دو باگِ بحرانیِ PHP با کمکِ هوش مصنوعی پیدا شد؛ حمله شروع شده، همین الان آپدیت کن

تیم PHP روز ۲۹ مهر ۱۴۰۵ نسخه‌های 8.5.12، 8.4.27، 8.3.36 و 8.2.35 رو منتشر کرد که دو باگ بحرانی رو می‌بندن: CVE-2026-109618 و CVE-2026-109619، هر دو با شدت ۹٫۲ از ۱۰ (CVSS v4). به گفتهٔ خود PHP، این باگ‌ها می‌تونن به یه مهاجم اجازه بدن بدون رمز و ورود روی سرور کد اجرا کنه، و همهٔ سرورهایی که با PHP به درخواست‌های وب جواب می‌دن در خطرن. تست نشده: ما این باگ‌ها رو تست نکردیم، چون تستشون یعنی حمله.

🔎 کی پیداشون کرد؟• Ryan Austin از شرکت امنیتی Calif، توی برنامهٔ Patch the Planet که OpenAI راه انداخته، از ۱۰ مرداد با کمک یه مدل زبانی ردشون رو گرفت و ۲۰ مرداد به PHP گزارش داد. به گفتهٔ OpenAI، مدل GPT-5.6 Sol بود.• تیم Wiz هم جدا، با Wiz Atlas، Gemini 4 Argon و GPT-5.6 Sol پیداشون کرد و توی تست خودش حمله روی وردپرس رو نشون داد. OpenAI Codex Security هم مسیرهای دیگه‌ای گزارش داد.

🚨 حمله‌ها شروع شده:• آمازون (AWS) یه تلاش برای حمله رو ۲۵ مهر روی سرور تله‌ش دید، چهار روز قبل از اعلام رسمی؛ و بعد از انتشار وصله نوشت تلاش‌ها برای حمله گسترده شده• آژانس امنیت سایبری آمریکا (CISA) روز ۴ آبان هر دو رو به فهرست باگ‌هایی که ازشون حمله شده اضافه کرد• یه پژوهش تازه (Epoch AI، دربارهٔ Firefox) هم نشون داده هوش مصنوعی می‌تونه از روی وصله‌های منتشرشده راه حمله بسازه؛ یعنی AI هم برای پیدا کردن باگ به کار میاد، هم برای حمله

✅ چی کار کنیم؟• نسخهٔ امن: 8.5.12 یا بالاتر، 8.4.27 یا بالاتر، 8.3.36 یا بالاتر، 8.2.35 یا بالاتر (تا امروز که ما بررسی کردیم، ۹ آبان ۱۴۰۵)• نسخه‌ت رو ببین: توی وردپرس، ابزارها › سلامت سایت › اطلاعات › سرور (Tools › Site Health › Info › Server)؛ یا توی پنل هاستت؛ اگه به سرور دسترسی داری، php -v (این نسخهٔ خط فرمانه و ممکنه با نسخه‌ای که سایتت استفاده می‌کنه فرق داشته باشه)• PHP 8.1 و قدیمی‌تر دیگه از خود PHP آپدیت نمی‌گیرن؛ با هاستت حرف بزن یا به نسخهٔ پشتیبانی‌شده برو

⚠️ واقعیتش:• بعضی هاست‌ها و توزیع‌های لینوکس وصله رو روی همون نسخهٔ قبلی سوار می‌کنن؛ پس عدد نسخه همیشه همه‌چیز رو نمی‌گه و جواب آخر رو هاستت می‌ده• راه‌های موقتی که PHP گفته کامل نیستن؛ به نوشتهٔ خودشون تنها راه امن آپدیته• عدد «۷۰ درصد سایت‌ها» که توی خبرها هست منبع روشنی نداره؛ ما نگفتیمش

🤯 و اون «یه جمله»: هیچ منبع دست‌اولی نمی‌گه با یه جمله پیدا شد. خود پیداکننده نوشته: «No model is simply capable of unearthing "all bugs" with simple prompts. At least for now.» اون تاریخچهٔ باگ‌های PHP رو می‌شناخت (از یه باگ مشابه در سال ۲۰۰۴) و سؤال درست رو از هوش مصنوعی پرسید.

🔁 قسمت‌های قبلی: افزونهٔ Claude Code توی Cursor https://www.youtube.com/shorts/UKfEcuQXJ5c · Claude و تبلیغ https://www.youtube.com/shorts/LjbDoTC-8Ms

🔗 اطلاعیهٔ رسمی PHP: https://www.php.net/🔗 اطلاعیه‌های GitHub پروژهٔ PHP: https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w و https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp🔗 گزارش خود پیداکننده (Calif): https://calif.io/php2shell/🔗 بنیاد PHP دربارهٔ کشف و رفع: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/🔗 راهنمای سلامت سایت وردپرس: https://wordpress.org/documentation/article/site-health-screen/

🤔 سایت شما آخرین بار کی آپدیت شده؟

🤝 می‌خوای هوش مصنوعی رو توی کسب‌وکارت پیاده کنی؟ https://mrmp.pro#هوش_مصنوعی #PHP #امنیت