تحلیل حادثه PHP: دو نقص که میلیون‌ها وب‌سایت آلمانی را فلج کرد

در ۲۲ اکتبر ۲۰۲۶، روزنامه تاگس‌اشپیگل تحلیل مفصلی منتشر کرد درباره اینکه چگونه دو آسیب‌پذیری تازه فاش‌شده در PHP (با شناسه‌های CVE-2026-109618 و CVE-2026-109619، ملقب به «PHP2Shell») به تعطیلی سراسری وب‌سایت‌ها در آلمان منجر شد. زبان PHP که برآورد می‌شود بخش بزرگی از وب‌سایت‌های جهان - از جمله پورتال‌های خبری مبتنی بر وردپرس، فروشگاه‌های تجارت الکترونیک و سیستم‌های دولتی - را اجرا می‌کند، به‌طور ناخواسته پیش از آنکه وصله‌ای آمادگی داشته باشد، در معرض افشای عمومی این نقص‌ها قرار گرفت. اداره فدرال امنیت فناوری اطلاعات آلمان (BSI) روز چهارشنبه ساعت ۱۴:۰۶ هشدار فوری خود را صادر کرد و از مدیران سیستم خواست «همین امروز به‌روزرسانی امنیتی را نصب کنند».

دامنه این تعطیلی قابل‌توجه بود: در عرض چند ساعت، ده‌ها نهاد عمومی آلمانی وب‌سایت‌های خود را آفلاین کردند، از جمله بیمارستان شاریته، دانشگاه آزاد برلین و دانشگاه هومبولت، آتش‌نشانی‌های برلین و دیگر شهرها، و پورتال‌های گزارش‌دهی اینترنتی پلیس برلین و براندنبورگ. توسعه‌دهندگان PHP همان بعدازظهر نسخه PHP 8.5.12 را منتشر کردند.

این مقاله از کارشناسان امنیت سایبری نقل کرد که هشدار داده بودند حملات مبتنی بر هوش مصنوعی فاصله زمانی میان افشای یک آسیب‌پذیری و بهره‌برداری گسترده از آن را از چند روز به چند ساعت کاهش می‌دهد و این را «نقطه عطفی» در امنیت زیرساخت‌ها نامیدند. کارستن ویلدبرگر، وزیر فدرال امور دیجیتال، تأیید کرد که سیستم‌های فدرال آسیب ندیده‌اند، اما پذیرفت که این حادثه نشان‌دهنده نیاز به قابلیت وصله‌گذاری تقریباً آنی است.