PHP چیست و چرا جرقه‌ای در سرتاسر جهان در مورد امنیت سایبری ایجاد کرد؟

چگونه هوش مصنوعی خطر عظیم امنیت سایبری اینترنت را کشف کرد؟

برای بیش از یک دهه، نقص‌های جدی در فناوری زیربنای بسیاری از اینترنت کشف نشده بود.

به هوش مصنوعی نیاز داشت تا آنها را فاش کند و یک هشدار جهانی در مورد امنیت سایبری ایجاد کرد.

محققانی که به کشف آسیب‌پذیری‌ها در PHP کمک کردند - یک زبان برنامه‌نویسی محبوب در سمت سرور که برای چندین دهه در توسعه وب استفاده می‌شد - به پلتفرم‌هایی که از آن استفاده می‌کنند هشدار دادند که ممکن است در معرض هک‌های احتمالی قرار گیرند.

دولت‌ها و آژانس‌های امنیت سایبری برای مهار این پیامدها عجله کردند و از صاحبان وب‌سایت‌ها خواستند بررسی کنند که آیا سایت‌هایشان تحت تأثیر قرار گرفته است یا خیر و در این صورت، به‌روزرسانی‌هایی را برای رفع مشکل یا آفلاین شدن در نظر بگیرند.

تاکنون هیچ گزارشی مبنی بر سوء استفاده موفقیت آمیز از این نقص که php2shell ساخته شده است، گزارش نشده است.

اما در روزهایی که این مسائل آشکار شد، اختلال در سایت‌ها و خدمات همچنان در سراسر جهان موج می‌زند.

شاید بیشتر مردم نام PHP را نشنیده باشند، اما احتمالا هر روز با آن تعامل دارند.

مخفف PHP: Hypertext Preprocessor، یک زبان برنامه نویسی منبع باز و back-end است که بر روی یک وب سرور اجرا می شود.

PHP که در اوایل دهه 1990 برای کمک به ارائه خدمات و صفحات وب پویا و برنامه‌های کاربردی توسعه یافت، هنوز هم پلتفرم‌های زیادی از جمله ویکی‌پدیا، فروشگاه‌های آنلاین و وردپرس – سیستمی که در پشت بسیاری از وب‌سایت‌ها قرار دارد، دارد.

هنگامی که از یک سایت بازدید می کنید، PHP کدی است که داده ها را جمع آوری می کند و به طور موثر آن را به صفحه ای تبدیل می کند که می توانید بخوانید.

همچنین برای نوشتن تعدادی ابزار برای ایجاد یا افزایش سرعت ایجاد برنامه های وب، با لاراول، سیمفونی و دروپال در میان فریمورک های محبوب PHP استفاده شده است.

به گفته شرکت امنیت سایبری Wiz، که به کشف آسیب‌پذیری‌های حیاتی PHP که در این هفته ظاهر شد، کمک کرد، PHP 70 درصد از وب‌سایت‌های جهان را در اختیار دارد.

این توسط یک سازمان غیرانتفاعی به نام بنیاد پی اچ پی، خارجی، متشکل از افراد و شرکت هایی که به زبان وابسته هستند و هدفشان تضمین "رونق بلندمدت" آن است، نگهداری می شود.

گروهی از محققان و سازمان‌های امنیت سایبری در این هفته دو آسیب‌پذیری را در PHP فاش کردند که هشدار دادند می‌تواند پتانسیل تخریب سایت‌ها در سراسر اینترنت را داشته باشد.

شرکت‌های سایبری Wiz و Calif گفتند که این نقص‌ها در خود زبان ذاتی هستند و بر نسخه‌های PHP منتشر شده در دهه گذشته تأثیر می‌گذارند.

اشکالات فنی با توجه به شناسه های فنی CVE-2026-109618 و CVE-2026-109619، توسط محققان رتبه 9.2 از 10 را کسب کردند.

رایان آستین، محقق کالیفرنیا، که به کشف آن کمک کرد، به بی‌بی‌سی گفت که این «جدی‌ترین آسیب‌پذیری است که تا به حال پیدا کرده‌ام».

Wiz در یک پست بلاگ، در مورد یافته‌های خود نوشت که در شرایط مناسب، هکرها می‌توانند از باگ‌ها برای کنترل سرورهای وب آسیب‌دیده و سرقت داده‌های حساس سوء استفاده کنند و گفت که همه چیزهایی که بر روی PHP ساخته شده‌اند افشا می‌شوند.

پل اسپین، مدیر اجرایی امنیت سایبری گوریلا، به بی‌بی‌سی گفت هوش مصنوعی همچنین می‌تواند چنین حملاتی را آسان‌تر و سریع‌تر کند.

او تخمین زد که این نقص می تواند "میلیون ها و میلیون ها" وب سایت را تحت تاثیر قرار دهد.

جیل اسلی، محقق امنیت سایبری در دانشگاه آدلاید، گفت اگر هکرها یا کشورها از این نقص استفاده کنند و داده های خصوصی وب سایت ها را ضبط کنند، "فاجعه بار" خواهد بود.

Zoe Kleinman: PHP معادل سایبری یک بمب منفجر نشده است

هشدار در 21 اکتبر خدمات جهانی را از پلتفرم های بازی گرفته تا پورتال های دولتی و انجمن های آنلاین مختل کرد.

ویکی‌مدیا - سازمانی که پشت دایره‌المعارف آنلاین ویکی‌پدیا قرار داشت - بود که تعدادی از سیستم‌هایش را به عنوان یک اقدام احتیاطی از کار انداخت.

سایت‌ها و صفحات نیز توسط دولت فنلاند، شورای ادینبورگ و برخی از صفحات بی‌بی‌سی آفلاین شدند و آژانس امنیت سایبری هلند نیز روز چهارشنبه وب‌سایت خود را متوقف کرد.

اما در حالی که بسیاری از سایت‌ها تا روز پنج‌شنبه پشتیبان‌گیری شدند، سایر سایت‌ها همچنان به‌طور موقت در جاهای دیگر حذف می‌شدند زیرا افراد و کسب‌وکارها برای قرار گرفتن در معرض احتمالی بررسی می‌کردند.

وب سایت هایی مانند دانشگاه ژنو روز چهارشنبه آفلاین شدند

دولت بریتانیا روز پنجشنبه فاش کرد که برخی از خدمات "محدود" ممکن است به طور موقت آفلاین باشند.

این سازمان گفت که 32 سایت برای احتیاط از بین رفته اند، که هیچ یک از آنها خدمات عمومی بزرگی نداشتند.

در فرانسه، شرکت مخابراتی Orange نیز اعلام کرد که دسترسی به برخی خدمات را در سطح جهانی به حالت تعلیق درآورده است، در حالی که رفع‌های امنیتی را به کار می‌گیرد.

روز جمعه، رسانه های محلی ژاپن گزارش دادند که اپراتور مخابراتی SoftBank Corp به طور موقت هشدارهای اضطراری را برای زلزله، سونامی و سایر بلایای طبیعی به حالت تعلیق درآورده است.

به گزارش روزنامه Mainichi، از مشتریان خارجی سافت بانک خواسته شده است که مطمئن شوند راه های دیگری برای دریافت هشدار در مورد بلایای طبیعی دارند - با این که هشدارهای تلفن همراه آن حتی در صورت وقوع یک زلزله قوی به صدا در نمی آید.

بر اساس گزارش ها، این سرویس قرار است از روز دوشنبه از سر گرفته شود.

برخی کارشناسان هشدار می‌دهند که این مشکل می‌تواند وب‌سایت‌هایی را که نگهداری ضعیفی دارند، به ویژه آنهایی که متعلق به سازمان‌های کوچک‌تر با منابع امنیتی محدود هستند، در معرض خطر بیشتری قرار دهد.

Salil Kanhere، محقق امنیت سایبری از UNSW سیدنی، گفت: تلاش‌های بیشتری برای بهره‌برداری از این نقص‌ها در هفته‌های آینده احتمالا از آنجایی که جزئیات فنی در حال حاضر عمومی شده‌اند، وجود دارد.

بنیاد PHP روز چهارشنبه وصله‌هایی را برای رفع آسیب‌پذیری‌هایی که سال‌ها در کمین نرم‌افزار آن‌ها وجود داشت، منتشر کرد.

این شرکت گفت: «همه کاربران PHP قویا تشویق می‌شوند که فورا به‌روزرسانی شوند.

مقامات و سازمان های امنیتی در سراسر جهان این هشدارها را به اپراتورهای وب سایت برای ایمن سازی سیستم عامل های خود تکرار کرده اند.

آژانس امنیت ملی ایالات متحده به همه سازمان‌های خارجی که از PHP استفاده می‌کنند، گفت در صورتی که قادر به اصلاح فوری سیستم‌های خود نباشند، سیستم‌های خود را آفلاین کنند، و افزود که این نقص می‌تواند یک "مسیری مستقیم" برای بهره‌برداری از پایگاه داده سیستم فراهم کند.

آژانس گفت: "این خطرات به اندازه ای جدی هستند که نیاز به اصلاح فوری در سراسر ادارات و آژانس های دولت ایالات متحده دارند."

همتایان آن در اتحادیه اروپا، سنگاپور و استرالیا نیز هشدارهای مشابهی صادر کرده اند.

نخست وزیر ژاپن، سانائه تاکایچی، از مردم خواست بررسی کنند که آیا وب‌سایت‌های در دسترس عموم آنها در پست‌های X از PHP استفاده می‌کنند یا خیر.

نخست وزیر تاکایچی روز چهارشنبه در پست های رسانه های اجتماعی "درخواست فوری از همه برای اقدام امشب" صادر کرد.

شرکت های فناوری نیز به دنبال ایمن سازی سریع سیستم های خود بودند.

غول تجارت الکترونیک آمازون گفت که چند روز قبل از افشای عمومی مشکل PHP در چندین تلاش مورد هدف قرار گرفت، اما وب سایت های آن به طور عادی کار می کردند.

متیو پرینس، رئیس شرکت زیرساخت اینترنتی Cloudflare نیز گفت که در 10 ساعت قبل از اعلام عمومی، "هزاران" تلاش برای سوء استفاده از آسیب‌پذیری‌های PHP در سراسر شبکه خود دیده است.

او در X , خارجی نوشت: «این تعداد در 45 دقیقه پس از اعلام به ده‌ها هزار، در عرض دو ساعت به صدها هزار و در حال حاضر به میلیون‌ها رسید.

تا صبح جمعه هیچ حمله موفقیت آمیزی گزارش نشده بود.

اما کارشناسان هشدار داده اند که هر گونه تأثیر ممکن است زمان ببرد تا کاملا آشکار شود.

و اپراتورهای تعدادی از سرویس‌هایی که ممکن است از PHP استفاده شده باشد - نه فقط در توسعه وب - هنوز هم از آنها خواسته می‌شود که سیستم‌های خود را بررسی کرده و در صورت لزوم به‌روزرسانی‌ها را پیاده‌سازی کنند.

دانیل استوارت، رئیس اطلاعات تهدیدات در مدیریت ریسک جهانی LRQA می گوید: «به یاد داشته باشید که PHP محدود به برنامه های کاربردی وب نیست.

معمولا در رابط‌های مدیریتی لوازم شبکه، متعادل‌کننده‌های بار و دستگاه‌های تعبیه‌شده یافت می‌شود که اغلب در طول این حوادث نادیده گرفته می‌شوند.

به گفته برخی از محققان امنیت سایبری که از اسکن‌ها برای بررسی سرورهای در معرض خطر آسیب‌پذیری PHP استفاده می‌کنند، نرخ سازمان‌هایی که پچ‌ها را پیاده‌سازی می‌کنند افزایش یافته است - اما نه به سرعتی که در سطح جهانی انتظار می‌رود.

محققان کالیف و ویز که این آسیب‌پذیری‌ها را شناسایی کردند، از ابزارهای هوش مصنوعی پیشرفته‌ای استفاده کردند که توسط توسعه‌دهنده ChatGPT OpenAI توسعه داده شده است، که می‌تواند کد را بسیار سریع‌تر از انسان‌ها یا سیستم‌های قدیمی‌تر تجزیه و تحلیل کند و نقص‌ها را پیدا کند.

Kanhere گفت: «نرم‌افزار مدرن به‌طور باورنکردنی پیچیده است و برخی از آسیب‌پذیری‌ها می‌توانند برای سال‌ها شناسایی نشده باقی بمانند.

Kanhere گفت: "اشکالات اساسی جدید نبودند، آنچه تغییر کرد توانایی ما برای یافتن آنها بود."

جزئیات کشف این هفته به صورت آنلاین به بیرون درز کرد و توسعه دهندگان پلتفرم PHP را مجبور کرد تا با عجله اعلام کنند نقص امنیتی و مقیاس عظیم آن را اعلام کنند.

OpenAI در یک پست وبلاگی گفت: این حادثه "روشن می کند که چگونه هوش مصنوعی می تواند نقص های امنیتی را کشف کند" اما همچنین چگونه می تواند "به مهاجمان کمک کند تا به سرعت ابزارها و سوء استفاده های تهاجمی را توسعه دهند."

همچنین گفت که برنامه ای را نیز منتشر کرده است که می تواند امنیت پلت فرم PHP را بررسی کند.

رایان کو، از مرکز تحقیقات سایبری دانشگاه کوئینزلند، می‌گوید: «بسیاری از این نقص‌ها ناشی از شیوه‌ای است که نرم‌افزار در گذشته ساخته می‌شد، که برای عملکرد و نه با در نظر گرفتن امنیت ساخته می‌شد.

این مشکل بر روی وب‌سایت‌های بک‌اند و فرآیندهای توسعه وب تأثیر می‌گذارد که برای بسیاری از کاربران نامرئی خواهد بود - به این معنی که اکثر مردم نیازی به انجام هیچ اقدامی نخواهند داشت.

اما کسب‌وکارهای کوچک دارای سایت‌هایی، از جمله آن‌هایی که با استفاده از وردپرس ساخته شده‌اند، ممکن است تعجب کنند که چگونه از خود محافظت کنند.

از کسانی که صاحب وب‌سایت هستند یا زیرساخت‌های PHP را مدیریت می‌کنند، خواسته شده است تا با به‌روزرسانی به آخرین نسخه، وب‌سایت‌های خود را ایمن کنند.

هکر اخلاقی، کن مونرو، که سال‌ها صرف یافتن نقص‌های امنیتی در سیستم‌های رایانه‌ای کرده است، می‌گوید نصب این اصلاحات - که به عنوان وصله (patching) شناخته می‌شود - "کمی شبیه اجرای به‌روزرسانی ویندوز" است.

اگر یک شرکت میزبان یا توسعه دهنده وب وب سایت شما را مدیریت می کند، با آنها تماس بگیرید و بپرسید که آیا اصلاحات امنیتی PHP اعمال شده است - چیزی که باید در خود PHP اعمال شود و با به روز رسانی وردپرس یا افزونه های آن قابل حل نیست.

اگر خودتان مراقب وب‌سایت خود هستید، مونرو می‌گوید: «مسئولیت خودتان است که مطمئن شوید اصلاح‌ها اعمال می‌شوند».

مرکز ملی امنیت سایبری بریتانیا توصیه می‌کند در صورتی که به‌روزرسانی‌ها یا حفاظت‌های موقتی نمی‌توانند به سرعت کافی اعمال شوند، به‌طور موقت سایت‌ها را آفلاین کنند.

آژانس امنیت ملی ایالات متحده همچنین خواستار افزایش آگاهی در هفته‌های آینده شده و به مردم گفته است که به‌روزرسانی‌های تولیدکنندگان نرم‌افزار را از نزدیک زیر نظر داشته باشند.

در این بیانیه آمده است: "هوشیاری در اعمال وصله های مربوط به آن سیستم ها بسیار مهم است."

Kanhere گفت، در حالی که مسئولیت عمدتا بر عهده اپراتورهای وب سایت است، کاربران باید در مورد هرگونه توصیه امنیتی صادر شده توسط سرویس های آسیب دیده، مانند درخواست برای تغییر رمز عبور، هوشیار باشند.

او به مردم هشدار داد که نسبت به هرگونه پیام فیشینگ که از تبلیغات در مورد این حادثه سوء استفاده می کند، هوشیار باشند.

کینگ هشدار می‌دهد که بازیگران آنلاین مخرب در حال توسعه تاکتیک‌ها هستند

دیده بان داده هشدار می دهد که مطمئن شوید استفاده از هوش مصنوعی ایمن است