هکرها روی PHP2Shell انباشته می شوند زیرا AWS نشان می دهد که حملات قبل از افشای شروع شده اند

مهاجمان با میلیون‌ها تلاش برای سوء استفاده از آسیب‌پذیری‌های حیاتی PHP2Shell، سرورها را چکش می‌کنند و آمازون فاش می‌کند که شخصی چهار روز قبل از افشای عمومی این نقص‌ها را دنبال می‌کرده است.

Cloudflare می‌گوید از زمانی که جزئیات در اوایل هفته جاری منتشر شد، افزایش خیره‌کننده‌ای در حملاتی که این دو آسیب‌پذیری را که با نام‌های CVE-2026-109618 ردیابی می‌شوند، ثبت کرده است.

به گفته متیو پرنس، مدیرعامل کلودفلر، این شرکت هزاران تلاش برای بهره برداری را در 10 ساعت قبل از اعلام عمومی آسیب پذیری ها مشاهده کرد. این رقم در عرض 45 دقیقه پس از افشا به ده ها هزار نفر، در عرض دو ساعت به صدها هزار نفر رسید و از آن زمان به میلیون ها نفر رسیده است.

و مهاجمان به سادگی همان سوء استفاده را بازیافت نمی کنند. Cloudflare گفت که مشاهده کرده است افراد نابکار بارهای خود را در تلاش برای عبور از محافظت از فایروال برنامه وب (WAF) خود تغییر داده اند و ظاهرا از بازخورد درخواست های مسدود شده برای بررسی آنچه ممکن است عبور کند استفاده می کنند.

سازمان امنیتی هادریان نیز در 21 اکتبر زنگ خطر را به صدا درآورد و گزارش داد که PHP2Shell "در مقیاس وسیع در طبیعت مورد سوء استفاده قرار می گیرد."

این شرکت هشدار داد: "بیشتر حملاتی که مشاهده می کنیم از مسیر آپلود-پیشرفت جلسه PHP سوء استفاده می کنند و انتظار داریم مسیرهای سوء استفاده بیشتری قبل و بعد از ارسال تعمیرات ظاهر شوند."

نگران‌کننده‌تر این است که به نظر می‌رسد برخی از مهاجمان قبل از اینکه آسیب‌پذیری‌ها حتی به اطلاع عموم برسد، شروع به کار کرده‌اند.

آمازون Threat Intelligence می گوید تلاشی برای سوء استفاده از PHP2Shell در 17 اکتبر، چهار روز قبل از انتشار وصله ها، شناسایی کرده است. این فعالیت توسط MadPot، شبکه آمازون از هانی پات‌هایی که برای فریب دادن مهاجمان طراحی شده و آنچه را که می‌خواهند ثبت می‌کنند، انتخاب کرده است.

آمازون گفت: «در حالی که این آسیب‌پذیری تحت تحریم بود، هدف قرار دادن یک هانی‌پات از یک آدرس IP ناشناس نشان می‌دهد که این فعالیت توسط یک عامل تهدید انجام شده است، هرچند هنوز مشخص نیست که این بازیگر چگونه اطلاعات سوءاستفاده را قبل از افشا به دست آورده است».

این غول خرده‌فروشی و ابری اعلام کرد که چندین سوء استفاده اثبات مفهومی را در 21 اکتبر شناسایی کرده است که اولین آنها در حدود 0200 UTC ظاهر شد، حدود 12 ساعت قبل از انتشار وصله‌ها. طی شش ساعت بعد، تلاش‌های بیشتری از زیرساخت‌های مختلف ناشناس و با استفاده از بارهای مختلف وارد شد. آمازون بر این باور است که این به جای یک گروه، به چند مهاجم اشاره دارد.

اینکه آیا هر یک از این تلاش‌ها علیه سیستم‌های دنیای واقعی کار می‌کرد، مشخص نیست.

یافته ها لایه دیگری را به افشای درهم ریخته اضافه می کند. همانطور که The Register در روز چهارشنبه گزارش داد، بنیاد PHP، فروشنده امنیت زنجیره تامین، Chainguard را متهم کرده است که با انتشار نسخه های اصلاح شده PHP قبل از مهلت توافق شده، وب سایت ها را در معرض خطر قرار داده است.

با این حال، شناسایی آمازون در 17 اکتبر نشان می دهد که حداقل یک مجرم سایبری در حال تلاش برای سوء استفاده از اشکالات چند روز قبل از آن حادثه بوده است.

خود آسیب‌پذیری‌ها به‌ویژه ناخوشایند هستند. هر دو دارای رتبه بندی بحرانی 9.2 هستند و بر مدیریت PHP از حافظه تأثیر می گذارند و به طور بالقوه به مهاجمان احراز هویت نشده اجازه می دهند کدهای مخرب را روی سرورهای آسیب پذیر اجرا کنند.

برخلاف نقص در پلاگین ها یا برنامه های کاربردی، این اشکالات بر زمان اجرای PHP تأثیر می گذارد و تعداد زیادی از وب سایت ها را بدون توجه به سیستم مدیریت محتوا که استفاده می کنند در معرض خطر قرار می دهد.

Cloudflare می‌گوید که حفاظت‌های WAF را در برنامه‌های رایگان و پولی خود مستقر کرده است، اگرچه تاکید کرده است که اینها جایگزینی برای وصله نیست.

با توجه به اینکه مهاجمان از قبل شانس خود را قبل از در دسترس قرار دادن اصلاحات امتحان کرده‌اند، ممکن است ادمین‌ها چیزی بیش از یک بک لاگ وصله‌ای برای نگرانی داشته باشند. آمازون به سازمان‌ها توصیه می‌کند فعالیت‌های مشکوک را که حداقل به 17 اکتبر بازمی‌گردد، بررسی کنند، نه اینکه فرض کنند سیستم‌هایشان تا زمانی که آسیب‌پذیری‌ها عمومی نشده است، ایمن هستند. ®