حفره بحرانی PHP2Shell در PHP؛ هوش مصنوعی پیدایش کرد، الان چه باید کرد؟

دو آسیب‌پذیری بحرانی در هسته PHP که حدود ده سال پنهان مانده بودند، این هفته افشا و وصله شدند. نام این حمله PHP2Shell است و به مهاجم اجازه می‌دهد بدون رمز و بدون حساب کاربری، از راه دور روی سرور دستور اجرا کند. نکته تازه ماجرا این است که هر دو نقص با کمک هوش مصنوعی پیدا شده‌اند.

چه اتفاقی افتاد؟

تیم PHP روز ۲۹ مهر ۱۴۰۵ (۲۱ اکتبر ۲۰۲۶) دو آسیب‌پذیری با شناسه‌های CVE-2026-109618 و CVE-2026-109619 را اعلام کرد. امتیاز شدت هر دو در استاندارد CVSS نسخه ۴ برابر 9.2 از 10 است، یعنی «بحرانی».

مشکل در خود PHP است، نه در وردپرس، جوملا یا افزونه‌ها. به گفته شرکت امنیتی Wiz، حتی یک صفحه ساده PHP روی نسخه آسیب‌پذیر هم در خطر است و همه نسخه‌های ده سال اخیر، از PHP 5.4 به بعد، دست‌کم یکی از این دو نقص را دارند.

این بار هوش مصنوعی حفره را پیدا کرد

• شرکت امنیتی Calif با مدل GPT-5.6 Sol شرکت OpenAI نقص اول را پیدا کرد و ۲۰ مرداد به تیم PHP گزارش داد.
• شرکت امنیتی Wiz به‌طور مستقل و باز هم با کمک هوش مصنوعی، نقص دوم را ردیابی و ۲ شهریور گزارش کرد.

به گفته Wiz، رسیدن به این حمله زنجیره طولانی از مراحل فنی بود که برای انسان دشوار است. OpenAI هم این رخداد را نمونه‌ای از توان هوش مصنوعی در بررسی کدهای بزرگ و هم هشداری درباره ساخت ابزار حمله با هوش مصنوعی دانسته است.

چه کسانی در خطرند؟

بر پایه آمار W3Techs، حدود ۷۰ درصد سایت‌هایی که زبان برنامه‌نویسی‌شان شناخته‌شده است از PHP استفاده می‌کنند و وردپرس به‌تنهایی حدود ۴۰ درصد کل وب را می‌سازد. طبق اطلاعیه رسمی PHP، همه روش‌های اجرای PHP برای وب در خطرند: PHP-FPM، آپاچی با mod_php، php-cgi، لایت اسپید و FrankenPHP.

بیشترین خطر متوجه سایت‌های کوچک و کسب‌وکارهایی است که روی هاست اشتراکی هستند و تیم امنیتی ندارند. GoDaddy هشدار داده که پیامد حمله می‌تواند سرقت پایگاه داده، تخریب صفحه‌ها یا تسلط کامل بر سرور باشد.

چند سازمان بزرگ سایت‌هایشان را خاموش کردند

طبق گزارش‌ها، BBC، شورای شهر ادینبرو و چند هیئت سلامت اسکاتلند، بنیاد ویکی‌مدیا (بخشی از سامانه‌ها)، دولت فنلاند، آژانس امنیت سایبری هلند و دانشگاه ژنو سرویس‌هایشان را موقتا قطع کردند. تیم واکنش رخدادهای رایانه‌ای اتحادیه اروپا (CERT-EU) توصیه کرده سرویس‌هایی که نمی‌توانند فورا وصله شوند تا رفع خطر از دسترس خارج شوند. آژانس امنیت ملی آمریکا (NSA) هم به نهادهای دولتی هشدار داده است.

الان چه باید کرد؟

1. PHP را به‌روز کنید. نسخه‌های امن: 8.5.12، 8.4.27، 8.3.36 و 8.2.35 یا بالاتر.
2. PHP 8.1 و قدیمی‌تر دیگر از تیم PHP به‌روزرسانی نمی‌گیرند؛ وصله را توزیع لینوکس شما (مثلا اوبونتو و دبیان) منتشر کرده است. بسته‌های PHP را از مخزن امنیتی توزیع به‌روز کنید و PHP-FPM را ری‌استارت کنید.
3. به‌روزرسانی خودکار وردپرس کافی نیست. به گفته توسعه‌دهندگان Wordfence، خود PHP روی سرور باید عوض شود.
4. هاست اشتراکی دارید؟ از پشتیبانی شرکت میزبانی بپرسید PHP سرورتان وصله شده یا نه.
5. سرور را بررسی کنید. ممکن است پیش از وصله نفوذی رخ داده باشد. به گفته Wiz، نشانه‌ها عبارت‌اند از: درخواست‌های multipart غیرعادی که پشت سرشان خطای کمبود حافظه یا خطاهای مکرر ۵۰۰ می‌آید، کوکی‌های PHPSESSID بزرگ یا ناقص، و راه‌اندازی دوباره بی‌دلیل پردازه‌های PHP.
6. مراقب فیشینگ باشید. پیام‌های «رمزتان را عوض کنید» که با استفاده از این خبر فرستاده می‌شوند ممکن است جعلی باشند.

تیم PHP تاکید کرده هیچ راه کامل دیگری جز به‌روزرسانی وجود ندارد. تنظیماتی مثل خاموش‌کردن session.upload_progress.enabled فقط بخشی از مسیرهای حمله را می‌بندند.

پیش از خرید هاست، امنیت را هم بسنجید

اگر برای سایتتان دنبال هاست یا سروری هستید که پشتیبانی امنیتی جدی دارد، می‌توانید قیمت، مشخصات و نظر کاربران همه شرکت‌ها را در کلادهامون کنار هم مقایسه کنید.

منابع: Wiz Research و php.net