آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) دو آسیب‌پذیری بحرانی در PHP را که به‌طور جمعی با نام PHP2Shell ردیابی می‌شوند به فهرست نقص‌هایی که در حملات فعال مورد سوءاستفاده قرار می‌گیرند افزود.
عاملان تهدید بدون امتیاز می‌توانند در حملاتی با پیچیدگی بالا از این دو نقص (CVE-2026-109618 و CVE-2026-109619) سوءاستفاده کنند و روی سیستم‌های بدون پچ اجرای کد از راه دور (RCE) به دست آورند.
تیم امنیت PHP دو نقص را پچ کرد؛ این اقدام در روز چهارشنبه 21 اکتبر انجام شد، یک روز پس از آنکه از تیم‌های امنیتی خواسته بودند به‌محض دسترس‌پذیر شدن، به‌روزرسانی‌های امنیتی را نصب کنند.
هرچند جزئیات مربوط به نقص‌های امنیتی PHP2Shell (از جمله شناسه‌های CVE و راهکارهای کاهشی که با ارائه‌دهندگان زیرساخت حیاتی به اشتراک گذاشته شده بود) افشا شد و برخی اکسپلویت‌های PoC نیز پیش از انتشار پچ‌ها به‌صورت آنلاین منتشر شد، تیم امنیت PHP اعلام کرد هیچ‌یک از آنها کارایی نداشت.
چندین شرکت امنیت سایبری، از جمله شرکت Cloudflare، شرکت Amazon، شرکت Hadrian، شرکت watchTowr، شرکت Previdian و شرکت Patchstack نیز تلاش‌های گسترده برای سوءاستفاده را پیش از افشای عمومی شناسایی کردند، اما همگی آن تلاش‌ها را ناموفق ارزیابی کردند.
پژوهشگران بخش Amazon Threat Intelligence همچنین اعلام کردند مهاجمان چهار روز پیش از انتشار پچ‌های امنیتی هدف‌گیری آسیب‌پذیری‌های PHP2Shell را آغاز کرده بودند.
صدور دستور به نهادهای فدرال برای نصب پچ تا روز پنج‌شنبه
آژانس CISA روز دوشنبه این آسیب‌پذیری‌ها را به فهرست Known Exploited Vulnerabilities Catalog خود افزود و مطابق الزام «Binding Operational Directive 26-04» به نهادهای اجرایی غیرنظامی فدرال (FCEB) دستور داد تا روز پنج‌شنبه سیستم‌های خود را ایمن کنند.
این آژانس هشدار داد: «این نوع آسیب‌پذیری‌ها بردار حمله‌ای پرتکرار برای عاملان مخرب سایبری است و برای مجموعه سازمان‌های فدرال ریسک قابل‌توجهی ایجاد می‌کند.»
همچنین تأکید شد: «اگرچه BOD 26-04 تنها برای نهادهای FCEB لازم‌الاجرا است، CISA از همه سازمان‌ها می‌خواهد مدیریت آسیب‌پذیری مبتنی بر ریسک را به کار گیرند و ترمیم آسیب‌پذیری‌های موجود در KEV Catalog را در اولویت قرار دهند.»
در حالی که آژانس CISA هنوز جزئیات بیشتری درباره حملات جاری PHP2Shell منتشر نکرده است، آقای Adel Karimi، رهبر تیم کشف و پاسخ در شرکت Perplexity، طی تعطیلات آخر هفته نخستین تأیید را از بهره‌برداری در حملات فعال ارائه کرد؛ پس از آنکه سامانه‌های Honeypot متعلق به آنان شواهدی ثبت کردند از اجرای کد از راه دور علیه یک نصب Apache mod_php که PHP 8.4.26 را اجرا می‌کرد.
روز جمعه، تیم امنیتی PHP نیز راهکار کاهشی برای یک آسیب‌پذیری جدید «اجرای کد از راه دور» (CVE-2026-115560) که هنوز پچ ندارد، به‌اشتراک گذاشت. این نقص زمانی قابل سوءاستفاده است که مهاجم سیستم‌هایی با «ترکیب غیرمعمول پیکربندی و کد برنامه» را هدف قرار دهد.
برآورد می‌شود زبان PHP روی نزدیک به 70٪ از همه وب‌سایت‌ها اجرا شود. به‌گفته برآوردهای VirusTotal، بیش از 5.1 میلیون میزبان PHP به‌صورت آنلاین در معرض دید هستند و حدود 3.8 میلیون نمونه دست‌کم یک پورت باز دارند که می‌تواند هدف حملات قرار گیرد.
