دو آسیب‌پذیری امنیتی با نام PHP2Shell نگرانی تازه‌ای برای مدیران وب‌سایت‌ها ایجاد کرده‌اند. این نقص‌ها در هسته زبان برنامه‌نویسی PHP قرار دارند؛ فناوری‌ای که بخش بزرگی از وب، از سایت‌های اختصاصی گرفته تا سامانه‌های مبتنی بر وردپرس، به آن وابسته است. شدت هر دو آسیب‌پذیری ۹٫۲ از ۱۰ اعلام شده است.
خطر اصلی PHP2Shell این است که مهاجم در شرایط آسیب‌پذیر می‌تواند بدون وارد کردن نام کاربری و رمز عبور، از راه دور کد اجرا کند. چنین دسترسی‌ای ممکن است راه را برای دستکاری سایت، دسترسی به اطلاعات حساس یا مختل کردن سرویس باز کند. البته وجود آسیب‌پذیری به معنی هک شدن قطعی همه سایت‌های دارای PHP نیست.
این مشکل با دو شناسه امنیتی CVE-2026-109618 و CVE-2026-109619 ثبت شده است. هر دو به نحوه مدیریت حافظه و رسیدگی PHP به خطاهای هنگام پردازش درخواست‌ها مربوط می‌شوند؛ وضعیتی که می‌تواند باعث استفاده ناامن از داده‌های ناقص یا حافظه آزادشده شود. اهمیت موضوع در این است که نقص در خود محیط اجرای PHP قرار دارد، نه لزوماً در کد یک وب‌سایت یا افزونه خاص.
گزارش‌های امنیتی همچنین از تلاش برای سوءاستفاده از این حفره‌ها پیش از انتشار عمومی وصله‌ها خبر می‌دهند. آمازون اعلام کرده است که یک تلاش مشکوک مرتبط با PHP2Shell را در ۱۷ اکتبر شناسایی کرده؛ یعنی چهار روز پیش از افشای عمومی آسیب‌پذیری‌ها. با این حال، مشاهده تلاش برای حمله به‌تنهایی ثابت نمی‌کند که نفوذ موفقی انجام شده است.
توسعه‌دهندگان PHP برای رفع این مشکلات نسخه‌های اصلاح‌شده را منتشر کرده‌اند: PHP 8.5.12، نسخه 8.4.27، نسخه 8.3.36 و نسخه 8.2.35. مدیران سرور باید نسخه نصب‌شده را بررسی و به نسخه اصلاح‌شده متناسب با شاخه خود ارتقا دهند. اگر شرکت میزبانی مدیریت PHP را بر عهده دارد، لازم است از پشتیبانی آن درباره نصب وصله امنیتی سؤال شود.
به‌روزرسانی وردپرس، قالب یا افزونه‌ها به‌تنهایی برای رفع این آسیب‌پذیری کافی نیست؛ زیرا مشکل در خود PHP قرار دارد. مدیران سایت‌های مبتنی بر وردپرس و دیگر سامانه‌های PHP باید از شرکت هاستینگ بخواهند نسخه PHP و وضعیت وصله را تأیید کند. استفاده از فایروال برنامه وب (WAF) نیز می‌تواند یک لایه دفاعی اضافه ایجاد کند، اما جایگزین به‌روزرسانی PHP نیست. اگر به‌روزرسانی فوری ممکن نباشد، محدود کردن دسترسی سرور آسیب‌پذیر به اینترنت باید با راهنمایی تیم فنی بررسی شود.
برای کاربران عادی، معمولاً اقدام مستقیمی مانند نصب یک به‌روزرسانی روی گوشی یا رایانه لازم نیست؛ مسئولیت اصلی متوجه مدیران سرورها و ارائه‌دهندگان میزبانی است. با این حال، این رویداد یادآوری می‌کند که امنیت اینترنت فقط به رمزهای عبور قوی وابسته نیست و به‌روزرسانی زیرساخت‌هایی که وب‌سایت‌ها روی آن‌ها اجرا می‌شوند، نقشی اساسی در حفاظت از اطلاعات کاربران دارد.
