CISA تأیید می کند که آسیب پذیری های PHP2Shell اکنون در حملات مورد سوء استفاده قرار می گیرند

آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) دو آسیب‌پذیری حیاتی PHP را که مجموعا تحت عنوان PHP2Shell ردیابی می‌شوند، به فهرست نقص‌های امنیتی خود که به طور فعال مورد سوء استفاده قرار گرفته‌اند، اضافه کرده است.

عوامل تهدید بدون امتیاز می‌توانند از دو موضوع امنیتی (CVE-2026-109618 و CVE-2026-109619) در حملات با پیچیدگی بالا برای به دست آوردن اجرای کد از راه دور (RCE) در سیستم‌های اصلاح نشده سوء استفاده کنند.

تیم امنیتی PHP این دو نقص را در روز چهارشنبه، ۲۱ اکتبر، یک روز پس از ترغیب تیم‌های امنیتی به نصب به‌روزرسانی‌های امنیتی به محض در دسترس قرار گرفتن، اصلاح کرد.

اگرچه جزئیات مربوط به نقص‌های امنیتی PHP2Shell (از جمله شناسه‌های CVE و اقدامات کاهشی که با ارائه‌دهندگان زیرساخت‌های حیاتی به اشتراک گذاشته شده است) به بیرون درز کرد و برخی از سوء استفاده‌های اثبات مفهوم (PoC) قبل از انتشار وصله‌ها به صورت آنلاین منتشر شدند، تیم امنیتی PHP گفت که هیچ کدام کاربردی نبود.

چندین شرکت امنیت سایبری (از جمله Cloudflare، Amazon، Hadrian، watchTowr، Previdian، و Patchstack) نیز قبل از افشای عمومی تلاش‌های بهره‌برداری گسترده را شناسایی کردند، اما همه آنها را ناموفق برچسب‌گذاری کردند.

محققان امنیتی آمازون Threat Intelligence همچنین گفتند که مهاجمان چهار روز قبل از انتشار وصله‌های امنیتی، آسیب‌پذیری‌های PHP2Shell را هدف قرار دادند.

CISA روز دوشنبه این آسیب‌پذیری‌ها را به کاتالوگ آسیب‌پذیری‌های مورد بهره‌برداری شناخته شده خود اضافه کرد و به آژانس‌های شعبه اجرایی غیرنظامی فدرال (FCEB) دستور داد تا سیستم‌های خود را تا روز پنجشنبه ایمن کنند، طبق دستورالعمل اجرایی الزام‌آور 26-04.

آژانس امنیت سایبری هشدار داد: «این نوع آسیب‌پذیری‌ها یک بردار حمله مکرر برای بازیگران سایبری مخرب هستند و خطرات قابل‌توجهی برای شرکت فدرال ایجاد می‌کنند».

«در حالی که BOD 26-04 فقط برای آژانس‌های FCEB اعمال می‌شود، CISA همه سازمان‌ها را تشویق می‌کند تا مدیریت آسیب‌پذیری مبتنی بر ریسک را اتخاذ کنند و اصلاح آسیب‌پذیری‌های کاتالوگ KEV را در اولویت قرار دهند».

در حالی که CISA هنوز جزئیات بیشتری را در مورد حملات PHP2Shell در حال انجام به اشتراک نگذاشته است، عادل کریمی، رهبر تشخیص و پاسخگویی Perplexity برای اولین بار در آخر هفته پس از ثبت شواهدی مبنی بر اجرای کد از راه دور توسط Honeypot آنها در نصب Apache mod_php که PHP 8.4.26 را اجرا می‌کند، بهره‌برداری در طبیعت را تایید کرد.

روز جمعه، تیم امنیتی PHP همچنین کاهش‌هایی را برای نقص RCE جدید (CVE-2026-115560) بدون وصله به اشتراک گذاشت که هنگام هدف قرار دادن سیستم‌ها «با ترکیبی غیرمعمول از پیکربندی و کد برنامه» قابل استفاده است.

بر اساس برآوردهای VirusTotal، PHP تقریبا 70٪ از تمام وب سایت ها را تامین می کند، با بیش از 5.1 میلیون میزبان PHP به صورت آنلاین و حدود 3.8 میلیون نمونه با حداقل یک پورت برای حملات باز است.

نمرات کلی پیشگیری می تواند اتفاقات پس از دسترسی اولیه را پنهان کند. هنگامی که مهاجمان از اعتبارنامه های معتبر استفاده می کنند، پیشگیری به شدت کاهش می یابد.

گزارش آبی 2026 تکنیک دفاعی را با تکنیک در 338 میلیون شبیه سازی اجرا شده در محیط های تولید مشتری اندازه گیری می کند.

نقص های امنیتی PHP2Shell اکنون با موفقیت در طبیعت مورد سوء استفاده قرار گرفته است

آمازون می گوید بهره برداری از PHP2Shell 4 روز قبل از وصله ها شروع شد

PHP وصله های اضطراری را برای نقص های مهم PHP2Shell ارسال می کند

پی اچ پی به ادمین ها درباره دو نقص مهم هشدار می دهد، وصله های اضطراری فردا منتشر می شوند

CISA: هکرها نقایص Plex را در حملات Plex2Shell برای نفوذ به سرورها زنجیره می زنند