آمازون می گوید بهره برداری از PHP2Shell 4 روز قبل از وصله ها شروع شد

محققان امنیتی در آمازون Threat Intelligence می گویند مهاجمان چهار روز قبل از انتشار وصله های امنیتی در روز چهارشنبه شروع به هدف قرار دادن نقص های PHP2Shell کردند.

این دو آسیب‌پذیری حیاتی که به‌عنوان CVE-2026-109618 و CVE-2026-109619 ردیابی می‌شوند، به مهاجمان اجازه می‌دهند تا اجرای کد از راه دور (RCE) را در سیستم‌های آسیب‌پذیر دریافت کنند. تیم امنیتی پی اچ پی پس از اینکه یک روز قبل از ادمین ها خواستند آماده شوند تا به محض در دسترس قرار گرفتن به روز رسانی ها، آنها را در 21 اکتبر وصله کردند.

جینا پیتر بانیارد، توسعه‌دهنده هسته پی‌اچ‌پی، قبل از افشای هشدار داده بود که استفاده از وصله‌های امنیتی رسمی تنها دفاع دائمی است، در حالی که مرکز امنیت سایبری ملی بریتانیا (NCSC) از سازمان‌های بریتانیا درخواست کرد که سریعا سرورهای PHP را به‌روزرسانی کنند یا آنها را آفلاین کنند تا زمانی که وصله شوند.

تیم پی‌اچ‌پی می‌گوید که همه چیز طبق برنامه پیش می‌رفت تا دو روز قبل از افشای هماهنگ، زمانی که مجبور شد تاریخ انتشار هدفمند را از 20 اکتبر تسریع بخشد، پس از اینکه برخی جزئیات در مورد نقص‌های امنیتی PHP2Shell (از جمله دو شناسه CVE و توصیه‌های کاهش ارائه شده به برخی از ارائه‌دهندگان زیرساخت‌های حیاتی) به‌صورت آنلاین به بیرون درز کردند.

در حالی که برخی از شواهد مفاهیم نیز قبل از انتشار وصله ها منتشر شد، تیم امنیتی PHP گفت که هیچ کدام کاربردی نبود.

گزارش آمازون Threat Intelligence پس از آن منتشر شد که چندین شرکت امنیت سایبری (از جمله Cloudflare، WatchTowr، Previdian، Hadrian و Patchstack) تلاش‌های سوء استفاده ناموفق را قبل از افشای عمومی شناسایی کردند.

طبق گفته آمازون، اولین تلاش‌های بهره‌برداری در روز شنبه، 17 اکتبر (چهار روز قبل از انتشار وصله‌های PHP2Shell) آغاز شد و مهاجمان چند ساعت پس از افشای آدرس‌های IP VPN، چندین اکسپلویت اثبات مفهوم PHP2Shell را به کار گرفتند.

مدیر دفتر امنیت اطلاعات AWS AWS گفت: "تلاش برای سوء استفاده از یک آدرس IP مرتبط با یک شبکه ناشناس تجاری سرچشمه می گیرد. در حالی که آسیب پذیری تحت تحریم بود، هدف قرار دادن یک هانی پات از یک آدرس IP ناشناس نشان می دهد که این فعالیت توسط یک عامل تهدید انجام شده است، اگرچه هنوز مشخص نیست که این بازیگر چگونه اطلاعات اکسپلویت را قبل از افشاء به دست آورده است."

"بارهای واقعی و انتخاب‌ها در زیرساخت‌های ناشناس‌سازی متفاوت بود، که نشان می‌دهد اینها بازیگران متعددی هستند. تجزیه و تحلیل فنی در حال انجام است، و مشخص نیست که آیا هر یک از این تلاش‌ها در سیستم‌های دنیای واقعی موفق بوده است یا خیر."

موزس همچنین گفت که آسیب‌پذیری‌های PHP2Shell "اکنون به طور گسترده در طبیعت مورد سوء استفاده قرار می‌گیرند" و هشدار داد که "مدافعان نباید تاریخ افشای عمومی را اولین تاریخ بهره‌برداری فرض کنند."

پی اچ پی (پیش پردازشگر فرامتن) یک زبان توسعه وب منبع باز است که تا 80 درصد از تمام وب سایت ها را در اینترنت، از جمله وب سایت هایی که از سیستم های مدیریت محتوای محبوب (CMS) مانند وردپرس، دروپال و جوملا استفاده می کنند، قدرت می دهد.

VirusTotal اکنون بیش از 5.1 میلیون میزبان PHP را که به صورت آنلاین در معرض دید قرار گرفته اند، ردیابی می کند، که تقریبا 3.8 میلیون با حداقل یک پورت برای حملات باز است.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

PHP وصله های اضطراری را برای نقص های مهم PHP2Shell ارسال می کند

PHP به ادمین ها در مورد دو نقص مهم هشدار می دهد، وصله های اضطراری فردا منتشر می شوند

هکرها سرورهای برنامه نویس Vite افشا شده را برای سرقت اسرار AWS، Azure هدف قرار می دهند

CISA: هکرها نقایص Plex را در حملات Plex2Shell برای نفوذ به سرورها زنجیره‌ای می‌کنند

هکرها از نقص SiteGuard WAF برای اجرای دستورات به عنوان ادمین سوء استفاده می کنند