PHP برای رفع فوری دو آسیب‌پذیری بحرانی که هوش مصنوعی زودتر از دیگران کشف کرد، وصله منتشر کرد
PHP روز چهارشنبه به‌روزرسانی‌های امنیتی اضطراری منتشر کرد تا دو آسیب‌پذیری بحرانی را برطرف کند؛ حفره‌هایی که به مهاجمی بدون نیاز به احراز هویت اجازه می‌دادند تقریباً روی هر سروری که این زبان را اجرا می‌کند، کد دلخواه اجرا کند. انتشار این وصله‌ها پایان دو روز پرتنش بود؛ دوره‌ای که طی آن، پیش از آماده‌شدن راه‌حل، وب‌سایت‌هایی در سراسر اینترنت از دسترس خارج شدند.
نسخه‌های اصلاح‌شده عبارت‌اند از PHP 8.5.12، 8.4.27، 8.3.36 و 8.2.35. بر اساس اطلاعیه PHP، این نسخه‌ها دو آسیب‌پذیری مرتبط با ایمنی حافظه را برطرف می‌کنند که با شناسه‌های CVE-2026-109618 و CVE-2026-109619 ثبت شده‌اند. هر دو آسیب‌پذیری در مقیاس CVSS نسخه ۴ امتیاز ۹٫۲ گرفته‌اند. پروژه PHP اعلام کرد که به‌روزرسانی «تنها انتخاب ایمن» است. به گفته این پروژه، خطر برای وب‌سایت‌هایی که از Apache همراه با mod_php استفاده می‌کنند، بیشتر است؛ زیرا در این پیکربندی، یک درخواست بدون احراز هویت می‌تواند پیش از اجرای هرگونه کد برنامه، آسیب‌پذیری را فعال کند.
نکته غیرمعمول درباره این انتشار، نحوه شناسایی حفره‌هاست. شرکت امنیتی Calif در ماه اوت نخستین آسیب‌پذیری را با کمک مدل GPT-5.6 Sol از OpenAI کشف کرد. این کشف در جریان بررسی کد منبع PHP انجام شد؛ بررسی‌ای که هزینه آن را OpenAI در قالب ابتکار «Patch the Planet» تأمین کرده بود. تیم Wiz گوگل نیز اعلام کرد که چند هفته بعد، مستقلاً همین آسیب‌پذیری‌ها را شناسایی کرده است. این تیم از ابزار Wiz Atlas و مدل‌های Gemini 4 Argon گوگل و GPT-5.6 Sol استفاده کرد. در اطلاعیه امنیتی PHP، نام پژوهشگران Calif، Wiz و OpenAI به‌عنوان مشارکت‌کنندگان در این کشف آمده است.
اختلاف شرکت‌ها بر سر معنای این کشف
OpenAI این کشف را نشانه‌ای از توانایی هوش مصنوعی در شناسایی آسیب‌پذیری‌های گسترده اینترنت، پیش از سوءاستفاده مجرمان سایبری، دانست. این شرکت چنین فرصتی را «پنجره مدافعان» می‌نامد.
OpenAI نوشت: «با توجه به شدت این آسیب‌پذیری‌ها و گستردگی استفاده از PHP، این مورد را یکی از تأثیرگذارترین مسائل امنیتی سال‌های اخیر می‌دانیم.»
این شرکت متعهد شده است یک میلیارد دلار دسترسی یارانه‌ای به برنامه مقابله با تهدیدهای سایبری خود، Daybreak، اختصاص دهد تا مدافعانی که منابع محدودی دارند بتوانند از آن استفاده کنند. بااین‌حال، Calif موضع محتاطانه‌تری گرفت. این شرکت در گزارش خود توضیح داد که تنها از مدل‌های در دسترس عموم استفاده کرده و به سراغ ابزارهای تخصصی نرفته است. به گفته Calif، آشنایی با سابقه و ویژگی‌های PHP از خود مدل اهمیت بیشتری داشت.
این شرکت نوشت: «دست‌کم در حال حاضر، هیچ مدلی صرفاً با چند دستور ساده قادر نیست همه باگ‌ها را پیدا کند.»
مدل‌های OpenAI به پژوهشگران در کشف آسیب‌پذیری‌های امنیتی بحرانی در PHP کمک کردند.
OpenAI (@OpenAI)، ۲۱ اکتبر ۲۰۲۶
وب‌سایت‌ها پیش از انتشار وصله از دسترس خارج شدند
دولت‌ها و شرکت‌ها منتظر نماندند. آژانس امنیت سایبری اتحادیه اروپا، CERT-EU، و مرکز ملی امنیت سایبری بریتانیا (NCSC) هر دو به سازمان‌ها توصیه کردند در صورت ناتوانی در نصب فوری وصله‌ها، سیستم‌های خود را تا حد امکان از دسترس خارج کنند. آژانس امنیت ملی آمریکا نیز هشدار جداگانه‌ای صادر کرد. سرویس ذخیره نشانک Pinboard، انجمن GrapheneOS و ابزار پخش زنده OBS بخش‌هایی از وب‌سایت‌های خود را از دسترس خارج کردند. Laravel نیز استقرارهای ابری خود را متوقف کرد تا آن‌ها را با استفاده از تصاویر سیستمی وصله‌شده دوباره بسازد.
وصله‌ها زودتر از زمان برنامه‌ریزی‌شده منتشر شدند. PHP ابتدا قصد داشت آن‌ها را ساعت ۱۴:۰۰ به وقت هماهنگ جهانی (UTC) عرضه کند و محدودیت انتشار اطلاعات نیز قرار بود روز بعد برداشته شود. اما به گزارش وال‌استریت ژورنال، پس از افشای جزئیات در مطلبی در وب‌سایت Hacker News، زمان انتشار جلو افتاد. شرکت امنیتی watchTowr پیش از آماده‌شدن هرگونه وصله تأیید کرد که آسیب‌پذیری‌ها واقعی‌اند. سپس نمونه‌ای از کد بهره‌برداری از این حفره‌ها در اینترنت منتشر شد.
ولکر دوش، مهندس امنیت در بنیاد غیرانتفاعی PHP، به وال‌استریت ژورنال گفت این شدیدترین مشکلی است که PHP در بیش از یک دهه گذشته با آن مواجه شده است. او این رخداد را با آسیب‌پذیری Heartbleed در سال ۲۰۱۴ مقایسه کرد؛ حفره‌ای که رقابتی جهانی برای نصب وصله‌های امنیتی به راه انداخت. تیم Wiz نیز این آسیب‌پذیری‌ها را با Heartbleed و Log4Shell مقایسه کرد. برآورد این شرکت نشان می‌دهد PHP روی حدود ۷۰ درصد از تمام وب‌سایت‌ها اجرا می‌شود.
بیش از یک دهه در معرض خطر
PHP قدیمی‌ترین نسخه آسیب‌دیده را مشخص نکرده است، اما شرکت‌های Calif و Wiz و همچنین Cloudflare دامنه آسیب‌پذیری را از PHP 5.4 به بعد اعلام کرده‌اند؛ یعنی نسخه‌هایی که بیش از یک دهه انتشار را در بر می‌گیرند. با توجه به شدت تهدید، تیم PHP اصلاحیه‌هایی را نیز برای شاخه‌های 7.4، 8.0 و 8.1 منتشر کرد؛ نسخه‌هایی که دیگر پشتیبانی نمی‌شوند. این پروژه هشدار داد که هیچ تغییری در تنظیمات به‌تنهایی نمی‌تواند جایگزین کامل نصب به‌روزرسانی باشد. وردپرس، که بر پایه PHP اجرا می‌شود، نیز از مدیران وب‌سایت‌ها خواست سیستم‌های خود را به‌روزرسانی کنند و یادآور شد که نسخه‌های قدیمی‌تر از 8.2 دیگر وصله امنیتی دریافت نمی‌کنند.
ارائه‌دهندگان زیرساخت برای مهار حملات در فاصله پیش از انتشار وصله‌ها دست به کار شدند. Cloudflare اعلام کرد که ساعت ۰۳:۰۲ به وقت UTC، قوانین فایروال برنامه‌های وب (WAF) را برای همه مشتریان خود، از جمله کاربران حساب‌های رایگان، فعال کرده است. به گفته این شرکت، این اقدام حدود ۹ ساعت پیش از افشای عمومی آسیب‌پذیری‌ها انجام شد. Cloudflare همچنین مشاهده کرد که مهاجمان هم‌زمان با اعمال قوانین دفاعی، محتوای درخواست‌های مخرب خود را تغییر می‌دهند تا از سد این قوانین عبور کنند.
«تغییرات PHP اعمال شده‌اند. به‌روزرسانی وصله‌ها را آغاز کنید. از همکاری هماهنگ تیم @ThePHPF بسیار سپاسگزاریم!»
دین کنشت (@dok2001)، ۲۱ اکتبر ۲۰۲۶
این دومین بار در چند ماه اخیر است که آسیب‌پذیری‌های نرم‌افزارهای وب کشف‌شده با کمک هوش مصنوعی، موجی از به‌روزرسانی‌های گسترده را ضروری کرده‌اند. حفره‌های وردپرس که در ماه ژوئیه به‌طور گسترده مورد سوءاستفاده قرار گرفتند، نمونه قبلی این وضعیت بودند. OpenAI می‌گوید آسیب‌پذیری‌های PHP تنها بخشی از چندین حفره امنیتی جدی هستند که این شرکت تاکنون شناسایی کرده است. این شرکت انتظار دارد «شمار کشفیات مشابه در ماه‌های آینده به‌شدت افزایش یابد». در حال حاضر، تنها راهکاری که PHP برای رفع این آسیب‌پذیری‌ها تأیید می‌کند، نصب به‌روزرسانی‌های منتشرشده است.