PHP2Shell به زبان ساده؛ دو آسیب‌پذیری جدی در زبان PHP که وب را در وضعیت هشدار قرار دادند

شاید شما نیز تا اینجا متوجه یک تناقض عمده شده باشید. PHP یک نرم‌افزار متن‌باز است و هر محققی قادر به بررسی کد آن است؛ اما نگهداری قسمت‌های حیاتی این موتور به دانش عمیق و زمان کافی یک تیم بسیار کوچک بستگی داشت. در سال ۲۰۲۴، هنوز مشخص نبود که این خطا به چه میزان گسترش خواهد یافت. در اوت ۲۰۲۶، پژوهشگران سرانجام کشف کردند که می‌توان از این آسیب‌پذیری برای اجرای دستورات بر روی سرور سوءاستفاده کرد.

کد آسیب‌پذیر برای سالیان متمادی در PHP وجود داشت و برخی نسخه‌های مستعد آسیب حتی به PHP 5.4، که در سال ۲۰۱۲ منتشر شد، برمی‌گشتند. برخی منابع ریشه‌ی عمیق این نقص‌ها را حتی به دوران انتشار PHP 5 در سال ۲۰۰۴ نسبت می‌دهند؛ آنچه که در سال ۲۰۲۶ دگرگون شد، نه خود خطا، بلکه توانایی تبدیل آن به یک حمله‌ی ارزشمند و عملی بود.

ایجاد چنین حمله‌ای نیازمند شناسایی و ترکیب چندین خطا و انجام آزمایشات متعدد بود. به گفته‌ی شرکت امنیتی Wiz، مدل‌های پیشرفته‌ی هوش مصنوعی این فرآیند دشوار را به طرز قابل توجهی تسریع کردند. این شرکت با استفاده از Wiz Atlas، Gemini 4 Argon و GPT-5.6 Sol توانست اکسپلویت‌های مؤثری برای چندین برنامه مختلف ایجاد و سفارشی‌سازی کند. به گفته‌ی Wiz، یک محقق در یک هفته به نتایجی دست یافت که پیش‌تر ماه‌ها زمان یک تیم مجرب را می‌طلبید.

شایان ذکر است که دستاورد حاصل‌شده ابعاد دیگری نیز دارد. ابزارهایی که به محققان و مدافعان امنیت کمک کردند، قادرند به مهاجمین نیز در زمینه مقایسه نسخه‌های وصله شده با کدهای قبلی، بازیابی آسیب‌پذیری و خودکارسازی جست‌وجو در میان سرورهای وصله‌نشده کمک کنند.

در واقع، هوش مصنوعی می‌توانست امکانات شناسایی مشکلات امنیتی را تسهیل کند و به طور همزمان، سوء استفاده از آن‌ها را نیز ممکن سازد؛ همان‌طور که یکی از پژوهشگران در گزارشی به نشریه‌ای در لوکزامبورگ عنوان کرد که ابزارهای پیشرفته‌ی هوش مصنوعی نفوذ برای مهاجمان را آسان‌تر کرده‌اند.

در نظر بود که اصلاحیه‌های PHP در روز پنجشنبه ۲۲ اکتبر ۲۰۲۶ منتشر شوند؛ اما در روز سه‌شنبه ۲۰ اکتبر، حدود ساعت ۱۵ به وقت جهانی، شناسایی‌های دو آسیب‌پذیری به طور گسترده در انجمن‌ها و شبکه‌های اجتماعی انتشار یافت. اطلاعات منتشر شده شامل چند اشتباه نیز بود؛ به‌عنوان مثال، امتیاز خطر ۱۰ از ۱۰ اعلام شد، در حالی که امتیاز واقعی معادل ۹.۲ بود. به اظهارات بنیاد PHP، در آن مقطع هنوز جزییات فنی حمله افشا نشده بود؛ اما برنامه انتشار هماهنگ اصلاحیه‌ها تحت تاثیر قرار گرفت.

بنیاد PHP شب همان روز یک بیانیه صادر کرد و زمان انتشار وصله‌ها را یک روز جلو برد. امکان انتشار فوری نیز وجود نداشت، زیرا توزیع‌کنندگان هنوز نیاز به تبدیل کد اصلاح‌شده به بسته‌هایی داشتند که بتوانند بر روی سرورهای خود نصب کنند. بلافاصله پس از این بیانیه، شرکت امنیتی Calif به طور نادرستی ویدیویی پخش کرد که نمونه‌ای از حمله را به نمایش می‌گذاشت. اگرچه ویدیو به سرعت حذف شد، اما نسخه‌هایی از آن در شبکه‌های اجتماعی باقی ماند.

در هلند، مرکز ملی امنیت سایبری به سازمان‌ها توصیه کرد که خطرات مرتبط با هر یک از خدماتشان را ارزیابی کنند و در صورت وقوع، تا زمان اعمال اصلاحات، دسترسی به وب‌سایت‌هایشان را محدود نمایند. چندین نهاد دولتی همین اقدام را اتخاذ کردند. در نهایت، وصله‌ها در روز چهارشنبه ۲۱ اکتبر منتشر شدند؛ اما بازگرداندن وب‌سایت‌ها و تأیید نصب آن‌ها به زمان نیاز داشت.

گزارش‌های بعدی خط زمان تهدید را حتی به عقب‌تر بُرد. آمازون در داده‌های شبکه‌ی تله‌ی امنیتی خود تلاش مشکوکی برای سوء استفاده از PHP2Shell را شناسایی کرد که به ۱۷ اکتبر بازمی‌گشت؛ چهار روز قبل از افشای عمومی آسیب‌پذیری‌ها. هنوز مشخص نیست که عامل این تلاش چگونه به اطلاعات لازم دسترسی پیدا کرده بود، اما نشان‌دهنده‌ی فعالیت‌های مشکوک حتی پیش از انتشار رسمی اخبار به شمار می‌رود.

چهار نسخه‌ی اصلاح‌شده‌ی PHP، شامل ۸.۵.۱۲، ۸.۴.۲۷، ۸.۳.۳۶ و ۸.۲.۳۵، در روز چهارشنبه ۲۱ اکتبر منتشر شدند. برای نسخه‌های قدیمی‌تر نیز اصلاحات کد منبع ارائه گردید؛ اگرچه این نسخه‌ها دیگر تحت پشتیبانی رسمی نیستند و نصب نسخه‌ی قدیمی اصلاح شده به بسته‌های معتبر توزیع کننده و یا تلاش اضافی مدیر سرور بستگی دارد.