AWS می‌گوید هکرها چند روز قبل از رفع مشکل سعی کرده‌اند از مشکلات امنیتی PHP سوء استفاده کنند - همانطور که مدیر عامل Cloudflare می‌گوید که شاهد افزایش چشمگیری در حملات هدفمند بوده است.

شواهد حاکی از آن است که بهره برداری از PHP2Shell چند روز قبل از افشای عمومی آغاز شده است که نشان دهنده دانش قبلی مهاجم است.

محققان می گویند حملات دنیای واقعی محدود باقی می مانند، اگرچه تلاش های بهره برداری پس از افشای آن به سرعت افزایش یافت.

میلیون‌ها سیستم PHP همچنان در معرض قرار می‌گیرند، و کارشناسان خواستار اصلاح فوری نسخه‌های پشتیبانی شده هستند. آمازون ادعا کرده است که بهره برداری از php2shell چهار روز قبل از انتشار عمومی این آسیب پذیری ها آغاز شده است، به این معنی که شخصی از قبل از باگ های نرم افزار محبوب به خوبی اطلاع داشته است.

این شرکت تجزیه و تحلیل خود را منتشر کرده است که نشان می دهد حملات در واقع چند روز زودتر شروع شده اند.

این شرکت در مشاوره ای اعلام کرد: «هوش آمازون تهدید یک تلاش برای بهره برداری از PHP2Shell به تاریخ 17 اکتبر 2026 در تله متری MadPot، چهار روز قبل از افشای عمومی CVE-2026-109618 و CVE-2026-109619 شناسایی کرد. "تلاش سوء استفاده از یک آدرس IP مرتبط با یک شبکه ناشناس تجاری سرچشمه می گیرد. در حالی که آسیب پذیری تحت تحریم بود، هدف قرار دادن یک هانی پات از یک آدرس IP ناشناس نشان می دهد که این فعالیت توسط یک عامل تهدید انجام شده است، اگرچه هنوز مشخص نیست که بازیگر چگونه اطلاعات سوء استفاده را قبل از افشا به دست آورده است."

حملات چهار روز قبل

در روز انتشار وصله، چهار روز پس از فاجعه، اطلاعات تهدید آمازون چندین سوء استفاده اثبات مفهوم (PoC) را کشف کرد، و از آنجایی که بارها و انتخاب‌ها در زیرساخت ناشناس‌سازی متفاوت بود، به احتمال زیاد کار چندین عامل تهدید بود. این شرکت در حال حاضر در حال تجزیه و تحلیل محموله ها است تا ببیند آیا آنها در طبیعت موفق بوده اند یا خیر.

بنیاد PHP به همراه تعدادی از شرکا در حال کار بر روی اصلاح دو آسیب‌پذیری مهم بود که با نام‌های CVE-2026-109618 و CVE-2026-109619 و با نام مستعار «php2shell» ردیابی می‌شدند. هر دو دارای امتیاز شدت 9.2/10 هستند و از هر دو می توان برای تصاحب کامل وب سایت استفاده کرد. با توجه به اینکه PHP یک زبان برنامه نویسی است که برای نوشتن اکثریت قابل توجهی از وب سایت های موجود مورد استفاده قرار می گیرد، باگ ها بسیار خطرناک بودند و نیاز به افشا و وصله دقیق هماهنگ شده داشتند.

قرار بود این پچ در 21 اکتبر منتشر شود و از کسانی که از آن مطلع بودند خواسته شد تا زمان انتشار جزئیات آن را فاش نکنند. با این حال، چند ساعت قبل از برداشته شدن این تحریم، سازمان امنیتی Chainguard ظاهرا تصاویری از کانتینرها را منتشر کرد که حاوی اصلاحاتی برای نقص ها بود. تقریبا در همان زمان، اخبار منتشر شد مبنی بر اینکه مجرمان سایبری به طور فعال از php2shell برای هدف قرار دادن وب سایت ها سوء استفاده می کنند.

همه جهنم ها از بین رفت - بسیاری از وب سایت های دولتی، آموزشی و مراقبت های بهداشتی بزرگ در سراسر جهان به طور پیشگیرانه تعطیل شدند، در حالی که بنیاد پی اچ پی هشداری را صادر کرد و به مدیران اعلام کرد که به محض در دسترس شدن وصله، آن را آماده و اعمال کنند.

ASLR چیست و چرا برای p2psell مهم است؟

یکی از دلایلی که ما هنوز شاهد بسیاری از تلاش‌های بهره‌برداری موفق نیستیم، ظاهرا ASLR است. مخفف عبارت Address Space Layout Randomization، یک ویژگی امنیتی است که هر بار که برنامه اجرا می شود به طور تصادفی محل ذخیره کد و داده های برنامه در حافظه را تغییر می دهد. این به گفته Yotam Perkal، مدیر تحقیقات امنیتی در Pluto Security است.

پرکال گفت: "PHP2Shell برای بهره برداری بی اهمیت به نظر نمی رسد. من معتقدم بخشی از دلیلی که ما هنوز شاهد بهره برداری موفقیت آمیز نبوده ایم این است که اجرای کد قابل اعتماد مستلزم عبور از ASLR است، حفاظت از حافظه که مکان هایی را که کد در حافظه قرار می گیرد تصادفی می کند." انجام این کار از راه دور سخت است، و اکثر PoC های عمومی که در اطراف شناور هستند (بسیاری از آنها با کدهای Vibe) به سادگی روی سیستم های واقعی کار نمی کنند.

با این حال، من روی باقی ماندن آن حساب نمی‌کنم. اکسپلویت‌ها بهتر می‌شوند و اکثر سرورهای PHP موجود در آنجا هنوز وصله‌نشده هستند، بنابراین تیم‌ها باید کارگران PHP خود را اکنون وصله کرده و مجددا راه‌اندازی کنند. اما در مقایسه با تمام درام‌های قبل و بعد از انتشار، بهره‌برداری در دنیای واقعی تا کنون بسیار محدود به نظر می‌رسد.»

در عین حال، Cloudflare گفته است که تعداد حملاتی که در چند ساعت پس از افشای اطلاعات انجام شده، خیره کننده بوده و با سرعت بی سابقه ای در حال افزایش بوده است. مدیرعامل شرکت متیو پرینس در پستی در X گفت که تیم در 10 ساعت قبل از اعلام وصله، هزاران تلاش برای بهره برداری را دیده است. این در عرض یک ساعت پس از افشا به ده ها هزار نفر و در عرض دو ساعت به صدها هزار افزایش یافت. اکنون به میلیون ها نفر رسیده است.

بدتر از آن، بازیگران مختلف تهدید به اشکال مختلف به عیوب نزدیک می شوند و در حال حرکت هستند. طبق گفته‌های Cloudflare، برخی از عوامل تهدید، بارهای خود را بر اساس بازخورد درخواست‌های مسدود شده تغییر می‌دهند تا راهی برای عبور از فایروال برنامه‌های وب (WAF) پیدا کنند.

از طریق ثبت نام