در روزهای اخیر دو آسیب‌پذیری امنیتی بسیار مهم در هسته PHP شناسایی و برطرف شده‌اند که با عنوان PHP2Shell شناخته می‌شوند. این آسیب‌پذیری‌ها با شناسه‌های CVE-2026-109618 و CVE-2026-109619 ثبت شده‌اند و هر دو دارای شدت بحرانی با امتیاز CVSS 9.2 هستند.
اهمیت این موضوع برای صاحبان وب‌سایت‌های وردپرسی و سایر وب‌سایت‌های مبتنی بر PHP در این است که مشکل، مستقیماً در خود PHP قرار دارد و محدود به یک افزونه، قالب یا سیستم مدیریت محتوای خاص نیست. بر اساس اطلاعیه رسمی PHP، سامانه‌هایی که از نسخه‌های آسیب‌پذیر PHP برای پاسخ‌گویی به درخواست‌های وب استفاده می‌کنند، در معرض خطر قرار دارند.
PHP2Shell چیست و چرا جدی است؟
PHP یکی از پرکاربردترین فناوری‌های سمت سرور برای اجرای وب‌سایت‌ها و برنامه‌های تحت وب است و وردپرس نیز برای اجرای خود به PHP وابسته است. در PHP2Shell، دو نقص امنیتی در نحوه مدیریت حافظه و وضعیت داخلی درخواست‌ها در PHP می‌تواند در شرایط خاص به اجرای کد از راه دور بدون نیاز به احراز هویت منجر شود.
به زبان ساده، مهاجم می‌تواند با ارسال درخواست‌های دستکاری‌شده، در برخی شرایط باعث شود PHP با داده‌های حافظه‌ای نامعتبر یا آزادشده کار کند و در نهایت امکان اجرای کد روی سرور فراهم شود. پیامد چنین دسترسی‌ای می‌تواند بسیار جدی باشد؛ از دسترسی به اطلاعات و فایل‌های حساس گرفته تا تغییر یا تخریب فایل‌های وبسایت و ایجاد دسترسی پایدار برای مهاجم.
نکته مهم این است که PHP2Shell یک آسیب‌پذیری اختصاصی وردپرس نیست. طبق اطلاعیه رسمی WordPress، این آسیب‌پذیری‌ها هر سروری را که یک برنامه PHP روی آن اجرا می‌شود، می‌توانند تحت تأثیر قرار دهند و برای رفع آن‌ها، به‌روزرسانی خود PHP ضروری است؛ بنابراین صرفاً به‌روز بودن وردپرس یا افزونه‌های امنیتی به‌تنهایی کافی نیست.
کدام نسخه‌های PHP آسیب‌پذیر هستند؟
تیم توسعه PHP در تاریخ ۲۱ اکتبر ۲۰۲۶ نسخه‌های امنیتی جدیدی را برای رفع این دو آسیب‌پذیری منتشر کرده است:
- PHP 8.5.12 و بالاتر
- PHP 8.4.27 و بالاتر
- PHP 8.3.36 و بالاتر
- PHP 8.2.35 و بالاتر
نسخه‌های قدیمی‌تر از این نسخه‌ها، در صورت نداشتن وصله امنیتی معادل از سوی توزیع‌کننده یا ارائه‌دهنده سرویس، در معرض این آسیب‌پذیری قرار دارند. همچنین PHP ۸.۱ و نسخه‌های قدیمی‌تر دیگر از سوی پروژه اصلی PHP پشتیبانی امنیتی نمی‌شوند و باید برای مهاجرت به یک نسخه پشتیبانی‌شده برنامه‌ریزی شود.
بنابراین توصیه می‌شود صاحبان وب‌سایت‌ها نسخه PHP واقعی مورد استفاده وب‌سرور خود را بررسی کنند و صرفاً به نسخه PHP نمایش‌داده‌شده در یک محیط توسعه یا خط فرمان اکتفا نکنند؛ زیرا ممکن است نسخه مورد استفاده وب‌سرور با نسخه CLI متفاوت باشد.
آیا وب‌سایت‌های وردپرسی در معرض خطر هستند؟
بله، اما باید تأکید کرد که منشأ آسیب‌پذیری، وردپرس نیست. هر وبسایت وردپرسی که روی یک محیط PHP آسیب‌پذیر اجرا شود، ممکن است در معرض خطر قرار گیرد.
خود WordPress نیز در اطلاعیه امنیتی خود اعلام کرده است که این آسیب‌پذیری‌ها به وردپرس اختصاص ندارند و هیچ به‌روزرسانی جداگانه‌ای برای وردپرس به‌منظور رفع PHP2Shell لازم نیست؛ اقدام اصلی، بررسی و به‌روزرسانی PHP در محیط میزبانی است.
به همین دلیل، موضوع فقط به وردپرس محدود نمی‌شود و وب‌سایت‌ها و سرویس‌های دیگری که بر بستر PHP اجرا می‌شوند نیز باید بررسی شوند.
برای ثبت درخواست و دریافت مشاوره تخصصی، همین حالا روی دکمه زیر کلیک کنید.
برای ثبت درخواست و دریافت مشاوره تخصصی، همین حالا روی دکمه زیر کلیک کنید.
اقدام ضروری برای صاحبان وبسایت
در شرایط فعلی، مهم‌ترین اقدام، بررسی و به‌روزرسانی PHP به یک نسخه وصله‌شده و پشتیبانی‌شده است. تیم PHP صراحتاً اعلام کرده است که به‌روزرسانی، راهکار کامل رفع این آسیب‌پذیری‌هاست.
اما این به‌روزرسانی نباید بدون بررسی فنی انجام شود. تغییر نسخه PHP ممکن است با کدنویسی‌های قدیمی، قالب‌ها، افزونه‌ها یا سایر اجزای وبسایت ناسازگاری ایجاد کند و باعث بروز مشکلاتی مانند موارد زیر شود:
- اختلال در عملکرد بخشی از وبسایت
- از کار افتادن برخی افزونه‌ها یا امکانات
- ایجاد خطاهای فنی
- اختلال در فرم‌ها و سرویس‌های متصل به سایت
- اختلال در درگاه پرداخت یا سایر سرویس‌های حساس
- از دسترس خارج شدن موقت وبسایت
به همین دلیل، پیش از انجام به‌روزرسانی بهتر است نسخه پشتیبان کامل تهیه، سازگاری اجزای سایت بررسی و فرآیند به‌روزرسانی توسط فرد یا تیم متخصص انجام شود.
اگر فعلاً امکان به‌روزرسانی وجود ندارد چه کنیم؟
به‌روزرسانی، راهکار اصلی و کامل است و نباید با راهکارهای موقت جایگزین شود. PHP برخی اقدامات موقت برای کاهش سطح حمله را نیز مطرح کرده است، اما این اقدامات به معنای ایمن شدن کامل سیستم نیستند.
اگر به‌روزرسانی فوری به دلیل مسائل فنی یا سازگاری امکان‌پذیر نیست، وضعیت باید توسط متخصص امنیت و زیرساخت ارزیابی شود. در شرایطی که سیستم آسیب‌پذیر و اینترنتی است و امکان اصلاح سریع وجود ندارد، برخی نهادهای امنیت سایبری نیز توصیه کرده‌اند که سیستم تا زمان رفع کامل آسیب‌پذیری از دسترس عمومی خارج شود.
چرا تهیه بک‌آپ قبل از به‌روزرسانی اهمیت دارد؟
به‌روزرسانی PHP، اگرچه برای امنیت ضروری است، اما ممکن است روی سایت‌هایی که ساختار قدیمی یا وابستگی‌های ناسازگار دارند، اثر بگذارد.
تهیه نسخه پشتیبان پیش از هرگونه تغییر به تیم فنی اجازه می‌دهد در صورت بروز مشکل، سایت را به وضعیت قابل بازگشت برگرداند و ریسک از دست رفتن اطلاعات یا اختلال طولانی‌مدت را کاهش دهد.
در کنار بک‌آپ، بررسی لاگ‌های سرور و وضعیت فایل‌های سایت نیز اهمیت دارد؛ به‌خصوص برای وب‌سایت‌هایی که مدتی با نسخه آسیب‌پذیر PHP در دسترس اینترنت بوده‌اند. به‌روزرسانی، آسیب‌پذیری را برطرف می‌کند اما لزوماً آثار یک نفوذ قبلی را پاک نمی‌کند. بنابراین در صورت وجود نشانه‌های مشکوک، بررسی امنیتی باید پیش از اعلام وضعیت سالم سایت انجام شود.
برای آشنایی بیشتر با کیفیت خدمات ما، نمونه‌کارها را مشاهده کنید.
برای آشنایی بیشتر با کیفیت خدمات ما، نمونه‌کارها را مشاهده کنید.
اطلاعیه مرکز مشاوره و شتابدهنده ماموت
با توجه به اهمیت این آسیب‌پذیری، مرکز مشاوره و شتابدهنده ماموت به تمامی مجموعه‌ها و کسب‌وکارهایی که دارای وبسایت وردپرسی یا سایر سامانه‌های مبتنی بر PHP هستند توصیه می‌کند وضعیت نسخه PHP و زیرساخت میزبانی وبسایت خود را در سریع‌ترین زمان ممکن بررسی کنند.
مجموعه‌های دارای قرارداد فعال پشتیبانی با تیم فناوری اطلاعات ماموت، در چارچوب فرآیندهای پشتیبانی، تحت بررسی و پیگیری قرار می‌گیرند و اقدامات لازم از جمله بررسی وضعیت امنیتی، تهیه نسخه پشتیبان، ارزیابی سازگاری و برنامه‌ریزی برای رفع آسیب‌پذیری در حال انجام است.
سایر مجموعه‌ها نیز ضروری است در اسرع وقت از طریق متخصص یا تیم فنی مربوطه نسبت به بررسی نسخه PHP، تهیه بک‌آپ، ارزیابی سازگاری و به‌روزرسانی امن وبسایت خود اقدام کنند.
پیشگیری، کم‌هزینه‌تر از بازیابی سایت پس از نفوذ است
در شرایطی مانند PHP2Shell، تأخیر در به‌روزرسانی می‌تواند ریسک نفوذ و خسارت‌های بعدی را افزایش دهد. از سوی دیگر، به‌روزرسانی بدون بررسی فنی نیز می‌تواند باعث اختلال در عملکرد سایت شود.
راهکار درست، اقدام سریع اما کنترل‌شده است: بررسی وضعیت، تهیه نسخه پشتیبان، ارزیابی سازگاری، به‌روزرسانی نسخه PHP و در صورت نیاز، بررسی امنیتی پس از به‌روزرسانی.
اگر درباره نسخه PHP، سازگاری وبسایت یا فرآیند امن به‌روزرسانی سایت خود اطمینان ندارید، با تیم فناوری اطلاعات مرکز مشاوره و شتابدهنده ماموت در ارتباط باشید تا وضعیت سایت بررسی و مسیر مناسب برای رفع آسیب‌پذیری مشخص شود.
برای دریافت مشاوره و پیگیری وضعیت امنیتی وبسایت با کارشناسان ما در تماس باشید:
📞 ۰۹۰۱۰۹۰۱۶۱۱
🌐 وبسایت مرکز مشاوره و شتابدهنده ماموت
تیم فناوری اطلاعات (IT)
مرکز مشاوره و شتابدهنده ماموت
