فناوری · خبر
PHP2Shell: نقاط ضعف شدید در PHP موج ترمیم جهانی و تعطیلی سایت‌ها را ایجاد کرد
انتشار:
به‌طور خلاصه
دو نقطه ضعف بحرانی در PHP با نام "PHP2Shell" به مهاجمان اجازه می‌دهند کد را بر روی وب‌سرورها بدون ورود به سیستم اجرا کنند، و PHP تصحیحات اضطراری را در 21 اکتبر 2026 منتشر کرد. این نقایص تثبیت‌های PHP پشت حدود 70٪ وب‌سایت‌ها را تحت تاثیر قرار می‌دهند، که باعث شد نخستوزیر ژاپن و دفتر امنیت سایبری شرکتها را تحت فشار برای اصلاح فوری یا قطع وب‌سایت‌ها بگذارند، در حالی که Cloudflare و آژانس‌های دولتی در ساعاتی پس از افشاء، تلاشهای بهرهبرداری را گزارش کردند.
این نسخه ترجمهٔ ماشینی متن اصلی (English) است. خواندن متن اصلی
در 21 اکتبر 2026، پروژه PHP بهروزرسانی اضطراری را منتشر کرد—نسخههای 8.5.12، 8.4.27، 8.3.36 و 8.2.35—برای رفع دو نقطه ضعف امنیتی بحرانی که محققان امنیتی و فروشندگان آن را "PHP2Shell" نام‌گذاری کرده‌اند، طبق گزارش Help Net Security و مرکز تحقیقات سایبری کانادا. این نقایص به عنوان CVE-2026-109618 و CVE-2026-109619 ردیابی میشوند، هر دو به عنوان مشکلات بحرانی توصیف شدهاند؛ منابع مورد بررسی این مقاله هیچ نمره CVSS رسمی ارائه نکردند.
آن‌چه که این آسیبپذیری انجام می‌دهد
هر دو نقطه ضعف خرابی‌های ایمنی حافظه در نحوه عملکرد PHP با درخواست‌ها در شرایط غیرعادی هستند، طبق گزارش Bleeping Computer و Help Net Security. CVE-2026-109618 زمانی رخ می‌دهد که خطای کمبود حافظه PHP را قطع کند در حالی که داده‌های درخواست داخلی تنها جزئی‌اً راه‌اندازی شدهاند، بنابراین روتین‌های پاک‌سازی بعدی آن داده‌های ناقص را به عنوان معتبر در نظر می‌گیرند. CVE-2026-109619 نقطه ضعف حالت متروک است: حافظه مرتبط با یک درخواست میتواند آزاد شود و سپس توسط یک درخواست بعدی در همان کارگر قبل از اینکه به درستی بازنشانی شود، دوباره استفاده شود، که میتواند داده‌ها را افشا کند یا اجرای کد را مجاز کند.
مرکز امنیت سایبری کانادا هر دو نقطه ضعف را Use-After-Free (CWE-416) طبقه‌بندی کرد و گفت یک حمله موفق به مهاجم غیرمجاز اجازه می‌دهد کد دلخواه را بر روی سرور اجرا کند، بدون نیاز به رمز عبور یا هر اقدامی از سوی کاربر. این آژانس گفت که استقرار mod_php دارای بیشترین ریسک است، زیرا یک استفاده منتشر شده میتواند نقطه ضعف را قبل از اینکه هر کد برنامه فرصتی برای اجرا پیدا کند، ایجاد کند — توصیفی که توسط تیم امنیت PHP نیز استفاده شد، طبق گزارش Bleeping Computer.
این نقطه ضعف بر هر نصب PHP که درخواستهای وب را سرو میکند، تأثیر می‌گذارد، از جمله PHP-FPM، mod_php آپاچ، php-cgi، FrankenPHP و LiteSpeed، طبق گزارش Bleeping Computer و راهنمای کانادایی. کد بنیادی برای بیش از یک دهه در PHP وجود داشت، طبق Fortune، اگرچه اصلاحات رسمی برای شاخههای 8.2–8.5 فعال منتشر شدند، با بازپورتهای سطح منبع برای شاخههای 7.4 تا 8.1 که از تاریخ پایان حمایت تجاوز کرده‌اند.
چگونه کشف شد، و چرا هوش مصنوعی در اینجا اهمیت دارد
طبق گزارش Fortune، کد معیوب برای بیش از یک دهه در PHP وجود داشت، اما سه طرف جداگانه در آگوست 2026 به آن گرایش پیدا کردند: شرکت امنیتی Wiz، شرکتی به نام Calif، و OpenAI، که در تهیه اصلاح و افشای هماهنگ با بنیاد PHP کار می‌کردند. Fortune گزارش داد که Wiz از مدل‌های هوش مصنوعی از جمله GPT-5.6 Sol از OpenAI و Gemini 4 Argon از Google برای کمک به درک ضعف و تبدیل آن به بهرهبرداری عملی استفاده کرد. Wiz به Fortune گفت این پرونده نمایندگی از تغییری است که توسط هوش مصنوعی حرکت می‌یابد، و گفت که در حالی‌که کد آسیب‌پذیر برای بیش از یک دهه وجود داشت، آن‌چه تغییر کرد توانایی محققان برای استفاده از هوش مصنوعی برای درک ضعف و تبدیل آن به بهرهبرداری عملی بود.
Fortune همچنین گزارش داد که OpenAI، در بیان خود، گفت این مورد نشان داد چگونه هوش مصنوعی میتواند در کشف نقایص امنیتی با تأثیر در مقیاس اینترنت کمک کند، ضمن اعتراف به اینکه همان توانایی‌های هوش مصنوعی می‌توانند مهاجمین را نیز برای توسعه ابزار و بهره‌برداری‌های تهاجمی سریع‌تر کمک کنند.
تلاشهای بهرهبرداری و پاسخ اولیه Cloudflare
Cloudflare در وبلاگ خود گفت که قوانین جدار آتش برنامه وب را در 03:02 UTC در 21 اکتبر فعال کرد، که آن را تقریباً نه ساعت قبل از افشای عمومی آسیب‌پذیری‌ها توصیف کرد. این شرکت هفت "قوانین عمومی – اجرای غیرعادی" برای مشتریان لایه رایگان و مجموعه‌ای جداگانه از هفت قانون معادل برای طرح‌های پرداخت‌شده، به علاوه یک قانون اضافی که هم درخواست و هم پاسخ را در همان تراکنش بررسی میکند، منتشر کرد، طبق نوشته Cloudflare همانطور که توسط ppc.land خلاصه شد. همان نوشته گفت Cloudflare متوجه شد مهاجمان بعداً حمولات بهرهبرداری خود را تغییر می‌دادند در تلاش آشکار برای اجتناب از قوانین جدید، اگرچه ارقام دقیق حجم حمله را منتشر نکرد.
جداگانه، تیم تهدید Amazon گفت که تلاشهای بهرهبرداری بر علیه نقایص را از 17 اکتبر 2026 شروع شناسایی کرده است—چهار روز قبل از تصحیح عمومی—طبق گزارش Bleeping Computer، که نشان می‌دهد برخی تهدید‌کنندگان به جزئیات بهرهبرداری قبل از افشای عمومی دسترسی داشتند. در مقابل، راهنمای مرکز امنیت سایبری کانادا نشان می‌دهد که، در زمان نوشته شدن، بهرهبرداری فعال را شناسایی نکرده است، ضمن هشدار که وضعیت میتواند سریع تغییر کند. این دو ارزیابی نقاط مشاهده و زمانبندی متفاوت را منعکس می‌کنند نه تناقض واقعی.
ژاپن: دولت برای اصلاح یا تعطیل فشار می‌آورد
این آسیبپذیری توجه فشرده‌ای را در ژاپن جلب کرد. دفتر ملی امنیت سایبری ژاپن، بدنه جانشین NISC که در ژوئیه 2025 بازسازی شد، یک هشدار صادر کرد که اپراتورها را ترغیب میکند بررسی کنند آیا وب‌سایت‌های آنها PHP را اجرا می‌کنند و سریع اقدام کنند، طبق گزارش BigGo Finance در مورد بیان این آژانس. نخستوزیر Sanae Takaichi بر روی X پست کرد و آن را "درخواست فوری برای همه برای پاسخ امشب" توصیف کرد، و گفت که تعلیق موقت یک وبسایت میتواند یک روش موثر برای کاهش ریسک باشد اگر اصلاح فوری ممکن نبود، طبق گزارش BigGo Finance.
پس از این راهنمایی، چندین خدمات اینترنتی ژاپنی در شب 21 اکتبر به نگه‌داری اضطراری وارد شدند، از جمله پلتفرم مدیریت پرستاری CoDMON، بازی کارت Shadowverse: Worlds Beyond، سازنده فروشگاه آنلاین BASE، و ارائه‌دهنده میزبانی Sakura Internet، طبق گزارش BigGo Finance. تصحیحات رسمی PHP حدود 10:40 شب به وقت ژاپن منتشر شدند، قبل از هدف اولیه اعلام شده در 11 شب، همان گزارش گفت.
جداگانه، Internet Watch (Impress) گزارش داد که ارائه‌دهنده ارتباطات ژاپنی Baltec حدود 23 خدمات را تعلیق کرد—پوشش ابر، رزرو، نقطه فروش و ابزار مدیریت هزینه—پس از تشخیص دسترسی غیرمجاز با احتمال افشای داده‌های شخصی. Baltec در ابتدا حادثه را به یک حمله سایبری هدفمند یک آسیبپذیری PHP نسبت داد، اما شرکت تصحیحی را در همان روز صادر کرد که بیان میکند علت واقعی یک آسیبپذیری در سرویس خود بود، نه نقص PHP، پس از آنکه گفت دو موضوع را در حین بررسی تدابیر امنیتی مرتبط با PHP اشتباه گرفته بود. Baltec برای بازگردانی خدمات تا 26 اکتبر هدف قرار داد، طبق گزارش Internet Watch.
دامنه اکسپوژر
PHP قدرت حدود 70٪ وب‌سایت‌های جهانی را دارد، از جمله سایت‌های WordPress، Wikipedia، Microsoft.com و Archive.org، طبق Fortune، با ارجاع که حدود 40٪ از تمام وب‌سایت‌ها بر روی WordPress اجرا میشوند، که خود به PHP وابسته است. Fortune همچنین یک اسکن اولیه را ارجاع داد که 22.6 میلیون نمونه PHP احتمالاً آسیب‌پذیر را در معرض اینترنت شناسایی کرد.
| مورد | جزئیات |
|---|---|
| شناسه‌های CVE | CVE-2026-109618 و CVE-2026-109619 |
| شدت | توصیف شده به عنوان بحرانی در تمام منابع مورد بررسی؛ هیچ نمره CVSS رسمی در آن منابع یافت نشد |
| نوع آسیبپذیری | Use-after-free / خرابی حافظه (CWE-416) |
| نسخههای درستشده | PHP 8.5.12، 8.4.27، 8.3.36، 8.2.35 (بازپورتهای لایه منبع برای 7.4–8.1) |
| تاریخ افشاء/تصحیح | 21 اکتبر 2026 |
| تلاشهای بهرهبرداری اول گزارش‌شده | 17 اکتبر 2026 (طبق Amazon Threat Intelligence، طبق گزارش Bleeping Computer) |
| سهم وب اجرا کننده PHP | ~70٪، طبق Fortune |
آن‌چه که هنوز نامعلوم است
تا کنون، از میان گزارش‌های موجود، هیچ منبعی تایید نمی‌کند یک نقض موفق در مقیاس بزرگ که مستقیماً به بهرهبرداری PHP2Shell نسبت داده شود، برخلاف تعطیلات احتیاطی. ارقام تلاشهای بهرهبرداری کل متفاوت است بسته به منبع و پنجره اندازه‌گیری: مدیر Cloudflare در پوشش اخبار ژاپنی از طریق Yahoo! News استشهاد شد که تعداد تلاش‌ها از هزاران قبل از افشاء به ده‌ها هزار در 45 دقیقه و رسیدن به صدها هزار در دو ساعت، با کل‌های توصیف‌شده به میلیون‌ها در زمان این گزارش افزایش یافت؛ وبلاگ Cloudflare این ارقام مشخص را تکرار نکرد. خوانندگان باید اعداد دقیق حجم حمله را به عنوان اولیه و تحت مراجعه توسط سازمان‌های ردیابی آنها، درنظر بگیرند.
پرسش‌ها
- PHP2Shell چیست؟
- این نام اختصاصیافته به دو آسیبپذیری بحرانی PHP، CVE-2026-109618 و CVE-2026-109619، است، هر دو به عنوان بحرانی در شدت توصیف شدهاند، که میتواند مهاجم را مجاز کند کد را بر روی وبسرور بدون ورود به سیستم اجرا کند، طبق Help Net Security و مرکز تحقیقات سایبری کانادا.
- کدام نسخههای PHP تأثیرگذار و درستشده هستند؟
- نقایص بنیادی در کد PHP برای بیش از یک دهه موجود هستند، اما اصلاحات رسمی برای نسخههای 8.5.12، 8.4.27، 8.3.36 و 8.2.35 در 21 اکتبر 2026 منتشر شدند، با بازپورتهای سطح منبع برای شاخههای 7.4–8.1 که حمایت به اتمام رسیدهاند، طبق Bleeping Computer و راهنمای دولت کانادا.
- آیا وبسایت من در خطر است اگر WordPress یا یک پلتفرم دیگر مبتنی بر PHP را استفاده کند؟
- هر سروری که PHP را برای پردازش درخواستهای وب اجرا میکند—شامل تنظیمهای پشت WordPress—میتواند تأثیرپذیر باشد مگر اینکه به یک نسخه PHP درستشده بهروزرسانی شود؛ تکوینهای mod_php به عنوان ریسک بالاتر در نظر گرفته میشوند، طبق مرکز تحقیقات سایبری کانادا.
- چرا برخی از شرکتها و خدمات ژاپنی به طور موقت بسته شدند؟
- دفتر ملی امنیت سایبری ژاپن و نخستوزیر Sanae Takaichi هر دو گفتند که تعلیق موقت یک وبسایت یک روش موثر برای کاهش ریسک بود اگر اصلاح فوری ممکن نبود، که باعث شد خدمات مانند CoDMON، Shadowverse: Worlds Beyond، BASE و Sakura Internet عملیات را متوقف کنند، طبق BigGo Finance.
- آیا این آسیبپذیری در حال حاضر مورد بهرهبرداری است؟
- گزارشها به بر اساس زمانبندی متفاوت هستند: تیم Amazon Threat Intelligence گفت تلاشهای بهرهبرداری را از 17 اکتبر 2026 شناسایی کرد، چهار روز قبل از افشای عمومی، در حالی که راهنمای رسمی کانادا بیان کرد هیچ بهرهبرداری فعالی را در زمان نوشته شدن تایید نکرده است، با ملاحظه که این میتواند سریع تغییر کند.
جهان چگونه روایتش میکند
- ژاپنیرسانه‌های ژاپنی به طور فشرده‌ای بر پاسخ دولت داخلی تمرکز کردند، و گزارش دادند که نخستوزیر Sanae Takaichi و دفتر ملی امنیت سایبری به طور علنی شرکتها را برای اصلاح فوری یا تعلیق وب‌سایت‌ها فشار آوردند، و ردیابی کردند کدام خدمات معروف مصرف‌کننده ژاپنی و ارائه‌دهنده ارتباطات (Baltec) سیستم‌ها را قطع کردند؛ یک رسانه همچنین یک تصحیح در همان روز صادر کرد پس از آنکه Baltec ابتدا یک نقض غیرمرتبط را به عیب PHP نسبت داد.
منابع
- Internet Watch (Impress) — Baltec service suspension and correction on PHP vulnerability claim
- Yahoo! News Japan pickup — Cloudflare attempt figures and security poll
- Help Net Security — PHP2Shell: Critical PHP vulnerabilities patched, update now!
- BleepingComputer — PHP ships emergency patches for critical PHP2Shell flaws
- Cloudflare Blog — Cloudflare deploys protections against php2shell vulnerability
- ppc.land — Cloudflare blocks php2shell exploits 9 hours before PHP flaws went public
- Fortune — AI helped discover the PHP vulnerability that could take down 70% of the internet
- Canadian Centre for Cyber Security — AL26-026: Critical vulnerabilities impacting PHP
- BigGo Finance — Critical PHP Vulnerability: PM Takaichi Urges Prompt Patch Application, Site Shutdown Also an Option
این مطلب با هوش مصنوعی آماده شده و پیش از انتشار از بررسی خودکار منابع گذشته است. اگر خطایی دیدید، درخواست اصلاح کنید. درخواست اصلاح یا حق پاسخ · چگونه کار می‌کنیم
مطالب مرتبط
فناوریمقاله
iPhone Duo تاشو اپل: مشخصات، قیمت و مقایسه با Samsung
اپل گوشی تاشوی اول خود، iPhone Duo را در 23 اکتبر 2026 به فروش گذاشت، با قیمت شروع از 1999 دلار، پس از اینکه تقاضا برای پیش‌سفارش میزان تحویل را به 2027 کشاند تنها در دقایق. دستگاه به شیوه‌ی کتاب یک لولا تیتانیومی و مقاومت IP68 در برابر آب را ترکیب میکند — اولین مورد برای این نوع گوشی تاشو — با صفحه‌نمایش سفارشی Samsung Display، و این رقابت با سری Galaxy Z Fold موجود Samsung را تشدید میکند.
فناوریخبر
بانک های آمریکایی می گویند عوامل هوش مصنوعی بدون مجوز وارد حسابات مشتریان می شوند
بانک های بزرگ آمریکایی از جمله JPMorgan Chase، Bank of America و Charles Schwab می گویند که عوامل هوش مصنوعی شخص ثالث وارد حسابات مشتریان می شوند و از اطلاعات دسترسی استفاده می کنند که کاربران خود به آنها دادند. بر اساس گزارش Axios منتشر شده در 22 اکتبر 2026، بانک ها می گویند برخی عوامل اقدامات هایی مثل انتقال وجوه انجام داده اند که ظاهراً جدا از دستورات خاص کاربر است، و اکنون بانک ها این عمل را مسدود یا محدود می کنند.
فناوریمقاله
جنسن هوانگ از نویدیا نگرانی‌های درباره تولیدِ بیش‌ازحد رقائق حافظه در سال ۲۰۲۹ را رد میکند
مدیرعامل نویدیا جنسن هوانگ در ۲۲ اکتبر ۲۰۲۶ به CNBC گفت که نشانه‌ای از عرضۀ بیش‌ازحد رقائق حافظه تا سال ۲۰۲۹ نمی‌بیند، و با اینجا بر خلاف نظری که باعث کاهش شدید سهام سامسونگ، SK Hynix و میکرون شده بود، مخالفت کرد. هوانگ در سخنرانی در کنفرانس GTC نویدیا در برلین، گفت که تقاضا برای حافظۀ با پهنای نوار بالا (HBM) به‌طور مستمر افزایش می‌یابد و داشتن حافظۀ بیشتر مفید است نه خطرناک.
فناوریمقاله
چرا شرکت‌های بزرگ تکنولوژی 730 میلیارد دلار برای زیرساخت‌های هوش مصنوعی در سال 2026 هزینه می‌کنند
Amazon، Alphabet، Microsoft و Meta قصد دارند تقریباً 730 میلیارد دلار را برای مراکز داده و تراشه‌های هوش مصنوعی هزینه کنند که حدود 78 درصد بیشتر از سال 2025 است. این موج باعث شد تدفق نقد آزاد Meta برای اولین بار از زمان عرضه‌ی عمومی اولیه در سال 2012 منفی شود و باعث ریزش شدیدی در سهام تکنولوژی شد زیرا سرمایه‌گذاران در این باره تردید دارند که این هزینه‌کاری چه زمانی و آیا اساساً نتیجه‌ای برخواهند داد.