پرش به محتوا

پی‌اچ‌پی‌توشل

از ویکی‌پدیا، دانشنامهٔ آزاد
پی‌اچ‌پی‌توشل (PHP2Shell)
نمونه فابریکاتور ویکی‌مدیا ساعاتی پیش از انتشار وصله، که به عنوان یک اقدام پیشگیرانه غیرفعال شده بود
شناسه(های) سی‌وی‌ئیCVE-2026-109618
CVE-2026-109619
تاریخ کشفاوت ۲۰۲۶
تاریخ وصله‌شدن۲۱ اکتبر ۲۰۲۶؛ ۱۰ روز پیش (2026-10-21)
کاشفکالیف، اوپن‌ای‌آی، ویز
نرم‌افزار تحت تأثیرنسخه‌های ۵٫۴ تا ۸٫۵ پی‌اچ‌پی[۱]
وبگاهphp2shell.com

«PHP2Shell»(نویسه‌گردانی:پی‌اچ‌پی‌توشِل) شامل دو آسیب‌پذیری رایانه‌ای بسیار خطرناک (با شناسه‌های CVE-2026-109618 و CVE-2026-109619) است که به نقص‌های ایمنی حافظه در نسخه‌های ۵.۴ تا ۸.۵ زبان برنامه‌نویسی PHP مربوط می‌شوند. این آسیب‌پذیری‌ها به یک کاربر مخرب احتمالی اجازه می‌دهند تا با اجرای کد از راه دور (RCE)، کنترل میزبان وب‌سایت را به دست بگیرد. PHP یک زبان برنامه‌نویسی محبوب است که پایگاه‌های کد بسیاری از وب‌سایت‌ها و برنامه‌های کاربردی تحت وب بر پایه آن ساخته شده‌اند؛ برآورد می‌شود که این آسیب‌پذیری‌ها نزدیک به ۷۰ درصد از وب‌سایت‌ها را تحت تأثیر قرار داده باشند.[۲] این حفره‌های امنیتی در اوت ۲۰۲۶ با کمک هوش مصنوعی کشف شدند و خبر وجود آن‌ها در تاریخ ۲۰ اکتبر ۲۰۲۶ به‌طور عمومی اعلام شد.[۳] روز بعد، یک وصله اضطراری برای نسخه‌های ۸.۲، ۸.۳، ۸.۴ و ۸.۵ به همراه جزئیاتی درباره این آسیب‌پذیری‌ها منتشر گردید. در پی این رویداد، بسیاری از وب‌سایت‌ها به‌طور موقت از دسترس خارج شدند تا وصله‌های مذکور اعمال شوند و از سوءاستفاده احتمالی از طریق «اکسپلویت‌ها» (نرم‌افزارهایی که با بهره‌برداری از حفره‌های امنیتی به سیستم‌ها نفوذ می‌کنند) جلوگیری شود.[۳] [۴][۴]

کشف

[ویرایش متنی | اشتراک‌گذاری]

نسخه‌های پی‌اچ‌پی از نسخه ۵٫۴ (منتشر شده در سال ۲۰۱۲)[۵] تحت تأثیر این آسیب‌پذیری‌ها قرار دارند. اگرچه نگرانی‌هایی درباره باگ‌های ایمنی حافظه از دهه‌ها قبل مطرح شده بود، اما در آن زمان هیچ اقدامی صورت نگرفت زیرا تصور نمی‌شد توسعه یک اکسپلویت (کد مخرب) کارآمد امکان‌پذیر باشد.[۶][۷] یکی از توسعه‌دهندگان هسته پی‌اچ‌پی، خطای کمبود حافظه را که عامل یکی از این آسیب‌پذیری‌ها بود طی یک ممیزی در سال ۲۰۲۴ کشف کرد، اما این باگ هرگز برطرف نشد؛ تیم توسعه نتوانست در مورد نحوه رفع آن به توافق برسد و از آنجا که اکسپلویت خاصی کشف نشده بود، این مشکل در اولویت قرار نگرفت.[۸][۹]

این آسیب‌پذیری‌ها به طور مستقل توسط دو گروه کشف شدند: رایان آستین، پژوهشگر شرکت امنیتی کالیف (Calif) مستقر در کالیفرنیا[۱۰] به عنوان بخشی از پروژه «وصله سیاره» اوپن‌ای‌آی در اوت ۲۰۲۶؛ و شرکت امنیت ابری اسرائیلی-آمریکایی ویز (Wiz)، از زیرمجموعه‌های آلفابت و بخشی از گوگل کلاود. آستین برای یافتن این آسیب‌پذیری از مدل GPT-5.6 Sol شرکت اوپن‌ای‌آی استفاده کرد.[۷] پژوهشگران ویز نیز از مدل‌های زبانی بزرگ جمنای ۴ آرگون (Gemini 4 Argon) و GPT-5.6 Sol در کنار ابزار اختصاصی خود به نام Wiz Atlas برای کمک به تحقیقاتشان بهره بردند.[۱۱]

توسعه‌دهندگان پی‌اچ‌پی این آسیب‌پذیری را بر اساس سیستم امتیازدهی آسیب‌پذیری عام (CVSS v4.0) با امتیاز ۹٫۲ (بحرانی) ارزیابی کردند،[۱۲] در حالی که شرکت امنیتی watchTowr به آن امتیاز کامل ۱۰٫۰ داد.[۱۳]

وصله‌ها

[ویرایش متنی | اشتراک‌گذاری]

نگهدارندگان پی‌اچ‌پی نسخه‌های وصله‌شده ۸٫۲، ۸٫۳، ۸٫۴ و ۸٫۵ (شامل 8.2.35، 8.3.36، 8.4.27 و 8.5.12) را منتشر کردند.[۴] وصله‌های کد منبع برای نسخه‌های ۷٫۴، ۸٫۰ و ۸٫۱ نیز منتشر شد، اما فایل باینری رسمی به‌روزرسانی شده‌ای برای آن‌ها ارائه نگردید زیرا این نسخه‌ها به پایان چرخه حیات خود رسیده‌اند.[۴] همچنین راهکارهای کاهش خطرات موقت منتشر شد، اما نگهدارندگان اعلام کردند که هیچ راهکار کاملی وجود ندارد و به‌روزرسانی تنها انتخاب امن است.[۴] هر دو آسیب‌پذیری از طریق مشاوره‌های امنیتی گیت‌هاب در ۲۱ اکتبر ۲۰۲۶ ساعت 13:34 به وقت هماهنگ جهانی منتشر شدند،[۱۴][۱۵] که ۲۶ دقیقه پیش از زمان اعلام شده برای انتشار بود و وب‌سایت پی‌اچ‌پی اندکی پس از آن به‌روزرسانی شد.[نیازمند منبع]

این به‌روزرسانی پیش از موعد اعلام شد، زیرا اخبار مربوط به آسیب‌پذیری‌ها در ۲۰ اکتبر در انجمن‌های هکر نیوز[۱۶]، در پستی در شبکه اجتماعی ایکس توسط شرکت watchTowr و در یک ویدیوی اثبات مفهوم که به اشتباه توسط کالیف منتشر شده بود، فاش گردید.[۱۷][۷][۸] هشدار زودهنگام در PHP.net کاربران را تشویق کرد تا به محض انتشار وصله، آماده به‌روزرسانی سیستم‌های خود باشند.[۴] یک شرکت امنیتی به نام Sansec پیش‌بینی کرد که "حملات گسترده در عرض ۱۵ دقیقه پس از انتشار وصله آغاز خواهد شد".[۱۸] کدهای اثبات مفهوم و راهکارهای جزئی پیش از پایان دوره تحریم خبری در اینترنت شروع به پخش شدن کردند، زیرا پلتفرم توسعه Chainguard نسخه‌های وصله‌شده را زودتر از موعد منتشر کرد و این به مهاجمان اجازه داد تا کدهای تغییریافته را بررسی کنند.[۱۳][۱۹][۸]

شرکت اطلاعات تهدید آمازون یک تلاش برای سوءاستفاده از PHP2Shell را در سیستم‌های MadPot خود در تاریخ ۱۷ اکتبر ۲۰۲۶ (چهار روز پیش از افشای عمومی) شناسایی کرد.[۲۰] کلودفلر نشانه‌هایی از سوءاستفاده‌های اولیه پیش از انتشار عمومی وصله گزارش داد و قوانینی موقت در فایروال برنامه‌های کاربردی وب (WAF) به عنوان یک راهکار پیشگیرانه اعمال کرد.[۲۱][۲۲][۲۳] شرکت امنیتی watchTowr نیز اعلام کرد که تا ۲۱ اکتبر شاهد بهره‌برداری‌هایی در شبکه هانی‌پات (تله عسل) خود بوده است،[۲۴] در حالی که آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) تا همان روز بهره‌برداری فعالی را مشاهده نکرده بود.[۲]

تأثیرات

[ویرایش متنی | اشتراک‌گذاری]

تقریباً ۶۹ درصد از وب‌سایت‌ها از پی‌اچ‌پی استفاده می‌کنند، از جمله سایت‌هایی که از سیستم‌های مدیریت محتوا مانند دروپال، جوملا و وردپرس بهره می‌برند، بنابراین تأثیرات احتمالی بسیار گسترده بود.[۲][۲۵] پی‌اچ‌پی همچنین در تجهیزات نرم‌افزاری، کنترل‌پنل‌های میزبانی وب مانند سی‌پنل و پلسک، و برخی برنامه‌های ویندوز گنجانده شده است.[۲۶]

پیرو توصیه‌های تیم واکنش اضطراری رایانه‌ای اروپا (CERT-EU) و مرکز ملی امنیت سایبری بریتانیا، بسیاری از سازمان‌ها در سراسر اروپا وب‌سایت‌های خود را به عنوان یک اقدام احتیاطی تا زمان اعمال وصله‌ها از دسترس خارج کردند، از جمله پورتال دولتی هلند (Overheid.nl)، پلتفرم ملی ارتباطات مدارس دانمارک، تمامی خدمات وب عمومی دولت فنلاند و تمامی وب‌سایت‌های وزارت کشور فرانسه.[۱۱][۲۵][۲۷][۲۸] آژانس امنیت ملی ایالات متحده نیز توصیه کرد در صورتی که امکان به‌روزرسانی فوری وجود ندارد، وب‌سایت‌ها موقتاً خاموش شوند.[۶][۲۹] مرکز ملی امنیت سایبری بریتانیا هشدار مشابهی صادر کرد و از سازمان‌ها خواست مراقب درهای پشتی باشند.[۳۰] دفتر ملی امنیت سایبری ژاپن نیز به کاربران پی‌اچ‌پی توصیه کرد که سیستم‌های خود را فورا به‌روز کنند.[۳۱]

بنیاد ویکی‌مدیا بسیاری از خدمات پشتیبانی خود را تعطیل کرد و سایت‌هایی مانند 4chan و Something Awful از دسترس خارج شدند.[۲][۳۲][۶] بخش‌هایی از اینترنت ژاپن از جمله چندین بازی آنلاین و سایت‌های تجارت الکترونیک نیز قطع شدند.[۳۱][۳۲] بایگانی اینترنت (Internet Archive) نیز برای رفع این مشکل برای مدت کوتاهی غیرفعال شد.[۳۳]

تحلیل

[ویرایش متنی | اشتراک‌گذاری]

پژوهشگران شرکت ویز اظهار داشتند که این مشکل هم‌تراز با هارت‌بلید (Heartbleed) است؛ آسیب‌پذیری معروفی در سال ۲۰۱۴ که بر یک کتابخانه رمزنگاری مورد استفاده در حدود دو سوم وب در آن زمان تأثیر گذاشته بود.[۳۴] روزنامه گاردین در تفسیری اشاره کرد که بنیاد پی‌اچ‌پی، تنها ۱۳ کارمند تمام‌وقت و پاره‌وقت دارد و به کمک‌های مالی وابسته است، در حالی که تحقیقات هوش مصنوعی که به کشف این آسیب‌پذیری کمک کرد، "میلیاردها" دلار سرمایه‌گذاری دریافت کرده است.[۳۵]

بر اساس تحلیل شرکت داده‌های Veridion، حدود ۷٫۰۷ میلیون شرکت در سراسر جهان که از نسخه‌های آسیب‌پذیر استفاده می‌کردند شناسایی شدند که اکثر آن‌ها کمتر از ۵۰ کارمند داشتند؛ همچنین ۲۱٫۹ میلیون شرکت دیگر نیز بدون افشای نسخه خود از پی‌اچ‌پی استفاده می‌کردند که در این آمار لحاظ نشدند.[۳۶]

جستارهای وابسته

[ویرایش متنی | اشتراک‌گذاری]

منابع

[ویرایش متنی | اشتراک‌گذاری]
  1. ↑ "PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet | Wiz Blog". wiz.io (in American English). 21 October 2026.
  2. 1 2 3 4 Collier, Kevin (21 October 2026). "Critical vulnerabilities in commonly used web code spark rush to update systems". NBC News (in English). Retrieved 21 October 2026. خطای یادکرد: برچسب <ref> غیرمجاز؛ نام‌های غیرمجاز یا بیش از اندازه ().
  3. 1 2 "PHP: News Archive - 20 Oct 2026" (in English). PHP. 20 October 2026. Archived from the original on 20 October 2026. Retrieved 21 October 2026. خطای یادکرد: برچسب <ref> نامعتبر؛ نام «oct20» چندین بار با محتوای متفاوت تعریف شده است. (صفحهٔ راهنما را مطالعه کنید.).
  4. 1 2 3 4 5 6 "PHP: News Archive - 21 Oct 2026". www.php.net (in English). 2026-10-21. Retrieved 2026-10-21. خطای یادکرد: برچسب <ref> نامعتبر؛ نام «oct21» چندین بار با محتوای متفاوت تعریف شده است. (صفحهٔ راهنما را مطالعه کنید.).
  5. ↑ "PHP: Releases". www.php.net (in English). Retrieved 2026-10-22.
  6. 1 2 3 Kan, Michael (21 October 2026). "This Flaw Is So Serious Websites Should Consider Going Offline, NSA Says". PCMAG (in English). Retrieved 21 October 2026.
  7. 1 2 3 McMillan, Robert (21 October 2026). "Exclusive | AI Just Found a Bug That Puts up to 70% of the World's Websites at Risk". Wall Street Journal. Retrieved 21 October 2026.
  8. 1 2 3 Constantin, Ana Maria (21 October 2026). "PHP knew about one of the flaws in 2024 but could not agree a fix". The Next Web. Retrieved 21 October 2026.
  9. ↑ "Today's PHP Security Release, and How We're Strengthening PHP Security". thephp.foundation (in English). Retrieved 2026-10-21.
  10. ↑ Volz, Dustin (8 September 2026). "A Hacking Tool Built With A.I. Can Breach Phones Without a Click". The New York Times. Retrieved 21 October 2026.
  11. 1 2 Satter, Raphael; Marchandon, Leo; Ghosh, Kanjyik; Pardesi, Rajveer (2026-10-21). "Government websites go dark after AI-discovered flaw sparks security scramble". Reuters (in English). Retrieved 2026-10-21.
  12. ↑ "php.announce: [ANNOUNCE] Upcoming Critical PHP Security Release". news-web.php.net. Retrieved 2026-10-21.
  13. 1 2 Abrams, Lawrence. "PHP warns admins of two critical flaws, emergency patches coming tomorrow". BleepingComputer (in American English). Retrieved 2026-10-21.
  14. ↑ "RCE via OOM corruption". 2026-10-21. Retrieved 2026-10-21.
  15. ↑ "RCE via stale global state". 2026-10-21. Retrieved 2026-10-21.
  16. ↑ "Tell HN: 2x PHP RCE CVEs with CVSS 10.0 Incoming | Hacker News". news.ycombinator.com (in English). Archived from the original on 2026-10-21. Retrieved 2026-10-22.
  17. ↑ Khandelwal, Swati (21 October 2026). "PHP2Shell: Two Unpatched Critical PHP RCE Flaws (CVSS 9.2) Trigger Emergency Security Alert". The Hacker News (in English). Retrieved 21 October 2026.
  18. ↑ Goodin, Dan (2026-10-20). "PHP warns it plans to release 2 emergency patches imminently". Ars Technica (in English). Archived from the original on 2026-10-21. Retrieved 2026-10-21.
  19. ↑ "Only for the curious..." jackalsyn.com. Retrieved 2026-10-21.
  20. ↑ "Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot | AWS Security Blog". aws.amazon.com. 2026-10-21. Retrieved 2026-10-22.
  21. ↑ Gatlan, Sergiu (2026-10-21). "PHP ships emergency patches for critical PHP2Shell flaws". BleepingComputer (in American English). Retrieved 2026-10-21.
  22. ↑ "Hold on to your butts: Web admins braced for emergency PHP updates to plug leaked exploits". PC Gamer (in English). 2026-10-21. Retrieved 2026-10-21.
  23. ↑ Knecht, Dane (21 October 2026). "Dane Knecht 🦭 (@dok2001) on X". X (formerly Twitter).
  24. ↑ "PHP RCE FAQ: PHP2Shell CVE-2026-109618 & CVE-2026-109619". watchTowr (in English). 2026-10-20. Retrieved 2026-10-21.
  25. 1 2 Gerkin, Tom (21 October 2026). "Websites taken down worldwide as critical PHP cyber-security update issued". BBC News. Retrieved 21 October 2026.
  26. ↑ Hammond, John (2026-10-21). "Rapid Response: php2shell, Leaked Critical PHP Vulnerabilities (CVE-2026-109618 & CVE-2026-109619)". Huntress (in English). Retrieved 2026-10-21.
  27. ↑ Van Dessel, Josse (October 21, 2026). "Major websites go offline as critical PHP vulnerability triggers security fears". The Brussels Times (in English). Retrieved 2026-10-21.
  28. ↑ "Critical security issue affecting PHP" (Press release). National Cyber Security Centre. October 21, 2026.
  29. ↑ "NSA Advisory: PHP Updates". NSA Press Room. October 21, 2026. Retrieved October 21, 2026. Effective immediately, all organizations using PHP for their systems are advised to be prepared for an update addressing two critical vulnerabilities.
  30. ↑ Booth, Robert; Down, Aisha (21 October 2026). "Flaw in PHP computer language leads to shutdown of websites around world". The Guardian. Retrieved 21 October 2026.
  31. 1 2 "著名ITサービス相次いで緊急メンテへ コドモン、シャドバ、BASE、さくらのレンタルサーバなど 「PHP」脆弱性に起因か" [Several prominent IT services—including Codmon, Shadowverse, BASE, and Sakura Rental Server—have initiated emergency maintenance, likely due to a vulnerability in PHP] (in Japanese). ITmedia. October 21, 2026. Retrieved October 21, 2026.
  32. 1 2 Tauber, Olivia (2026-10-21). "PHP vulnerability: Which websites and services are affected?". Mashable (in English). Retrieved 2026-10-21.
  33. ↑ Smith, Paul; Mizen, Ronald (2026-10-21). "AI just discovered a bug putting 70pc of world's websites at risk". Australian Financial Review (in English). Retrieved 2026-10-22.
  34. ↑ Eadicicco, Lisa (21 October 2026). "Global websites shut down after AI found a critical flaw affecting 70% of the internet | CNN Business". CNN (in English). Retrieved 22 October 2026.
  35. ↑ Taylor, Josh (22 October 2026). "What is PHP, and how bad is the computer language flaw causing website shutdowns globally?". The Guardian. Retrieved 22 October 2026.
  36. ↑ "PHP2Shell: We Traced 7 Million Potentially Exposed Companies Across 244 Countries". www.linkedin.com (in English). Retrieved 2026-10-22.

پیوند به بیرون

[ویرایش متنی | اشتراک‌گذاری]
برگرفته از «https://fa.wikipedia.org/w/index.php?title=پی‌اچ‌پی‌توشل&oldid=44877333»