شناسایی آسیب‌پذیری تازه در PHP؛ هنوز وصله امنیتی ندارد

به گزارش پیوست، تیم توسعه PHP روز اول آبان ۱۴۰۵ در اطلاعیه‌ای رسمی از شناسایی آسیب‌پذیری جدیدی با شناسه CVE-2026-115560 خبر داد. این نقص به نحوه مدیریت اطلاعات نشست کاربران (Session) در PHP مربوط می‌شود و در صورت وجود ترکیبی خاص از تنظیمات، ممکن است به مهاجم اجازه دهد کدهای دلخواه خود را روی سرور اجرا کند.

زبان برنامه‌نویسی PHP یکی از ابزارهای پرکاربرد در توسعه وب‌سایت‌ها و خدمات اینترنتی است. اجرای کد از راه دور یا RCE از جمله آسیب‌پذیری‌های امنیتی مهم به شمار می‌رود؛ زیرا در صورت بهره‌برداری موفق، مهاجم می‌تواند دستورهایی را روی سرور آسیب‌دیده اجرا کند.

بااین‌حال، توسعه‌دهندگان PHP تأکید کرده‌اند که آسیب‌پذیری جدید تنها در شرایطی خاص قابل بهره‌برداری است. برای وقوع این مشکل، برنامه باید از تنظیمات مشخصی برای ذخیره اطلاعات نشست کاربران استفاده کند، سپس این تنظیمات را هنگام اجرا تغییر دهد و هم‌زمان قابلیت پیگیری پیشرفت بارگذاری فایل نیز فعال باشد. به گفته تیم PHP، چنین ترکیبی در برنامه‌های معمول چندان رایج نیست.

تیم توسعه PHP اعلام کرده است رفع این آسیب‌پذیری را در چرخه عادی انتشار نسخه‌های بعدی انجام می‌دهد. تا زمان انتشار نسخه اصلاح‌شده، به مدیران سرورها توصیه شده قابلیت session.upload_progress.enabled را غیرفعال کنند. افرادی که این قابلیت را در پی هشدارهای امنیتی قبلی غیرفعال کرده‌اند، برای مقابله با این مسیر حمله نیازی به اقدام مجدد ندارند.

شناسایی این نقص در حالی اعلام شده که روز ۲۹ مهر ۱۴۰۵ چهار نسخه امنیتی جدید از PHP برای رفع دو آسیب‌پذیری بحرانی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 منتشر شد. این دو آسیب‌پذیری امکان اجرای کد از راه دور بدون احراز هویت را فراهم می‌کردند و شدت هرکدام در نظام امتیازدهی CVSS نسخه چهار، ۹.۲ از ۱۰ اعلام شده بود.

نسخه‌های ۸.۲.۳۵، ۸.۳.۳۶، ۸.۴.۲۷ و ۸.۵.۱۲ برای رفع آن دو نقص منتشر شدند؛ اما نقص تازه با شناسه CVE-2026-115560 در اطلاعیه اصلاحات قبلی برطرف نشده و رفع آن برای انتشار بعدی برنامه‌ریزی شده است.

تیم PHP هنوز امتیاز شدت آسیب‌پذیری جدید و فهرست کامل نسخه‌های تحت تاثیر آن را منتشر نکرده است. همچنین در منابع رسمی بررسی‌شده گزارشی از بهره‌برداری عملی از این نقص ارائه نشده است.