نقص های مهم PHP میلیون ها وب سایت را در تست امنیت جدید هوش مصنوعی تهدید می کند

دو نقص امنیتی تازه فاش شده می تواند وب سایت هایی را که مردم هر روز از آنها استفاده می کنند در معرض خطر قرار دهد و به طور بالقوه به هکرها اجازه می دهد تا کنترل سرورهای آسیب پذیر را در دست بگیرند یا به اطلاعات حساس ذخیره شده در حافظه آنها دسترسی پیدا کنند.

مشکل در PHP نهفته است، فناوری پشت صحنه که در بخش عظیمی از اینترنت استفاده می شود. این بدان معناست که افراد به طور بالقوه می توانند تحت تأثیر قرار گیرند بدون اینکه هرگز بدانند PHP چیست یا اینکه وب سایت یا سرویس آنلاینی که استفاده می کنند به آن بستگی دارد.

Wiz Research تخمین می زند که PHP تقریبا 70 درصد از وب سایت ها در سراسر جهان را تامین می کند، اگرچه این بدان معنا نیست که 70 درصد وب سایت ها در برابر این حملات خاص آسیب پذیر هستند.

بخش امنیت سایبری آژانس امنیت ملی ایالات متحده در پستی در روز چهارشنبه در روز چهارشنبه اعلام کرد: «به سرعت مؤثر، به همه سازمان‌هایی که از PHP برای سیستم‌های خود استفاده می‌کنند، توصیه می‌شود که برای به‌روزرسانی برای رسیدگی به دو آسیب‌پذیری حیاتی آماده باشند».

"PHP به طور گسترده برای برنامه های کاربردی وب استفاده می شود. این آسیب پذیری ها اغلب یک مسیر مستقیم به سیستم فایل یا پایگاه داده سرور ارائه می دهند. اگر به روز رسانی فوری امکان پذیر نیست، توصیه می شود که سازمان ها سیستم را آفلاین کنند تا زمانی که به طور کامل کاهش یابد."

این آسیب‌پذیری‌ها، CVE-2026-109618 و CVE-2026-109619، «PHP2Shell» نام‌گذاری شده‌اند و هر دو دارای رتبه‌بندی بحرانی CVSS v4.0 9.2 هستند. Google Cloud گفت که نسخه‌های PHP 5.4 تا 8.5.11 تحت تأثیر قرار گرفته‌اند، با اصلاحات موجود در PHP 8.5.12، 8.4.27، 8.3.36 و 8.2.35.

این کشف همچنین توجه ها را به خود جلب می کند زیرا هوش مصنوعی نقش مهمی در این تحقیق ایفا کرده است.

Google Cloud گفت ویز ریسرچ از چندین مدل هوش مصنوعی در حین شناسایی و کمک به اصلاح آسیب‌پذیری‌ها استفاده می‌کند و Gemini 4 Argon در کشف آسیب‌پذیری، توسعه اکسپلویت، تشخیص حمله و اعتبارسنجی وصله کمک می‌کند.

PHP تا حد زیادی دور از دید کاربران عادی اینترنت عمل می کند، اما در زیر وب سایت ها و برنامه های کاربردی وب در سراسر اینترنت قرار دارد.

دسترسی بالقوه در سراسر پلتفرم های اصلی وب گسترش می یابد. Sansec گزارش داد که محققان اجرای کد از راه دور غیرقانونی را در برابر برنامه‌هایی از جمله WordPress، Drupal، Joomla، Magento، MediaWiki، Roundcube، phpMyAdmin، Nextcloud، Laravel، Symfony و WHMCS نشان دادند.

نیوزویک برای اظهار نظر چهارشنبه با برخی از پلتفرم های آسیب دیده از طریق ایمیل تماس گرفت.

از اینکه با بنیاد ویکی‌مدیا تماس گرفتید، سازمان غیرانتفاعی که ویکی‌پدیا و سایر پروژه‌های ویکی‌مدیا را اداره می‌کند، سپاسگزاریم. لطفا پاسخ ما را در زیر بیابید، این را می توان به سخنگوی بنیاد ویکی مدیا نسبت داد.

یکی از سخنگویان ویکی‌مدیا در روز چهارشنبه در بیانیه‌ای ایمیلی به نیوزویک گفت: «بنیاد ویکی‌مدیا در حال حاضر در حال رسیدگی به آسیب‌پذیری‌های امنیتی در PHP، زبان برنامه‌نویسی است که زیربنای اکثر ویکی‌ها، از جمله پروژه‌های ویکی‌مدیا است. این مشکل بر تمام نسخه‌های شناخته‌شده PHP تأثیر می‌گذارد و مختص بنیاد ویکی‌مدیا نیست».

همه سیستم‌های پشتیبانی شده توسط بنیاد و سیستم‌های داوطلبانه که از PHP استفاده می‌کنند تحت تأثیر قرار می‌گیرند. ما تعدادی از سیستم‌های دیگر را به عنوان یک اقدام پیشگیرانه حذف کرده‌ایم تا زمانی که به طور ایمن وصله شوند.»

دروپال در بیانیه‌ای که در وب‌سایت خود منتشر کرد، گفت: «صاحبان سایت مسئول حفظ امنیت پلتفرم میزبانی خود هستند. به‌روزرسانی به نسخه PHP حاوی وصله این آسیب‌پذیری‌ها تنها راه کاهش کامل است».

از آنجایی که آسیب‌پذیری‌ها در خود PHP هستند نه صرفا در کد برنامه یک وب‌سایت، رفع نرم‌افزار خود سایت آسیب‌دیده لزوما مشکل اساسی را برطرف نمی‌کند. Sansec گفت که راه حل به روز رسانی PHP است.

برای کاربران عادی اینترنت، PHP2Shell در درجه اول یک تهدید برای وب‌سایت‌ها و سرورهایی است که به آن‌ها تکیه می‌کنند، نه آسیب‌پذیری که می‌توانند مستقیما روی تلفن یا رایانه خود وصله کنند.

ویز ریسرچ گفت که این نقص‌ها می‌تواند به یک مهاجم تایید نشده اجازه دهد تا کد را اجرا کند یا حافظه پردازش حساس حاوی اطلاعاتی مانند رمز عبور، نشانه‌های احراز هویت، کلیدهای API و گواهی‌ها را بخواند.

برخی از شناخته شده ترین پلتفرم های وب سایت اینترنتی به PHP وابسته هستند.

وردپرس مانند دروپال و جوملا بر روی PHP اجرا می شود. اکوسیستم PHP همچنین به تجارت الکترونیک و سایر برنامه های کاربردی وب، از جمله Magento و WooCommerce گسترش می یابد.

ویکی پدیا نمونه بارز دیگری است. بنیاد ویکی‌مدیا می‌گوید ویکی‌پدیا توسط مدیاویکی پشتیبانی می‌شود، در حالی که اسناد فناوری آن مدیاویکی را به‌عنوان نرم‌افزار ویکی منبع باز که به زبان PHP نوشته شده است، توصیف می‌کند.

با این حال، مصرف کنندگان نباید این لیست را به این معنا تفسیر کنند که آن وب سایت ها در حال حاضر آسیب پذیر هستند.

به عنوان مثال، Automattic روز چهارشنبه گفت که سایت‌های میزبانی شده در WordPress.com، WordPress VIP، WP Cloud و Pressable قبلا در برابر PHP2Shell محافظت شده‌اند و مشتریان این سرویس‌ها نیازی به اقدام ندارند.

تمایز مهم بین استفاده از PHP و اجرای یک نصب PHP آسیب پذیر است. قرار گرفتن در معرض یک سایت به محیط سرور اصلی آن و نصب به‌روزرسانی‌های امنیتی قابل اجرا بستگی دارد.

برخی از سازمان‌ها وب‌سایت‌ها و سرویس‌های آنلاین را موقتا آفلاین کرده‌اند تا اینکه سیستم‌های بالقوه آسیب‌پذیر را هنگام نصب اصلاحات در معرض دید قرار دهند.

Malwarebytes روز چهارشنبه گزارش داد که کاربران می توانند با وب سایت هایی روبرو شوند که در حالت تعمیر و نگهداری قرار گرفته اند، زیرا مدیران به PHP2Shell پاسخ می دهند. مقامات امنیت سایبری به سازمان‌هایی توصیه کرده‌اند که نمی‌توانند به سرعت یک سیستم تحت تأثیر اینترنت را ایمن کنند تا آن را از شبکه‌های عمومی جدا کنند.

گزارش ها نشان می دهد که این واکنش به ویژه در اروپا قابل مشاهده بوده است. Insider Paper به نقل از رویترز گزارش داد که وب سایت های دولتی در هلند و فنلاند آفلاین شده اند، در حالی که وب سایت های اداری محلی در فرانسه به طور موقت قطع شده و خدمات در دانمارک از جمله پلت فرم ارتباطی مدارس ملی نیز تحت تأثیر قرار گرفته است.

Malwarebytes به طور مشابه گفت که افراد ممکن است در حالی که مدیران به‌روزرسانی‌های امنیتی را نصب می‌کنند و سیستم‌هایشان را بررسی می‌کنند، به صورت آفلاین با وب‌سایت‌ها مواجه شوند.

این آسیب‌پذیری‌ها به طور بالقوه برای هر سازمانی که یک محیط وب تحت تأثیر PHP را اداره می‌کند مهم است، اما در حال حاضر هیچ مدرکی وجود ندارد که نشان دهد وب‌سایت‌های دولت فدرال ایالات متحده به دلیل PHP2Shell به خطر افتاده یا آفلاین شده‌اند.

مقامات امنیت سایبری در خارج از ایالات متحده قبلا با این نقص ها برخورد جدی کرده اند. NCSC-NL هلند به سازمان‌ها توصیه کرد که برنامه‌های مبتنی بر PHP و نسخه‌های زمان اجرا آن‌ها را شناسایی کنند، سیستم‌های روبه‌روی اینترنت را در اولویت قرار دهند و زمانی که تعمیر فوری امکان‌پذیر نیست، برنامه‌های PHP رو به اینترنت را از شبکه‌های عمومی جدا کنند.

اوبونتو همچنین اصلاحاتی را برای بسته‌های PHP آسیب‌دیده در نسخه‌های پشتیبانی‌شده خود منتشر کرد، از جمله نسخه‌های قدیمی‌تر که از طریق نگهداری امنیتی گسترده پوشش داده می‌شوند، که نشان می‌دهد سازمان‌ها ممکن است اصلاحات را از طریق ارائه‌دهنده سیستم عامل خود دریافت کنند نه مستقیما از پروژه PHP.

برای اکثر مردم، هیچ وصله PHP2Shell وجود ندارد که باید روی تلفن یا رایانه شخصی خود نصب کنند. این آسیب‌پذیری‌ها بر PHP در حال اجرا بر روی سرورها تأثیر می‌گذارد، بنابراین مسئولیت فوری رفع آن‌ها بر عهده اپراتورهای وب‌سایت، ارائه‌دهندگان میزبانی و سازمان‌هایی است که نصب‌های PHP تحت تأثیر را اجرا می‌کنند.

اگر یک سرویس آنلاین با پیروی از روش‌های امنیتی استاندارد، از جمله استفاده از رمزهای عبور منحصر به فرد برای حساب‌های مختلف، روشن کردن احراز هویت چندعاملی در صورت وجود و با احتیاط با احتیاط رفتار کردن با پیام‌های ورود غیرمنتظره یا بازنشانی رمز عبور، کاربران همچنان می‌توانند قرار گرفتن در معرض گسترده‌تر خود را کاهش دهند.

پی اچ پی یک زبان برنامه نویسی است که بر روی سرورهای وب اجرا می شود و تا حد زیادی برای افرادی که از وب سایت های وابسته به آن بازدید می کنند نامرئی است.

PHP به جای اینکه روی تلفن یا لپ تاپ کاربر اجرا شود، قبل از اینکه صفحه وب به مرورگر کاربر برسد، در پشت صحنه کار می کند. Malwarebytes PHP را به عنوان قدرت بخش بزرگی از وب و زیربنای پلتفرم ها توصیف می کند.

به همین دلیل است که یک آسیب پذیری جدی در PHP می تواند چنین پیامدهای گسترده ای داشته باشد. مشکل به یک وب سایت یا یک افزونه وردپرس محدود نمی شود. این در فناوری زیربنایی است که توسط انواع مختلف وب سایت ها و برنامه های کاربردی استفاده می شود. NCSC-NL گفت که این آسیب‌پذیری‌ها ممکن است بر طیف وسیعی از برنامه‌ها و محصولات تحت اینترنت که به PHP تعبیه شده یا به آن وابسته هستند، تأثیر بگذارد.

PHP2Shell نامی است که به دو آسیب‌پذیری مهم داده شده است: CVE-2026-109618 و CVE-2026-109619.

تیم امنیتی PHP وصله های اضطراری را چهارشنبه در PHP 8.5.12، 8.4.27، 8.3.36 و 8.2.35 منتشر کرد. این آسیب‌پذیری‌ها می‌توانند اجرای کد از راه دور را بدون احراز هویت اجازه دهند، به این معنی که یک مهاجم می‌تواند به طور بالقوه باعث شود یک سرور آسیب‌پذیر دستورات را بدون نیاز به ورود به سیستم اجرا کند.

BleepingComputer گزارش داد که تیم امنیتی PHP بیشترین خطر را برای نصب های Apache با استفاده از mod_php در نظر می گیرد، جایی که یک اکسپلویت نشان داده شده است که در آن یک درخواست احراز هویت نشده می تواند یک حمله را قبل از اجرای کد برنامه آغاز کند.

این آسیب‌پذیری‌ها به‌ویژه جدی هستند، زیرا مشکل در PHP نه یک برنامه فردی است. Automattic گفت که محققان حملاتی را علیه نصب‌های فعلی وردپرس، دروپال و جوملا نشان دادند و تأکید کردند که به‌روزرسانی وردپرس، یک موضوع یا افزونه‌ها به تنهایی آسیب‌پذیری PHP را برطرف نمی‌کند.

سازمان‌هایی که از PHP 8.1 و نسخه‌های قبلی استفاده می‌کنند با یک پیچیدگی اضافه مواجه می‌شوند، زیرا آن نسخه‌ها دیگر نسخه‌های معمولی از پروژه PHP دریافت نمی‌کنند. PHP حداقل پورت‌های پشتیبان منبع را برای PHP 7.4، 8.0 و 8.1 ارائه می‌کند، در حالی که سازمان‌ها نیز ممکن است رفع‌هایی را از توزیع‌های لینوکس یا فروشندگان با پشتیبانی طولانی‌مدت دریافت کنند.

خبرنگاران و سردبیران نیوزویک از مارتین، دستیار هوش مصنوعی ما، برای تهیه این داستان استفاده کردند. در اینجا درباره مارتین بیشتر بدانید.

در مورد این داستان با سردبیران نیوزویک تماس بگیرید: جیسون لمون و دیو سیمینوف.