نقص های امنیتی PHP2Shell اکنون با موفقیت در طبیعت مورد سوء استفاده قرار گرفته است

دو آسیب‌پذیری حیاتی RCE (CVE-2026-109618 و CVE-2026-109619)، که در مجموع به عنوان PHP2Shell ردیابی می‌شوند، با موفقیت در طبیعت مورد سوء استفاده قرار گرفته‌اند.

این فعالیت مخرب توسط عادل کریمی، مسئول تشخیص و پاسخ در Perplexity، شناسایی شد که هانی‌پات‌های او شواهدی از اجرای کد از راه دور تایید شده در برابر نصب Apache mod_php با PHP 8.4.26 را ثبت کردند.

او افزود: «شواهد این زنجیره را در نمایه mod_php تک‌کارگر عمدا مطلوب نشان می‌دهد؛ این اندازه‌گیری قابلیت اطمینان بهره‌برداری در سایر تعداد کارگران، ساخت‌های PHP یا برنامه‌های کاربردی نیست.»

یافته‌های کریمی توسط مارکوس هاچینز، محقق تهدید اخراج، که جریانی از گزارش‌های موفقیت‌آمیز بهره‌برداری PHP2Shell را دنبال می‌کند، نیز تأیید شد.

هاچینز گفت: "این تا به حال بالاترین کیفیت تاییدیه بهره برداری php2shell in the wild است که من تاکنون دیده ام. تجزیه فنی عمیق یک تلاش موفقیت آمیز بهره برداری در برابر نصب Apache mod_php با PHP 8.4.26."

در حالی که آژانس امنیت سایبری و امنیت زیرساخت (CISA) یک قانون شناسایی SIGMA برای تلاش‌های بهره‌برداری از PHP2Shell RCE در روز جمعه به اشتراک گذاشت، آژانس امنیت سایبری ایالات متحده هنوز این نقص‌ها را به‌عنوان مورد سوء استفاده در طبیعت علامت‌گذاری نکرده است.

تیم امنیتی PHP نقص‌های PHP2Shell را در روز چهارشنبه، ۲۱ اکتبر، یک روز پس از درخواست از مدیران برای نصب به‌روزرسانی‌های امنیتی به محض در دسترس قرار گرفتن، وصله کردند.

در حالی که جزئیات مربوط به نقص‌های امنیتی PHP2Shell (از جمله شناسه‌های CVE و توصیه‌های کاهش ارائه شده به برخی از ارائه‌دهندگان زیرساخت‌های حیاتی) به‌صورت آنلاین به بیرون درز کرد و برخی از سوءاستفاده‌های اثبات مفهوم (PoC) قبل از انتشار وصله‌ها منتشر شد، تیم امنیتی PHP گفت که هیچ‌کدام کاربردی نبود.

علاوه بر این، چندین شرکت امنیت سایبری (از جمله Cloudflare، Hadrian، watchTowr، Previdian، و Patchstack) تلاش‌های بهره‌برداری را قبل از افشای عمومی شناسایی کردند، اما همه آنها را ناموفق اعلام کردند.

محققان امنیتی در Amazon Threat Intelligence همچنین چهار روز قبل از انتشار وصله‌های امنیتی، مهاجمانی را شناسایی کردند که آسیب‌پذیری‌های PHP2Shell را هدف قرار می‌دادند. با این حال، طبق گفته تیم تحقیقات تهدیدات و مهندسی سایبری Dataminr (TRACE)، تا زمان یافته‌های کریمی، فعالیت مخرب "محدود به اسکن، انگشت نگاری، و استفاده از سوء استفاده‌های غیر کاری، بدون هیچ گونه سازش شناخته شده‌ای بود."

روز جمعه، تیم امنیتی PHP همچنین اقدامات کاهشی را برای آسیب‌پذیری RCE جدید (که با نام CVE-2026-115560 دنبال می‌شود) به اشتراک گذاشت که هیچ وصله‌ای ندارد و فقط می‌تواند هنگام هدف قرار دادن سیستم‌ها «با ترکیبی غیرعادی از پیکربندی و کد برنامه» مورد سوء استفاده قرار گیرد.

تا زمانی که یک وصله امنیتی منتشر شود، توسعه دهندگان PHP به مدیران توصیه کردند که session.upload_progress.enabled=0 را برای جلوگیری از حملات احتمالی تنظیم کنند، کاهشی که قبلا قبل از انتشار وصله‌ها برای به‌روزرسانی‌های امنیتی PHP2Shell توصیه شده بود.

PHP (پیش پردازشگر فرامتن) یک زبان توسعه وب است که توسط تقریبا 70 درصد از وب سایت های موجود در اینترنت استفاده می شود، با بیش از 5.1 میلیون میزبان PHP به صورت آنلاین و تقریبا 3.8 میلیون با حداقل یک پورت باز برای حملات، طبق تخمین های اخیر VirusTotal.

نمرات کلی پیشگیری می تواند آنچه را که پس از دسترسی اولیه اتفاق می افتد پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

آمازون می گوید بهره برداری از PHP2Shell 4 روز قبل از وصله ها شروع شد

PHP وصله های اضطراری را برای نقص های مهم PHP2Shell ارسال می کند

PHP به ادمین ها در مورد دو نقص مهم هشدار می دهد، وصله های اضطراری فردا منتشر می شوند

هکرها از نقص Collabora RCE برای درب پشتی سرورهای Nextcloud سوء استفاده می کنند

PHP کاهش آسیب پذیری RCE جدید را بدون وصله به اشتراک می گذارد