فهرست مطالب
دو آسیب‌پذیری بحرانی PHP2Shell با شناسه‌های CVE-2026-109618 و CVE-2026-109619 برای نخستین بار در حملات واقعی با موفقیت مورد سوءاستفاده قرار گرفته‌اند.
به گزارش سرویس امنیت سایبری تکناک، عادل کریمی، مسئول شناسایی و پاسخ‌گویی به تهدیدها در Perplexity، این فعالیت مخرب را شناسایی کرد. هانی‌پات‌های او شواهدی از اجرای تاییدشده کد از راه دور علیه یک نمونه Apache mod_php با PHP 8.4.26 ثبت کردند.
حتما بخوانید: تیم امنیتی PHP راهکار مقابله با آسیب‌پذیری جدید و بدون وصله را منتشر کرد
سوءاستفاده هکرها از آسیب‌پذیری PHP2Shell
کریمی تاکید کرد که شواهد موجود، اجرای موفق کد از راه دور همراه با افشای قابل‌استفاده اطلاعات حافظه را تایید می‌کنند؛ بنابراین، موضوع به ازکارافتادن برنامه و اجرای یک فرایند مشکوک پس از آن محدود نیست. به گفته او، پاسخ سامانه حاوی نسخه رمزگشایی‌شده‌ای از داده‌های کوکی به حجم ۸۰۰ کیبی‌بایت بود. همچنین نشانی یک تابع که با استفاده از آفست‌های اکسپلویت عمومی از این داده‌ها استخراج شده بود، در محموله اجرایی بعدی مشاهده شد.
او تصریح کرد که شواهد، زنجیره بهره‌برداری را در پیکربندی خاصی از mod_php با یک فرایند کاری نشان می‌دهند؛ پیکربندی که شرایط مساعدی برای حمله فراهم می‌کند. از این‌رو، این یافته‌ها را نمی‌توان معیاری برای سنجش قابلیت اطمینان اکسپلویت در پیکربندی‌هایی با تعداد متفاوت فرایندهای کاری، نسخه‌های دیگر PHP یا برنامه‌های کاربردی متفاوت دانست.
بیشتر بخوانید: زوج چینی با اینترنت هتل، هزاران نفر را هدف کلاهبرداری سایبری قرار دادند
مارکوس هاچینز، پژوهشگر تهدید در Expel نیز یافته‌های کریمی را تایید کرد. هاچینز پیش‌تر گزارش‌های متعددی را درباره ادعای بهره‌برداری موفق از آسیب‌پذیری PHP2Shell بررسی می‌کرد. او در این باره گفت: «این معتبرترین تاییدی است که تاکنون از بهره‌برداری واقعی از PHP2Shell دیده‌ام. این تحلیل فنی عمیق، تلاش موفقی را برای بهره‌برداری از یک نصب Apache mod_php با PHP 8.4.26 بررسی می‌کند.»
آژانس امنیت سایبری و امنیت زیرساخت آمریکا (CISA) روز جمعه یک قانون تشخیص مبتنی بر SIGMA برای شناسایی تلاش‌های بهره‌برداری از آسیب‌پذیری RCE در PHP2Shell منتشر کرد. هرچند، این نهاد هنوز آسیب‌پذیری‌های مذکور را به عنوان مواردی که بهره‌برداری از آنها در حملات واقعی تایید شده است، علامت‌گذاری نکرده است.
راه‌حل چیست؟
تیم امنیت PHP روز چهارشنبه، ۲۱ اکتبر، پچ‌های امنیتی مربوط به آسیب‌پذیری PHP2Shell را منتشر کرد. این اقدام یک روز پس از آن صورت گرفت که از مدیران سامانه‌ها خواسته شده بود برای نصب به‌روزرسانی‌ها بلافاصله پس از انتشار آماده باشند. پیش از انتشار پچ‌ها، جزئیاتی از آسیب‌پذیری‌های PHP2Shell، از جمله شناسه‌های CVE و توصیه‌های کاهش خطر ارائه‌شده به برخی اپراتورهای زیرساخت‌های حیاتی، به اینترنت درز کرده بود. علاوه بر این، چند اکسپلویت اثبات مفهوم (PoC) نیز پیش از انتشار رسمی پچ‌ها منتشر شدند.
با وجود این، تیم امنیت PHP اعلام کرد که هیچ‌یک از این نمونه‌ها عملکردی نبوده‌اند. چندین شرکت امنیت سایبری، از جمله Cloudflare، Hadrian، watchTowr، Previdian و Patchstack نیز پیش از افشای عمومی آسیب‌پذیری‌ها تلاش‌هایی برای بهره‌برداری از آنها شناسایی کرده بودند، اما تمامی این تلاش‌ها ناموفق ارزیابی شدند.
پژوهشگران Amazon Threat Intelligence نیز چهار روز پیش از انتشار پچ‌ها، حملاتی را شناسایی کردند که آسیب‌پذیری PHP2Shell را هدف قرار داده بودند. با وجود این، طبق اعلام تیم تحقیقات تهدید و مهندسی سایبری TRACE متعلق به Dataminr، فعالیت‌های مخرب تا پیش از یافته‌های کریمی به اسکن، اثرانگشت‌برداری از سامانه‌ها و استفاده از اکسپلویت‌های غیرعملیاتی محدود می‌شد و هیچ مورد نفوذ موفقی شناخته نشده بود.
تیم امنیت PHP روز جمعه از یک آسیب‌پذیری جدید اجرای کد از راه دور با شناسه CVE-2026-115560 نیز خبر داد و راهکارهایی برای کاهش خطر آن ارائه کرد. این آسیب‌پذیری هنوز پچ نشده است و تنها در شرایطی قابل بهره‌برداری است که سامانه هدف از ترکیب غیرمعمولی از تنظیمات و کد برنامه استفاده کند.
برای مطالعه بیشتر: آسیب‌پذیری PHP وب‌سایت‌های دولتی اروپا و کانادا را از دسترس خارج کرد
توسعه‌دهندگان PHP توصیه کرده‌اند مدیران سامانه‌ها تا زمان انتشار پچ، با تنظیم گزینه session.upload_progress.enabled=0 از حملات احتمالی جلوگیری کنند. این راهکار پیش از انتشار پچ‌های امنیتی آسیب‌پذیری PHP2Shell نیز توصیه شده بود. PHP یا Hypertext Preprocessor زبان برنامه‌نویسی پرکاربردی در توسعه وب است که بر اساس برآوردهای اخیر VirusTotal، حدود ۷۰ درصد وب‌سایت‌های اینترنت از آن استفاده می‌کنند. بیش از ۵.۱ میلیون میزبان PHP به صورت آنلاین در معرض دسترسی قرار دارند و حدود ۳.۸ میلیون میزبان نیز دست‌کم یک درگاه باز دارند که می‌تواند سطح حمله در برابر تهدیدهای سایبری را افزایش دهد.
