دو آسیب‌پذیری RCE در PHP و موج خاموشی سایت‌ها
پیاچپیخلاصهٔ کامل‌تر
تیم Oh Dear، یه سرویس مانیتورینگ که سایت‌ها رو چک می‌کنه و موقع از کار افتادن خبر می‌ده، تو این پست تعریف می‌کنه که ۲۴ ساعت گذشته تو دنیای PHP چی دیدن. ماجرا با افشای مسئولانهٔ دو آسیب‌پذیری خیلی بحرانی تو هستهٔ PHP شروع شد ولی به یه مسابقه برای پیدا کردن و سوءاستفاده از باگ‌ها قبل از انتشار پچ رسمی تبدیل شد. هر دو از نوع RCE هستن، یعنی مهاجم می‌تونه از راه دور روی سرور کد اجرا کنه.
این دو باگ CVE-2026-109618 با عنوان «RCE via OOM corruption» (یعنی خراب شدن حافظه وقتی برنامه به سقف حافظه می‌خوره) و CVE-2026-109619 با عنوان «RCE via stale global state» (یعنی وضعیت سراسری قدیمی که بین درخواست‌ها باقی می‌مونه) هستن. خیلی از صاحب‌های سایت برای محافظت از سرور و داده‌های مشتری، اپلیکیشنشون رو تا رسیدن پچ خاموش کردن. حالا پچ‌ها منتشر شدن و سایت‌ها کم‌کم دارن برمی‌گردن.
به گفتهٔ Oh Dear، تو اوج ماجرا ۱۸.۸ درصد سایت‌هایی که مانیتور می‌کردن آفلاین بودن و تعداد سایت‌هایی که هشدار down گرفتن، ۲۵ برابر یه نیم‌ساعت معمولی بوده. چون بیشتر مشتری‌هاشون از جامعهٔ PHP هستن، این عدد عجیب نیست.
از روی status codeها معلومه سایت‌ها چطوری خاموش شدن: ترکیبی از جواب HTTP/503 و سایت‌هایی که کلاً جواب نمی‌دادن. یعنی یا ادمین‌ها php-fpm رو خاموش کردن و Nginx یا Apache رو روشن نگه داشتن، یا کل وب‌سرور رو پایین آوردن. خود Oh Dear هم یه مدت php-fpm رو متوقف کرد و یه صفحهٔ HTML ثابت با Nginx نشون داد. بعضی‌ها چند ساعت زودتر سایت رو پایین آوردن و بعضی‌ها فقط چند ساعت قبل از انتشار پچ.
از روی هدر Server هم میشه فهمید کی جواب 503 داده و بیشترش Cloudflare بوده. طبق این پست، Cloudflare سریع یه قانون WAF برای همهٔ مشتری‌هاش اضافه کرد تا سایت‌هایی که خاموش نشده بودن هم در امان باشن. Oh Dear می‌گه اوج ماجرا ظاهراً گذشته، ولی هنوز خیلی از سایت‌ها منتظر پچ و آفلاین هستن و وضعیت به حالت عادی برنگشته.
نکات کلیدی:
- دو آسیب‌پذیری RCE تو هستهٔ PHP: CVE-2026-109618 و CVE-2026-109619
- تو اوج ماجرا ۱۸.۸ درصد سایت‌های تحت مانیتور Oh Dear آفلاین بودن
- هشدارهای down، ۲۵ برابر یه نیم‌ساعت معمولی بوده
- بیشتر سایت‌ها با خاموش کردن php-fpm و جواب 503، یا خاموش کردن کل وب‌سرور پایین اومدن
- Cloudflare برای همهٔ مشتری‌هاش یه قانون WAF برای جلوگیری از حمله اضافه کرد
- پچ‌های رسمی منتشر شدن و باید هر چه زودتر نصب بشن
