PHP-ocalypse: چگونه دو باگ مهم وب تقریبا اینترنت را شکستند

روز چهارشنبه، یک فناوری وب منبع باز ده ها ساله به نام PHP تقریبا اینترنت را شکست، به لطف دو آسیب پذیری که سال ها خاموش بود تا اینکه محققان اخیرا راهی برای بهره برداری از آنها پیدا کردند.

این اشکالات PHP2Shell نامیده می شوند که به طور رسمی با نام های CVE-2026-109618 و CVE-2026-109619 تعیین شده اند. به زبان ساده، باگ‌ها به هر کسی که می‌داند چگونه از آنها سوء استفاده کند، اجازه می‌دهد تا بدون نیاز به رمز عبور برای دسترسی یا تغییر داده‌های آن، به سیستم آنلاینی که PHP اجرا می‌کند، مانند یک وب‌سایت یا سرور اینترنتی، نفوذ کند.

با پیش رفتن شرایط، این وضعیت بسیار قابل توجهی بود و میلیون‌ها نفر را در سراسر جهان مجبور کرد تا قبل از اینکه هکرهای مخرب بتوانند از آنها سوء استفاده کنند، سیستم‌های خود را اصلاح کنند.

بنیاد PHP، که نرم‌افزار وب PHP را نگهداری می‌کند، وصله‌هایی را در روز چهارشنبه به‌طور عمومی منتشر کرد که باگ‌ها را برطرف می‌کردند، که پس از نصب از حمله به سرورهای تحت وب جلوگیری می‌کردند. این بنیاد قبلا به برخی از بزرگ‌ترین شرکت‌های اینترنتی و میزبان‌های وب که بر PHP تکیه می‌کنند، در وصله‌سازی اطلاعات اولیه را آغاز کرده بود.

به لطف هفته‌ها گفتگو و هماهنگی دقیق در سراسر صنعت، جهان - تا کنون - به طور گسترده از بهره‌برداری انبوه اینترنت اجتناب کرده است. از روز چهارشنبه، دولت‌ها شروع به ترغیب شهروندان و شرکت‌های دارای وب‌سایت کردند تا برای کاهش خطرات ناشی از آنها اقدام کنند. طیف گسترده‌ای از صنایع، وب‌سایت‌های خود را بسته‌اند و خدمات را برای اصلاح سیستم‌های خود آفلاین کرده‌اند. بانک‌ها، خرده‌فروشان، سایت‌های بازی، فروشگاه‌های آنلاین، بیمارستان‌ها و برخی سازمان‌های دولتی سرورهای خود را برای جلوگیری از حملات از کار انداختند.

اما محققان امنیتی هشدار می‌دهند که وضعیت هنوز به پایان نرسیده است و تعداد زیادی از سیستم‌ها در سراسر جهان اصلاح نشده و در برابر هک‌ها و سرقت داده‌ها آسیب‌پذیر هستند.

همچنین بعید است که این آخرین ترس بزرگ نرم افزار اینترنتی باشد، زیرا برخی انتظار دارند ظهور هوش مصنوعی به سرعت آسیب پذیری های هنوز کشف نشده ای را که در انتظار یافتن و سوء استفاده هستند، کشف کند.

محققان امنیتی در کالیفرنیا دو باگ در PHP پیدا کردند، یک زبان برنامه نویسی که به طور گسترده در سراسر جهان برای ساخت وب سایت ها و برنامه های وب، هم در اینترنت و هم به صورت محلی در شبکه های شرکتی مانند اینترانت و سایت های داخلی استفاده می شود.

PHP منبع باز است، به این معنی که تقریبا به هر دلیلی برای هر کسی قابل استفاده است و رایگان است. به این ترتیب، امروزه به یکی از محبوب ترین و پرکاربردترین زبان های برنامه نویسی وب در وب تبدیل شده است.

این دو باگ برای اولین بار در سال 2024 کشف شدند اما در آن زمان قابل بهره برداری در نظر گرفته نشدند و اصلاح نشدند. محققان امنیتی اخیرا راهی برای بهره برداری از آنها پیدا کرده اند که آنها را بر آن داشته تا به سازندگان نرم افزار هشدار دهند تا آنها را برطرف کنند.

کالیف به بنیاد PHP هشدار داد که دوره ای را برای رفع اشکالات و افشای هماهنگ آغاز کرد. این بنیاد این کار را با ارائه اطلاعات و وصله‌های مربوط به مسائل امنیتی تحت یک تحریم کاملا محافظت‌شده - که اساسا تا یک ضرب‌الاجل مشخص به صورت محرمانه حفظ می‌شد- انجام داد تا به شرکت‌های بزرگ فرصتی بدهد تا از نصب اصلاحات پیشی بگیرند.

PHP2Shell بسیار جدی است زیرا می توان از راه دور از طریق اینترنت و بدون نیاز به کلیک بر روی پیوند یا باز کردن یک فایل قربانی از آن سوء استفاده کرد. این به عنوان اجرای کد از راه دور شناخته می‌شود، و یکی از مخرب‌ترین انواع باگ‌ها برای بهره‌برداری است، زیرا می‌توانند به هکر در هر نقطه از جهان به طور مؤثر کنترل کاملی را بر روی یک سیستم آسیب‌دیده و اصلاح نشده اعطا کنند.

بدتر از آن، این باگ‌های خاص PHP، نفوذ به هر سیستم وصله‌نشده در اینترنت را بدون نیاز به رمز عبور یا هر مدرک دیگری از طریق اینترنت ممکن می‌سازد، که به عنوان دسترسی تایید نشده شناخته می‌شود.

این به یک هکر مخرب اجازه می‌دهد تا بدافزاری را در رایانه نصب کند، مانند سرقت داده‌ها یا صرفا برای حفظ جایگاه بلندمدت که بتواند بعدا به آن بازگردد.

باگ‌ها به‌ویژه خطرناک هستند، زیرا PHP نرم‌افزار بسیار محبوبی است، تا حدی به این دلیل که استفاده از آن رایگان و نسبتا آسان است، اما همچنین به این دلیل که برای دهه‌ها وجود دارد. حدود 70 درصد از اینترنت رو به روی وب به PHP متکی است، اگرچه استفاده از آن در طول سال ها به آرامی کاهش یافته و به نفع زبان های برنامه نویسی جدیدتر و ایمن تر است.

با توجه به محبوبیت آن، برخی از محبوب‌ترین وب‌سایت‌های جهان بر روی نرم‌افزار وب متکی به PHP، مانند وردپرس (که میزبان TechCrunch است!)، و همچنین دروپال، جوملا، و مدیاویکی، که قدرت ویکی‌پدیا غول دایره‌المعارف آنلاین را دارد، اجرا می‌شوند.

PHP تنها یکی از بسیاری از فناوری‌های قدیمی اما کاربردی است که از امواج اینترنت جان سالم به در برده و نسل‌هایی که اکنون بسیار فراگیر شده‌اند، شبیه چسبی هستند که بیشتر اینترنت را در کنار هم نگه می‌دارد. اغلب این ابزارها توسط نگهبانان منبع باز توسعه می‌یابند که برای کاری که انجام می‌دهند دستمزد دریافت نمی‌کنند و به همین دلیل نمی‌توانند از عهده بررسی‌های امنیتی شخص ثالث برآیند - اما هنوز هم به طور گسترده توسط شرکت‌هایی که کمک مالی به پروژه‌ها نمی‌کنند به آن‌ها متکی هستند.

محققان امنیتی در کالیف در اوایل سال جاری به عنوان بخشی از ممیزی امنیتی کد PHP موفق به کشف این اشکالات شدند. کالیف در طرح Hack the Planet توسط سازنده مدل هوش مصنوعی OpenAI و غول امنیت ابری Wiz شرکت داشت که متعاقبا سوء استفاده‌های اثبات مفهومی را که کالیف انجام داد تأیید کرد.

در نوشته کالیف (شامل کمیک - عالی است، آن را بررسی کنید)، محققان توضیح دادند که هوش مصنوعی برای کمک به بهره برداری از باگ استفاده شده است، اما بخش عمده ای از کار متکی بر دانشی است که محققان قبلا داشتند، و اینکه آنها پایگاه کد و تاریخچه بهره برداری PHP را به خوبی می دانستند.

کالیف نوشت: "هیچ مدلی به سادگی قادر به کشف "همه اشکالات" با دستورات ساده نیست. حداقل در حال حاضر."

علی‌رغم تلاش‌ها برای مخفی نگه داشتن جزئیات باگ‌ها تا روز چهارشنبه، به نظر می‌رسد که قبل از انتشار وصله‌ها، برخی از PHP2Shell مورد سوء استفاده قرار گرفته‌اند.

آمازون که به دلیل اندازه و مقیاس خود، دید بسیار زیادی در تهدیدات آنلاین دارد، در یک پست وبلاگی اعلام کرد که یک هفته قبل از در دسترس قرار گرفتن وصله‌های PHP، سوء استفاده از PHP2Shell را شناسایی کرده است، و این نشان می‌دهد که شخصی، در جایی، می‌دانست که چگونه از باگ‌ها سوء استفاده کند قبل از اینکه جزئیات آنها به طور گسترده در دسترس باشد. آمازون اعلام کرد که مشخص نیست هکر چگونه از آسیب‌پذیری‌ها مطلع شده است، اما مدافعان باید در تاریخ 17 اکتبر به دنبال شواهدی از سوءاستفاده باشند.

چند نظریه در مورد آنچه اتفاق افتاده وجود دارد. هنگامی که یک اشکال وصله شد، جزئیات آن می‌تواند فورا آشکار شود، به خصوص اگر کد - مانند مورد PHP - منبع باز باشد و آن را عمومی و قابل بازرسی کند. ممکن است بهره‌برداری از باگ‌ها آسان نباشد، اما دانستن اینکه اشکال کجاست و چگونه رفع شده است، می‌تواند به هکرهای مخرب اجازه دهد تا بفهمند کجا را هدف قرار دهند و چگونه اکسپلویت‌های خود را توسعه دهند.

این امکان وجود دارد که در زمان تحریم درز یا قطعی در ارتباطات وجود داشته باشد. جامعه منبع باز بسیار زیاد است و اطلاعات کنترلی در این روش به حسن نیت متکی است.

همچنین این امکان وجود دارد که هکرها به طور مستقل یا از طریق جاسوسی، اشکالات را زودتر از موعد کشف کرده باشند.

بنیاد پی‌اچ‌پی یک شرکت را به‌خاطر انتشار وصله‌ها ساعت‌ها قبل از پایان دوره تحریم سرزنش می‌کند، که می‌توانست برخی از مهاجمان را در صورتی که جزئیات این وصله را قبل از دیگران به دست می‌آورد، شروع کند. اما این به حساب فعالیت یک هفته ای شناسایی شده توسط آمازون نیست.

محققان می گویند که اشکالات به کار زیادی نیاز دارند تا قابل بهره برداری شوند و تسلیح سازی باگ یک چالش - اما غیرممکن نیست - توضیح می دهد که چرا ما هنوز مقیاسی از بهره برداری انبوه را ندیده ایم.

اما طبق گفته غول‌های امنیتی Palo Alto Networks و Trail of Bits، از اواخر روز جمعه، در حال حاضر مصالحه‌ها و فعالیت‌های پس از بهره‌برداری مرتبط با باگ PHP وجود دارد. این بدان معناست که این اشکال برای هک کردن و انجام فعالانه فعالیت های مخرب در یک هدف هنوز ناشناخته مورد سوء استفاده قرار گرفته است.

هنوز روزهای اولیه است، اما این یک نشانه دلگرم کننده است که نشان می دهد هیچ نشانه ای از استثمار انبوه وجود ندارد - اما ما هنوز از منطقه خطر خارج نشده ایم.

متیو پرینس، مدیر اجرایی غول امنیت شبکه و مانیتورینگ Cloudflare که دارای تله متری در بخش وسیعی از اینترنت است، این هفته گفت که پس از افشای آنها، تلاش های زیادی برای سوء استفاده از باگ ها دیده شده است. این یک چشم انداز به دست می دهد که بازیگران بدخواه با چه سرعتی به دنبال سوء استفاده از نقص ها برای منافع خود هستند.

PHP فقط در سرورهای وب یافت نمی‌شود، بلکه در ابزارهای توسعه‌دهنده، خط فرمان و بسته‌های ترمینال، و سایر اجزای نرم‌افزاری که توسط روترها، دستگاه‌های ذخیره‌سازی و دستگاه‌های امنیتی سازمانی مانند فایروال‌ها و VPN استفاده می‌شوند، استفاده می‌شود.

ما باید انتظار داشته باشیم که شاهد بهره برداری از PHP2Shell باشیم زیرا تیم های کوچکتر IT و توسعه دهندگان انحصاری ممکن است کندتر به روز رسانی شوند. همچنین دوره ای وجود خواهد داشت که در آن شرکت های مختلفی که به PHP متکی هستند و در محصولات و نرم افزارهای خود ادغام می کنند، که نیاز به به روز رسانی نیز دارند.

همانطور که دستگاه ها و سیستم های بیشتری به روز می شوند، سطح حمله در زمان کاهش می یابد. اما اثرات موجی این اشکالات را می‌توان برای سال‌های آینده، به‌ویژه در سیستم‌های قدیمی که ابزاری برای به‌روزرسانی ندارند، احساس کرد.

این یکی از آن روزهای نادری بود که اینترنت را متوقف می‌کردم که در طول مدتی که گزارشگر امنیتی بودم دیدم. در سال 2016، یک بات نت عظیم، رجیستری اینترنت Dyn را با ترافیک ناخواسته پر کرد که باعث شد بسیاری از خدمات برتر وب متوقف شوند. در سال 2017، کره شمالی از ابزارهای هک فاش شده دولت ایالات متحده برای آلوده کردن سیستم بهداشتی بریتانیا با باج افزار استفاده کرد. و در سال 2024، یک به‌روزرسانی معیوب CrowdStrike باعث قطعی گسترده جهانی شد که باعث شد اکثر رایانه‌های ویندوزی جهان به یکباره از کار بیفتند.

طبق تمام حساب‌های موجود در PHP2Shell، اینترنت از روزی که در غیر این صورت می‌توانست بسیار دردناک و مضر باشد، فرار کرد. اما بعید است که این آخرین حادثه بزرگی باشد که در وب رخ می دهد، و این ممکن است اولین مورد در روند حوادثی باشد که از ضعف های فناوری قدیمی سوء استفاده می کند. بسیاری از این به دلیل نقص‌های ذاتی در نرم‌افزارهای قدیمی اما فراگیر است که هنوز کشف نشده‌اند، همراه با ابزارهای هوش مصنوعی که یافتن نقص‌ها را آسان‌تر می‌کنند.

PHP، مانند سایر زبان‌ها و فن‌آوری‌های برنامه‌نویسی وب از دهه‌های پیش، «حافظه ناامن» است، به این معنی که می‌توان از طریق یک کلاس کامل از آسیب‌پذیری‌ها مورد حمله قرار گرفت که می‌تواند نرم‌افزار را مجبور به نشت یا ریختن داده‌های حساس از حافظه نرم‌افزار کند. آژانس امنیت ملی می‌گوید حدود 75 درصد از آسیب‌پذیری‌هایی که به طور فعال مورد سوء استفاده قرار می‌گیرند، از نقص‌های مربوط به حافظه سوء استفاده می‌کنند، یعنی هکرها از آن‌ها بسیار استفاده می‌کنند.

این به حرکت به سمت استفاده از زبان‌های ایمن برای حافظه، مانند Python، Rust، و Swift کمک کرده است، که نمی‌توان از آن‌ها مانند آسیب‌پذیری‌های حافظه سوء استفاده کرد. به این ترتیب، این زبان ها آنها را به طور گسترده ای در برابر طیف وسیعی از آسیب پذیری هایی که هنوز هم پیشینیان خود را تحت تأثیر قرار می دهد مصون می سازند.

اما این امر همچنان باعث می‌شود که بخش کاملی از اینترنت از دسته‌ای از فناوری‌ها مانند پی‌اچ‌پی، کدک‌های رسانه و ویدیو، کتابخانه‌های فشرده‌سازی و سایر نرم‌افزارهای دهه‌های پیش استفاده کند – که وقتی شکسته شوند، پیامدهای عظیمی برای بقیه وب خواهند داشت.

وقتی از طریق پیوندهای موجود در مقالات ما خرید می کنید، ممکن است کمیسیون کمی کسب کنیم. این بر استقلال تحریریه ما تأثیر نمی گذارد.

با او می توان از طریق پیام رمزگذاری شده در zackwhittaker.1337 در سیگنال تماس گرفت. همچنین می‌توانید از طریق ایمیل با او تماس بگیرید، یا برای تأیید ارتباط، در [email protected].

One Pass بخرید، جلد دوم رایگان را در بوت کمپ نهایی سال TechCrunch با آوردن هم بنیانگذار یا شریک خود به صورت کتاب رایگان قبل از انقضای قرارداد BOGO دریافت کنید.

اوبر تمام 30000 کارمند خود را در ChatGPT Work Lucas Ropek قرار می دهد

Airbnb کارهای خانه را برای مهمانان محدود می‌کند و با واکنش‌های منفی میزبان لورن فوریستال مواجه می‌شود

تسلا تولید ربات Optimus را در کالیفرنیا با کاهش 43 درصدی سود Kirsten Korosec شان اوکین آغاز کرد.

اینترنت روز بسیار بدی را در زمینه امنیت سایبری سپری می کند سارا پرز

مردم از هوش مصنوعی استفاده می کنند تا تلویزیون های هوشمند خود را دوباره احمق کنند سارا پرز