انتشار وصله امنیتی برای دو آسیب‌پذیری بحرانی PHP پس از قطعی موقت سایت‌های دولتی
توسعه‌دهندگان PHP با انتشار به‌روزرسانی‌های اضطراری، دو نقص امنیتی خطرناک با نام PHP2Shell را که امکان اجرای کد از راه دور را فراهم می‌کردند، برطرف کردند. پیش از انتشار این وصله‌ها، برخی کشورهای اروپایی برای جلوگیری از حملات سایبری، وب‌سایت‌های دولتی خود را موقتاً از دسترس خارج کرده بودند.
به قلم ایمان شریعتی
این خبر را به اشتراک بگذارید
بیش از ۵۴ میلیون میزبان وب در سراسر جهان امروز با یک هشدار امنیتی بی‌سابقه مواجه شدند که زیرساخت اصلی اینترنت را هدف قرار داده است. توسعه‌دهندگان زبان برنامه‌نویسی PHP ساعاتی پیش وصله‌های امنیتی اضطراری را برای برطرف کردن دو آسیب‌پذیری بحرانی منتشر کردند. این نقص‌ها به مهاجمان اجازه می‌دهند کنترل کامل سرورها را در دست بگیرند.
این دو حفره امنیتی که با نام مشترک PHP2Shell شناخته می‌شوند، بالاترین سطح هشدار را در میان کارشناسان امنیت سایبری به صدا درآورده‌اند. شدت خطر به حدی بود که پیش از انتشار رسمی این به‌روزرسانی‌ها، برخی از دولت‌های اروپایی تصمیم گرفتند وب‌سایت‌های رسمی خود را موقتاً خاموش کنند تا از نفوذ هکرها جلوگیری نمایند.[1]
اکنون رقابت نفس‌گیری میان مدیران شبکه‌ها برای نصب این وصله‌ها و مهاجمانی که به دنبال سوءاستفاده از آن‌ها هستند، آغاز شده است. با توجه به اینکه کدهای اثبات مفهوم (PoC) برای این آسیب‌پذیری‌ها در فضای مجازی منتشر شده است، هر ثانیه تأخیر در به‌روزرسانی می‌تواند به قیمت از دست رفتن اطلاعات حساس سازمان‌ها تمام شود.[3]
مکانیزم فنی آسیب‌پذیری‌ها
آسیب‌پذیری‌های کشف‌شده با شناسه‌های رسمی CVE-2026-109618 و CVE-2026-109619 ثبت شده‌اند و هر دو امتیاز شدت ۹.۲ از ۱۰ را در مقیاس CVSS دریافت کرده‌اند. این نقص‌ها مستقیماً در هسته پردازشی و مفسر زبان PHP قرار دارند و به اجرای کد از راه دور (RCE) بدون نیاز به هیچ‌گونه احراز هویتی منجر می‌شوند.[2]
بر اساس گزارش‌های فنی، آسیب‌پذیری اول زمانی رخ می‌دهد که سرور با خطای کمبود حافظه (Out-Of-Memory) مواجه می‌شود. در این حالت، فرآیند پاکسازی درخواست‌ها به درستی انجام نمی‌شود و داده‌های پردازش‌نشده و نامعتبر در حافظه رها می‌شوند. سیستم در درخواست‌های بعدی، این داده‌های مخرب را به عنوان اطلاعات معتبر و ایمن پردازش می‌کند.[3][4]
آسیب‌پذیری دوم به مشکل باقی‌ماندن وضعیت داخلی (Stale State) پس از آزاد شدن حافظه مربوط می‌شود. هنگامی که یک خطای مهلک در سیستم رخ می‌دهد، حافظه اختصاص‌یافته به یک درخواست آزاد می‌شود، اما نشانگرهای سیستم همچنان به آن بخش اشاره می‌کنند. این نقص به هکرها اجازه می‌دهد تا کدهای دلخواه خود را در آن بخش اجرا کنند.[3][4]
تفاوت اصلی PHP2Shell با سایر آسیب‌پذیری‌های رایج در این است که مشکل در کدهای نوشته‌شده توسط برنامه‌نویسان سایت نیست. این نقص در خود محیط اجرای زبان (Runtime) وجود دارد و حتی اگر یک وب‌سایت تنها یک کلمه ساده را نمایش دهد، باز هم در برابر این حملات آسیب‌پذیر خواهد بود.[4]
خطرناک‌ترین جنبه این آسیب‌پذیری‌ها، ماهیت «بدون نیاز به کلیک» (Zero-Click) آن‌ها است. مهاجمان نیازی به فریب دادن کاربران یا عبور از سدهای امنیتی پیچیده ندارند. ارسال یک درخواست دستکاری‌شده به سرور آسیب‌پذیر، تمام چیزی است که برای در دست گرفتن کنترل کامل سیستم و سرقت داده‌های حساس مورد نیاز است.[2][3]
واکنش‌های پیشگیرانه دولت‌ها
واکنش‌ها به این کشف امنیتی در سطح دولت‌ها بسیار سریع و در نوع خود بی‌سابقه بود. نهاد امنیت سایبری اتحادیه اروپا (CERT-EU) با صدور یک هشدار فوری از تمامی سازمان‌ها خواست تا در صورت عدم امکان نصب سریع وصله‌ها، وب‌سایت‌های آسیب‌پذیر خود را به صورت پیشگیرانه از دسترس عموم خارج کنند.
در پی این هشدار، مرکز ملی امنیت سایبری هلند و چندین ارائه‌دهنده خدمات دولتی در این کشور، سامانه‌های خود را موقتاً خاموش کردند. در فنلاند نیز ارائه‌دهنده خدمات فناوری اطلاعات دولتی، برخی خدمات شبکه عمومی دولت را متوقف کرد تا از هرگونه سوءاستفاده احتمالی پیش از نصب به‌روزرسانی‌ها جلوگیری کند.[1]
پروفسور آلن وودوارد، کارشناس امنیت سایبری در دانشگاه ساری بریتانیا، در مصاحبه‌ای اعلام کرد: «گستردگی استفاده از PHP در سراسر جهان، این موضوع را بسیار نگران‌کننده کرده است. سرعت عمل تیم توسعه‌دهنده در انتشار وصله ستودنی بود، اما چالش اصلی اکنون متقاعد کردن میلیون‌ها مدیر سایت برای نصب فوری آن است.»[1]
نقش هوش مصنوعی در کشف و ترمیم
کشف و ترمیم این آسیب‌پذیری‌های پیچیده با همکاری تیمی از پژوهشگران شرکت‌های ویز (Wiz)، اوپن‌ای‌آی (OpenAI) و کالیف (Calif) انجام شد. این تیم تحقیقاتی از ترکیب مدل‌های پیشرفته هوش مصنوعی برای بررسی عمیق کدهای منبع PHP و شناسایی الگوهای پنهان مدیریت حافظه استفاده کردند که به کشف این نقص‌ها منجر شد.[4]
بر اساس گزارش منتشرشده توسط گوگل کلاد، مدل هوش مصنوعی جمینای ۴ آرگون (Gemini 4 Argon) نقش بسیار ارزشمندی در این فرآیند ایفا کرده است. این مدل نه تنها در یافتن آسیب‌پذیری‌ها کمک کرد، بلکه در توسعه کدهای اثبات مفهوم، تشخیص حملات و حتی اعتبارسنجی وصله‌های امنیتی نهایی نیز مشارکت داشت.[4]
گستردگی تهدید در زیرساخت‌های وب
زبان برنامه‌نویسی PHP موتور محرک بیش از ۶۹ درصد از وب‌سایت‌های جهان است که زبان سمت سرور آن‌ها مشخص است. سیستم‌های مدیریت محتوای محبوبی مانند وردپرس، جوملا، دروپال و پلتفرم‌های تجارت الکترونیک مانند مجنتو، همگی بر پایه این زبان کار می‌کنند و به طور بالقوه در معرض خطر قرار دارند.[1][4]
شرکت امنیت سایبری هانت‌رس (Huntress) در گزارش تحلیلی خود اشاره کرده است: «PHP همه‌جا حضور دارد. این زبان به صورت پنهان در پلتفرم‌های میزبانی اشتراکی، پنل‌های مدیریتی و نرم‌افزارهای بی‌شماری اجرا می‌شود که حتی نامی از آن نمی‌برند.» این گستردگی پنهان، سطح حمله را به شکل بی‌سابقه‌ای برای هکرها افزایش داده است.[1]
آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) با انتشار بیانیه‌ای رسمی، از تمامی سازمان‌های دولتی و خصوصی خواسته است تا این به‌روزرسانی‌ها را در بالاترین اولویت کاری خود قرار دهند. این نهاد هشدار داده است که نادیده گرفتن این وصله‌ها می‌تواند به دسترسی مستقیم هکرها به پایگاه‌های داده منجر شود.[2]
اقدامات لازم برای مدیران سرور
تیم توسعه PHP در ساعت ۱۴:۰۰ به وقت هماهنگ جهانی (UTC) روز چهارشنبه، نسخه‌های اصلاح‌شده را رسماً منتشر کرد. این به‌روزرسانی‌ها شامل نسخه‌های ۸.۵.۱۲، ۸.۴.۲۷، ۸.۳.۳۶ و ۸.۲.۳۵ هستند که مشکل مدیریت حافظه را به طور کامل برطرف می‌کنند. مدیران سرور باید در سریع‌ترین زمان ممکن سیستم‌های خود را به این نسخه‌ها ارتقا دهند.[2]
نسخه‌های قدیمی‌تر PHP مانند سری ۷ و نسخه‌های ۸.۰ و ۸.۱ که به پایان چرخه حیات خود رسیده‌اند، این وصله امنیتی را دریافت نخواهند کرد. سازمان‌هایی که همچنان از این نسخه‌های منسوخ استفاده می‌کنند، در معرض بالاترین سطح خطر قرار دارند و باید فوراً زیرساخت نرم‌افزاری خود را به نسخه‌های پشتیبانی‌شده ارتقا دهند.[4]
شرکت‌های بزرگ فناوری نیز به سرعت وارد عمل شده‌اند. دین نکت، مدیر ارشد فناوری کلودفلر، اعلام کرد که این شرکت قوانین فایروال خود را برای مسدود کردن حملات اولیه به‌روزرسانی کرده است. با این حال، او تأکید کرد که این اقدامات تنها راه‌حل‌های موقتی هستند و جایگزین نصب مستقیم وصله روی سرورها نمی‌شوند.[5]
کاربرانی که از هاست‌های اشتراکی استفاده می‌کنند باید بلافاصله با ارائه‌دهندگان خدمات خود تماس بگیرند. شرکت امنیتی وردفنس (Wordfence) هشدار داده است که به‌روزرسانی خودکار افزونه‌ها یا هسته وردپرس در این مورد کمکی نمی‌کند، زیرا مشکل در سطح سرور قرار دارد و تنها میزبان وب می‌تواند آن را برطرف کند.[5]
در نهایت، این رویداد بار دیگر اهمیت حیاتی مدیریت حافظه در زبان‌های برنامه‌نویسی و نیاز به واکنش سریع در مواقع بحرانی را برجسته کرد. در حالی که اینترنت از یک فاجعه امنیتی بزرگ جان سالم به در برده است، اما تلاش‌ها برای پاکسازی سرورهای آسیب‌پذیر تا ماه‌ها ادامه خواهد داشت.[1]
نکات کلیدی
- دو آسیب‌پذیری بحرانی با نام PHP2Shell در هسته زبان برنامه‌نویسی PHP کشف و وصله شدند.
- این نقص‌ها با امتیاز شدت ۹.۲، امکان اجرای کد از راه دور را بدون نیاز به رمز عبور فراهم می‌کنند.
- چندین کشور اروپایی برای جلوگیری از نفوذ هکرها، وب‌سایت‌های دولتی خود را موقتاً خاموش کردند.
- مدیران سرورها باید فوراً سیستم‌های خود را به نسخه‌های ۸.۵.۱۲، ۸.۴.۲۷، ۸.۳.۳۶ یا ۸.۲.۳۵ ارتقا دهند.
آنچه نمی‌دانیم
- هنوز مشخص نیست که آیا هکرهای دولتی پیش از انتشار عمومی این وصله‌ها، از این آسیب‌پذیری‌ها سوءاستفاده کرده‌اند یا خیر.
- آمار دقیقی از تعداد سرورهایی که همچنان از نسخه‌های قدیمی و پشتیبانی‌نشده PHP استفاده می‌کنند و هرگز این وصله را دریافت نخواهند کرد، در دست نیست.
روند رویداد
۲۰ اکتبر ۲۰۲۶
افشای اولیه اطلاعات مربوط به آسیب‌پذیری‌های PHP2Shell در انجمن‌های امنیتی و تأیید آن توسط کارشناسان.
۲۱ اکتبر ۲۰۲۶ (صبح)
خاموشی پیشگیرانه وب‌سایت‌های دولتی در هلند و فنلاند در پی هشدارهای نهادهای امنیت سایبری اروپا.
۲۱ اکتبر ۲۰۲۶ (ساعت ۱۴:۰۰)
انتشار رسمی وصله‌های امنیتی اضطراری توسط تیم توسعه PHP برای نسخه‌های پشتیبانی‌شده.
- پژوهشگران امنیت سایبری
- تأکید بر شدت فنی آسیب‌پذیری و لزوم استفاده از هوش مصنوعی در کشف و ترمیم سریع نقص‌های هسته زبان‌ها.
- مدیران زیرساخت‌های دولتی
- اولویت دادن به پایداری ملی و خاموش کردن پیشگیرانه سامانه‌ها برای جلوگیری از نفوذ هکرها پیش از نصب وصله‌ها.
- توسعه‌دهندگان وب
- تمرکز بر چالش‌های عملیاتی نصب وصله‌ها روی میلیون‌ها سرور اشتراکی و آگاه‌سازی کاربران نهایی.
دیدگاه‌هایی که این گزارش پوشش نداده
- مدیران کسب‌وکارهای کوچک که از هاست‌های اشتراکی ارزان‌قیمت استفاده می‌کنند و دسترسی به تنظیمات سرور ندارند.
منابع
پوشش منابع
5 منبع
3 دیدگاه شناسایی‌شده
- [1]The Guardianمدیران زیرساخت‌های دولتی
Websites around the globe have gone dark after a serious vulnerability
مطالعه در The Guardian → - [2]CISAمدیران زیرساخت‌های دولتی
CISA strongly urges organizations to immediately patch the recently disclosed critical vulnerabilities in PHP
مطالعه در CISA → - [3]Palo Alto Networksپژوهشگران امنیت سایبری
Impact of Critical Vulnerabilities in PHP (CVE-2026-109618, CVE-2026-109619)
مطالعه در Palo Alto Networks → - [4]Google Cloudپژوهشگران امنیت سایبری
PHP and Wiz Research disclosed today two critical vulnerabilities
مطالعه در Google Cloud → - [5]KSLتوسعه‌دهندگان وب
Government websites in Europe and elsewhere went offline on Wednesday after the disclosure of critical vulnerabilities
مطالعه در KSL →
بیشتر در فناوری
مشاهده همه →لرزش‌گیر اپتیکال
صدای تق‌تق دوربین گوشی هنگام تکان دادن از کجاست؟ راز موتورهای سیم‌پیچ صوتی خاموش
7 منبع
آپدیت HyperOS
شیائومی تاریخ آغاز انتشار نسخه پایدار HyperOS 4 را اعلام کرد
6 منبع
شیمی باتری
راز خاموشی ناگهانی گوشی در سرما؛ وقتی افت ولتاژ باتری را از کار می‌اندازد
5 منبع
فناوری نمایشگر
چرا نمایشگرهای اولد برای حفظ دقت رنگ در روشنایی کم چشمک می‌زنند؟
5 منبع
نظرات
هر زاویه. هر روز.
اخبار فناوری با پوشش کامل منابع و تحلیل دیدگاه‌ها، هر روز و رایگان.