دو نقص بحرانی PHP؛ حمله‌های واقعی به PHP2Shell تأیید شد

دو آسیب‌پذیری بحرانی در زبان برنامه‌نویسی PHP، که حدود ۶۹٫۳ درصد وب‌سایت‌های دارای زبان سمت سرورِ شناسایی‌شده از آن استفاده می‌کنند، در ۲۱ اکتبر ۲۰۲۶ (۲۹ مهر ۱۴۰۵) همراه با انتشار وصله اضطراری علنی شد. آژانس امنیت ملی آمریکا به سازمان‌ها گفت اگر نمی‌توانند فوری به‌روزرسانی کنند، سامانه‌های خود را از دسترس خارج کنند و دست‌کم چند دولت اروپایی برخی سایت‌ها را موقتاً آفلاین کردند. این گزارش وصله، دامنه آسیب و ابهام برآوردها را بررسی می‌کند.

چه اتفاقی افتاد؟

بنیاد PHP در ۲۱ اکتبر ۲۰۲۶ وصله‌های امنیتی را منتشر کرد و از همه کاربران خواست فوراً به‌روزرسانی کنند. بنا بر گزارش تنابل، شناسه‌های این آسیب‌پذیری‌ها یک روز قبل درز کرده بود و بنیاد PHP می‌گوید انتشار از ۲۲ اکتبر به ۲۱ اکتبر جلو افتاد. به گفته PHP، هر دو نقص را مهاجم از راه دور و بدون احراز هویت می‌تواند هدف بگیرد و خطر برای پیکربندی mod_php بیشتر است.

دو نقص از نظر فنی متفاوت‌اند. نخستین، مربوط به مدیریت کمبود حافظه است؛ اگر حافظه در میانه ساخت داده‌های یک درخواست تمام شود، مرحله پاک‌سازی همان داده نیمه‌آماده را معتبر فرض می‌کند. دومی، استفاده از حافظه آزادشده است که حالت باقی‌مانده از یک درخواست را به درخواست بعدیِ همان پردازشگر منتقل می‌کند. PHP افشای حافظه را اثر تأییدشده می‌داند.

واکنش دولت‌ها و نهادها

بنا بر گزارش رویترز به نقل از الجزیره، آژانس امنیت ملی آمریکا هشدار عمومی نادری صادر کرد و توصیه کرد سایت‌هایی که فوراً به‌روز نمی‌شوند آفلاین شوند. همان گزارش می‌گوید آلمان، فرانسه، بلژیک، هلند، فنلاند و چک برخی سایت‌ها را برای اعمال وصله بستند. نخست‌وزیر ژاپن نیز درباره خطر هشدار داد. گزارش‌های دیگر، از جمله ذی‌نشنال، از قطعی موقت خدمات دولتی در هلند، فنلاند، فرانسه و استرالیا خبر می‌دهد؛ فهرست کامل کشورها بین منابع یکسان نیست.

نقش هوش مصنوعی در کشف

الجزیره به نقل از رویترز می‌نویسد نقص‌ها با کمک مدل‌های هوش مصنوعی کشف شدند؛ شرکت امنیتی کالیف با اوپن‌ای‌آی همکاری کرد و ویز، متعلق به آلفابت، نقص دیگر را گزارش کرد. خود ویز آن‌ها را «از شدیدترین آسیب‌پذیری‌های کشف‌شده در PHP» توصیف کرده است. بنیاد PHP هم می‌گوید ابزارها اکنون باگ‌ها را سریع‌تر از همیشه، هم برای مدافعان و هم برای مهاجمان، پیدا می‌کنند. این اظهارات ادعای منابع است و رونما آن‌ها را مستقل راستی‌آزمایی نکرده است.

آیا حمله‌ای در جریان است؟

به‌روزرسانی ۲۴ اکتبر ۲۰۲۶: گزارش تازه TechCrunch می‌گوید پالو آلتو نتورکس و Trail of Bits تا اواخر جمعه، موارد نفوذ و فعالیت پس از نفوذ مرتبط با PHP2Shell را تأیید کرده‌اند. شمار قربانیان، هویت هدف‌ها و گستره این رخدادها در منابع مجاز این چرخه مشخص نشده است؛ بنابراین این یافته را نباید به معنای حمله گسترده به همه سایت‌های مبتنی بر PHP دانست.

این تحول، خط زمانی را روشن‌تر می‌کند. The Verge در ۲۲ اکتبر گزارش داده بود آمازون تلاش برای بهره‌برداری را از ۱۷ اکتبر، یعنی پیش از انتشار عمومی وصله‌ها، در یک سامانه طعمه ثبت کرده است. بنیاد PHP در همان مقطع گفته بود از اجرای موفق کد از راه دور اطلاعی ندارد. گزارش ۲۴ اکتبر اکنون از عبور دست‌کم برخی مهاجمان از مرحله تلاش به نفوذ واقعی حکایت دارد، هرچند جزئیات فنی قربانیان هنوز علنی نشده است.

تا زمان این به‌روزرسانی، نشانه‌ای از بهره‌برداری انبوه گزارش نشده است؛ اما افزایش تلاش‌های حمله پس از افشای عمومی و باقی‌ماندن سامانه‌های وصله‌نشده، خطر را فعال نگه می‌دارد. برای مدیران، اقدام اصلی همچنان نصب نسخه اصلاح‌شده و راه‌اندازی مجدد پردازشگرهای PHP است؛ مشاهده چند نفوذ تأییدشده نیز جای برآورد مستقل از تعداد سرورهای آسیب‌دیده را نمی‌گیرد.

مدیران سایت چه باید بکنند؟

کامل‌ترین راه‌حل به‌روزرسانی به نسخه وصله‌شده و راه‌اندازی مجدد همه پردازشگرهای PHP است. بنا بر تنابل، تا آن زمان می‌توان برای نقص نخست memory_limit را روی ۱- (به‌گونه‌ای که برنامه‌ها نتوانند تغییرش دهند) و برای نقص دوم session.upload_progress.enabled را روی ۰ گذاشت؛ در PHP 8.5 تنظیم fatal_error_backtraces=0 هم توصیه شده است. این‌ها راه‌حل موقت‌اند. قوانین فایروال کلودفلر نیز فقط ترافیکِ عبوری از آن را پوشش می‌دهد. بخشی از سرورها، از جمله سرورهای فورج، به‌طور خودکار وصله نمی‌شوند و باید دستی ارتقا یابند.