دو آسیب‌پذیری بحرانی در زبان برنامه‌نویسی PHP موجی از نگرانی را در میان مدیران وب‌سایت‌ها و متخصصان امنیت سایبری ایجاد کرده است. روز چهارشنبه ۲۱ اکتبر ۲۰۲۶، شماری از وب‌سایت‌های دولتی، دانشگاهی، بیمارستانی و خدمات عمومی در اروپا برای جلوگیری از حملات احتمالی به‌طور موقت از دسترس خارج شدند. این اقدام در حالی انجام شد که تیم توسعه PHP نسخه‌های امنیتی جدیدی را برای برطرف کردن این مشکلات منتشر کرد.
این دو حفره امنیتی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 ثبت شده‌اند و هر دو امتیاز بحرانی ۹.۲ از ۱۰ را در معیار CVSS نسخه ۴ دریافت کرده‌اند. خطر اصلی آن‌ها امکان اجرای کد از راه دور بدون نیاز به احراز هویت است؛ یعنی مهاجم در شرایط آسیب‌پذیر می‌تواند بدون ورود به حساب کاربری، اجرای دستورات مخرب روی سرور را هدف قرار دهد.
گزارش‌ها نشان می‌دهند دامنه نگرانی‌ها به یک کشور محدود نیست. در آلمان، فرانسه، هلند، بلژیک و فنلاند، برخی وب‌سایت‌ها و خدمات آنلاین به‌صورت احتیاطی غیرفعال شدند. رویترز گزارش داده است که در آلمان، برخی سامانه‌های دولتی موقتاً از دسترس خارج شدند و مقام‌ها این اقدام را پیشگیرانه توصیف کردند؛ به این معنا که قطع دسترسی لزوماً نشان‌دهنده هک شدن یا سرقت اطلاعات نیست.
اهمیت این آسیب‌پذیری‌ها از گستردگی استفاده از PHP ناشی می‌شود. این زبان در بخش بزرگی از زیرساخت وب، از جمله وب‌سایت‌های مبتنی بر WordPress، Drupal، Joomla و Magento، کاربرد دارد. به همین دلیل، خطر فقط متوجه سازمان‌های دولتی نیست و شرکت‌ها، فروشگاه‌های اینترنتی و وب‌سایت‌های کوچک نیز باید بررسی کنند که آیا از نسخه آسیب‌پذیر PHP استفاده می‌کنند یا خیر.
تیم توسعه PHP در ۲۱ اکتبر نسخه‌های امنیتی 8.5.12، 8.4.27، 8.3.36 و 8.2.35 را منتشر کرد. این نسخه‌ها دو آسیب‌پذیری یادشده را برطرف می‌کنند و توسعه‌دهندگان از کاربران خواسته‌اند به‌روزرسانی را در اولویت قرار دهند. طبق اعلام رسمی PHP، همه نصب‌هایی که درخواست‌های وب را پردازش می‌کنند ممکن است در معرض خطر باشند؛ از جمله محیط‌های PHP-FPM، Apache با mod_php، php-cgi، FrankenPHP و LiteSpeed.
کارشناسان امنیت سایبری توصیه می‌کنند مدیران وب‌سایت‌ها ابتدا تمام سرورها و سرویس‌هایی را که PHP اجرا می‌کنند شناسایی کنند، سپس نسخه اصلاح‌شده را نصب و گزارش‌های سرور را برای نشانه‌های فعالیت مشکوک بررسی کنند. اگر نصب فوری وصله امنیتی امکان‌پذیر نباشد، توصیه نهادهای امنیتی این است که دسترسی عمومی سامانه آسیب‌پذیر تا زمان رفع مشکل محدود یا موقتاً قطع شود. صرفاً فعال بودن به‌روزرسانی خودکار افزونه‌ها نیز به معنی رفع آسیب‌پذیری نسخه PHP سرور نیست.
این رویداد بار دیگر نشان می‌دهد یک نقص در نرم‌افزار زیرساختی می‌تواند تعداد زیادی سرویس آنلاین را هم‌زمان تحت تأثیر قرار دهد. با این حال، نباید نتیجه گرفت که همه وب‌سایت‌های مبتنی بر PHP هک شده‌اند یا اطلاعات کاربران آن‌ها به سرقت رفته است؛ خطر اصلی، وجود امکان سوءاستفاده از سامانه‌های اصلاح‌نشده است. مدیران سایت‌ها باید وضعیت نسخه PHP خود را بررسی کنند و به‌روزرسانی امنیتی را بدون تأخیر انجام دهند.
