نقص گسترده PHP ممکن است امروزه باعث قطع شدن بسیاری از سایت ها شود

امروز انتظار دارید تعداد زیادی وب‌سایت را ببینید که خطاهای «404» یا «Page Not Found» را ارائه می‌دهند: تقریبا 70 درصد از وب‌سایت‌ها باید نرم‌افزار اصلی خود را به‌روزرسانی کنند تا یک جفت آسیب‌پذیری را برطرف کنند که به مهاجم اجازه می‌دهد کنترل کامل روی سرورهای آسیب‌دیده را در دست بگیرد. کارشناسان می‌گویند برای این نقص‌ها، اکسپلویت‌های کارآمدی وجود دارد و این اشکالات حیاتی در حال حاضر در طبیعت مورد سوء استفاده قرار می‌گیرند.

تصویر: Shutterstock.com، Sashkin.

ایرادات مورد بحث در PHP وجود دارد، زبان برنامه نویسی که سایت هایی را که روی تعداد زیادی از سیستم های انتشارات وب، از جمله دروپال، مجنتو، جوملا و وردپرس اجرا می شوند، قدرت می دهد. اوایل امروز، PHP یک به‌روزرسانی امنیتی اضطراری برای رفع دو باگ مهم منتشر کرد که به مهاجم اجازه می‌دهد کد مورد نظر خود را روی سرور آسیب‌پذیر اجرا کند.

رویترز گزارش می دهد که وب سایت های دولتی در اروپا و جاهای دیگر امروز پس از افشای آسیب پذیری های PHP آفلاین شدند. Cloudflare گفت که قبلا برخی از سوء استفاده از این نقص را شناسایی کرده است و در ساعت 3:02 بامداد (UTC) قوانین فایروال برنامه های وب را برای محافظت از وب سایت ها در برابر ترافیک حمله ای که به دنبال سوء استفاده از اشکالات هستند، اجرا کرد، که می تواند باعث انکار شرایط سرویس، اجرای کد از راه دور و قرار گرفتن در معرض داده شود.

OpenAI، که در تحقیقات آسیب‌پذیری و گسترش آن شرکت داشت، گفت: «با توجه به شدت این نقص‌ها و استفاده گسترده از PHP، ما این موضوع را یکی از تأثیرگذارترین مسائل امنیتی در حافظه اخیر می‌دانیم».

کارشناسان امنیتی در Wiz گفتند که هر نسخه PHP منتشر شده در دهه گذشته تحت تأثیر حداقل یکی از این آسیب‌پذیری‌ها قرار دارد [افشای کامل: Wiz یک تبلیغ‌کننده در این وبلاگ است].

در پست وبلاگی که امروز توسط تیمی از محققان در Wiz منتشر شد، آمده است: «این یافته‌ها در زمره شدیدترین آسیب‌پذیری‌های کشف شده در PHP و مسلما در تاریخ نرم‌افزار قرار دارند.» "نقص اساسی برای چندین دهه وجود داشت، اما نشان دادن قابلیت بهره‌برداری از آنها نیازمند زنجیره‌ای از مراحل بسیار پیچیده بود، در لبه آنچه که محققین انسانی عملا می‌توانستند به آن دست یابند. مدل‌های هوش مصنوعی مرزی به طور قابل‌توجهی این مانع را کاهش دادند و یک نقص قدیمی را به یک سوء استفاده تبدیل کردند."

محققان Wiz می گویند که این احتمال وجود دارد که آسیب پذیری های PHP به طور انبوه برای نصب درهای پشتی مبتنی بر وب یا "پوسته های وب" مورد سوء استفاده قرار گیرد، که به مهاجمان یک پانل مبتنی بر وب می دهد که به آنها اجازه می دهد تا از راه دور سایت های آلوده را کنترل کنند. ویز گفت که قبل از افشای عمومی باگ‌های PHP، این شرکت با تیم PHP، کالیفرنیا و OpenAI برای اندازه‌گیری اندازه مشکل و هماهنگی تأیید و افشای وصله همکاری کرد.

آسیب‌پذیری‌های روز صفر PHP با شماره‌های CVE آن‌ها، CVE-2026-109618 و CVE-2026-109619 ردیابی می‌شوند و همه سرورهای وب دارای PHP 5.4 یا بالاتر را تحت تأثیر قرار می‌دهند. اشکالات در PHP 8.5.12، 8.4.27، 8.3.36 و 8.2.35 رفع شده است.

به گفته Wiz، PHP آنقدر عمیق در بسیاری از برنامه‌های کاربردی وب جاسازی شده است که به احتمال زیاد سازمان‌ها را برای مدتی آینده در تلاش برای اصلاح این آسیب‌پذیری‌ها خواهیم بود، و این جفت آسیب‌پذیری PHP را با ضعف Log4Shell که در سال 2021 پدیدار شد - یک چارچوب گسترده و با پرچم‌دار امنیتی شدید در جاوا4 مقایسه می‌کنیم.

محققان Wiz نوشتند: "یک آسیب پذیری در PHP اصلی بسیار فراتر از یک برنامه واحد است." "PHP در میان ابرها، ارائه دهندگان میزبانی، شبکه های تحویل محتوا و میلیون ها سرور مستقل اجرا می شود. کاهش قرار گرفتن در معرض قبل از عمومی شدن جزئیات فنی، نیاز به کار هماهنگ در کل اکوسیستم دارد."

مرکز طوفان اینترنت SANS در حال بررسی پلتفرم‌های نرم‌افزار اصلی است که به‌روزرسانی‌ها را برای مقابله با این نقص‌های PHP ارسال می‌کنند. به عنوان مثال، اوبونتو به تازگی بسته های به روز شده PHP را منتشر کرده است.

این یک داستان سریع است. به‌روزرسانی‌ها در اینجا با مهر زمانی یادداشت می‌شوند.