌پذیری‌های رایج (CVSS) دریافت کرده‌اند. آسیب‌پذیری نخست با شناسه CVE-۲۰۲۶-۱۰۹۶۱۸، ناشی از خرابی حافظه در شرایط کمبود حافظه (Out-of-Memory Corruption) است و می‌تواند به مهاجم اجازه دهد بدون احراز هویت، کد دلخواه خود را از راه دور اجرا کند. آسیب‌پذیری دوم با شناسه CVE-۲۰۲۶-۱۰۹۶۱۹ به وضعیت داخلی قدیمی‌شده در پردازش درخواست‌ها مربوط است و آن نیز امکان اجرای کد از راه دور را بدون احراز هویت فراهم می‌کند.
افزودن این دو آسیب‌پذیری به فهرست KEV پس از آن صورت گرفت که عادل کریمی، مسئول کشف و پاسخ‌گویی به رخداد‌ها در شرکت پرپلکسیتی (Perplexity)، در روز ۲۴ اکتبر ۲۰۲۶ از موفقیت حملات اجرای کد از راه دور علیه سامانه‌های تله‌متری امنیتی موسوم به هانی‌پات خبر داد.
به گفته او، شواهد به‌دست‌آمده نشان می‌دهد که این حملات صرفاً به از کار افتادن برنامه یا ایجاد فرایندی مشکوک محدود نبوده و افشای قابل استفاده اطلاعات حافظه را نیز در بر داشته است. در این آزمایش‌ها، پاسخی حاوی داده‌های کوکی رمزگشایی‌شده به حجم ۸۰۰ کیلو‌بایت دریافت شد و نشانی یک تابع که با استفاده از اطلاعات افشاشده و جابه‌جایی‌های مشخص‌شده در اکسپلویت عمومی استخراج شده بود، در محتوای اجرای بعدی مشاهده شد. کریمی تأکید کرد که این شواهد مربوط به یک پیکربندی خاص و مساعد برای بهره‌برداری، یعنی اجرای PHP از طریق ماژول mod_php با یک پردازشگر کاری، است و نباید آن را معیاری برای سنجش میزان موفقیت حمله در سایر تعداد پردازشگرها، نسخه‌های PHP یا برنامه‌های کاربردی دانست.
این دو آسیب‌پذیری در نسخه‌های PHP ۸.۵.۱۲، ۸.۴.۲۷، ۸.۳.۳۶ و ۸.۲.۳۵ که ۲۱ اکتبر ۲۰۲۶ منتشر شدند، برطرف شده‌اند. بر اساس گزارش، نهاد‌های فدرال آمریکا تا ۲۹ اکتبر ۲۰۲۶ برای نصب اصلاحیه‌های لازم فرصت دارند.
PHP، با نام کامل PHP: Hypertext Preprocessor، یک زبان برنامه‌نویسی سمت سرور است که طبق برآورد‌های منتشرشده، در حدود ۷۰ درصد وب‌سایت‌های اینترنت به کار می‌رود. برآورد‌های ارائه‌شده از سوی شرکت سنسیس نشان می‌دهد بیش از ۳۲.۵۱ میلیون سرویس PHP همچنان از نسخه‌های آسیب‌پذیر استفاده می‌کنند؛ موضوعی که می‌تواند دامنه مواجهه با این نقص‌های امنیتی را گسترده کند. شدت این آسیب‌پذیری‌ها باعث انتشار هشدار‌هایی از سوی شمار زیادی از شرکت‌های فناوری، تولیدکنندگان تجهیزات و نهاد‌های امنیتی در کشور‌های مختلف شده است. از جمله مجموعه‌های منتشرکننده هشدار می‌توان به ABB، آریستا نتورکس، بلدن، برودکام، کانن، سیتریکس، دروپال، دل، اچ‌پی، اچ‌پی‌ئی، هواوی، آی‌بی‌ام، ایوانتی، نت‌گیر، اکتبر سی‌ام‌اس، اوکتا، کیونپ، راکول اتومیشن، سیلزفورس، اشنایدر الکتریک، زیمنس، سونیک‌وال، اسپلنک، سینولوژی، وییم و وردپرس اشاره کرد.
در ادامه این تحولات، بنیاد PHP در ۲۶ اکتبر ۲۰۲۶ نسخه‌های ویندوزی ۸.۵.۱۲-۱، ۸.۴.۲۷-۱، ۸.۳.۳۶-۱ و ۸.۲.۳۵-۱ را نیز برای رفع آسیب‌پذیری دیگری با شناسه CVE-۲۰۲۶-۱۱۱۴۹۷ منتشر کرد. این نقص که با نام‌های Broccoli۲Shell، HTTP۲Shell و Node۲Shell نیز شناخته می‌شود، به نوشتن خارج از محدوده حافظه در کتابخانه رمزگشای Brotli مربوط است و می‌تواند به ارتقای سطح دسترسی یا اجرای کد از راه دور بدون احراز هویت منجر شود. این آسیب‌پذیری نسخه‌های ۱.۰.۳ تا ۱.۰.۹، همچنین نسخه‌های ۱.۱.۰ و ۱.۲.۰ کتابخانه Brotli را تحت تأثیر قرار می‌دهد و در نسخه‌های ۱.۰.۱۰، ۱.۱.۱ و ۱.۲.۱ آن برطرف شده است. پروژه‌های دیگری که از این کتابخانه C استفاده می‌کنند، از جمله Node.js، Bun، Envoy Proxy، Istio، دات‌نت و پایتون نیز در معرض پیامد‌های مرتبط با این نقص قرار دارند.
بنیاد PHP اعلام کرده است که در نسخه‌های ویندوزی PHP، از طریق افزونه cURL و در شرایطی که فشرده‌گشایی خودکار پاسخ‌های HTTP فعال باشد، امکان دسترسی به رمزگشای آسیب‌پذیر وجود دارد. این قابلیت در cURL به‌صورت پیش‌فرض غیرفعال است، اما ممکن است برنامه‌ها و کتابخانه‌های مورد استفاده برای ارسال درخواست‌های HTTP آن را فعال کنند.