«این یک تمرین نیست»: آسیب‌پذیری‌های حیاتی PHP اینترنت را به آتش می‌کشند

تیم‌های امنیت اینترنت و مدیریت وب در سراسر جهان برای جلوگیری از فاجعه گسترده تلاش می‌کنند. روز چهارشنبه، توسعه‌دهندگان زبان برنامه‌نویسی پرکاربرد PHP، به‌روزرسانی‌های امنیتی اضطراری را منتشر کردند که برای رفع نقص‌های حیاتی طراحی شده‌اند که می‌توان از آنها برای به دست آوردن کنترل از راه دور خطرناک سیستم‌های قربانی سوء استفاده کرد. بنیاد PHP دو آسیب‌پذیری حیاتی - CVE-2026-109618 و CVE-2026-109619 - را که بر «تمام نصب‌های پی‌اچ‌پی که به درخواست‌های وب سرویس می‌دهند» تأثیر می‌گذارند، به نسخه 5 PHP که در ژوئیه 2004 منتشر شد، توضیح داد.

با این حال، طبق هشدار، فقط PHP 8.2 و جدیدتر هنوز پشتیبانی می شود و وصله ها را دریافت خواهند کرد. با این حال، بنیاد PHP خاطرنشان کرد که برخی از توزیع‌های PHP و فروشندگان شخص ثالث همچنان اصلاحات قدیمی را تولید می‌کنند. این اخطار قابل توجه است، زیرا لایه‌های وب اساسی و فراگیر مانند PHP می‌توانند در زیرساخت‌های اینترنتی تاریخی فراموش شده و به‌روزرسانی نشده باقی بمانند. بنیاد PHP در توصیه های خود نوشت: "هیچ کاهش کامل وجود ندارد، به روز رسانی تنها انتخاب مطمئن است."

کارشناسان امنیتی نسبت به عواقب وخیم احتمالی نادیده گرفتن سیستم های اصلاح نشده هشدار می دهند. لوکاس اولجنیک، مشاور امنیت مستقل و پژوهشگر ارشد در کینگز کالج لندن می گوید: «این یک تمرین نیست. از زمان توسعه آن در دهه 1990، PHP به یک زبان برنامه نویسی ضروری برای توسعه وب تبدیل شده است و در بخش های وسیعی از اینترنت در وب سایت ها و نرم افزارها استفاده می شود.

همه چیز از سیستم های انتشاراتی مانند وردپرس و دروپال گرفته تا پلتفرم های تجارت الکترونیک مانند Adobe's Magento بر روی PHP ساخته شده اند. اولجنیک استفاده گسترده از زبان برنامه نویسی را به زیرساخت های حیاتی تشبیه می کند. او درباره نقص‌های امنیتی PHP می‌گوید: «تأثیر آن بسیار زیاد است» و می‌افزاید که میلیون‌ها سیستم ممکن است تحت تأثیر قرار بگیرند. "به خصوص اگر مهاجمان به سرعت به سوء استفاده از این آسیب پذیری ها روی بیاورند.

بدترین حالت این است که بدافزارهای کرم‌خورده بر بخش‌های بزرگی از اینترنت تأثیر می‌گذارند.» ترس اصلی برای تیم های امنیتی و توسعه دهندگان این است که هکرهای مخرب می توانند به سرعت به آسیب پذیری ها بپردازند و قبل از رفع آنها شروع به سوء استفاده از استقرار کنند. شرکت زیرساخت اینترنتی Cloudflare گزارش داد که قبل از اینکه بنیاد PHP آسیب‌پذیری‌ها را به تفصیل توضیح دهد و رفع‌های آن را منتشر کند، «میزان حملات اولیه در حال ظهور بوده است».

شرکت امنیتی Sansec قبل از رفع این مشکل که درست قبل از ساعت 10 صبح روز چهارشنبه منتشر شد، نوشت: "ما انتظار داریم حملات گسترده در عرض 15 دقیقه پس از انتشار آغاز شود." دیوی اوتنهایمر، مشاور امنیت و انطباق قدیمی، می‌گوید: «بیشتر وب با PHP اجرا می‌شود و این باگ در یک رابط آپلود فایل است که مانند درب ورودی بدون قفل است. "یک مهاجم نیازی ندارد که بداند به کدام سایت ضربه می زند یا حتی نرم افزار واقعی را که اجرا می کند.

آنها یک آپلود دستکاری شده را به هر سروری که می توانند پیدا کنند ارسال می کنند و این کل حمله است." قبل از در دسترس قرار گرفتن نسخه های به روز شده PHP، برخی از سازمان ها وب سایت های خود را به عنوان یک اقدام احتیاطی آفلاین کردند. بر اساس گزارش ها، چندین سایت متعلق به دولت فنلاند، از جمله نقشه برداری ملی زمین، غیرقابل دسترس بود. به گزارش رویترز، وب سایت های دولت فرانسه و وب سایت بندر روتردام نیز آفلاین بودند. اولجنیک می‌گوید: «همه باید فورا وصله کنند، بهره‌برداری ممکن است بسیار سریع و در مقیاس انجام شود.

هوش مصنوعی بهره‌برداری از چنین آسیب‌پذیری‌هایی را اهمیت فوری می‌دهد، مثلا یک دقیقه یا بیشتر.» شرکت امنیتی Wiz که متعلق به گوگل است، ادعا کرد که محققان آن آسیب‌پذیری‌ها را در PHP تا حدی با استفاده از ابزارهای هوش مصنوعی کشف کرده‌اند، در حالی که OpenAI و شرکت امنیتی Calif نیز می‌گویند که به طور مستقل این مشکلات را کشف کرده‌اند و با هم کار کرده‌اند.

محققان Wiz با دوبله کردن یک نمایش بهره برداری php2shell، می نویسند که در برخی موارد می توان به راحتی از آسیب پذیری ها سوء استفاده کرد. Wiz در تحقیق خود می نویسد: «این آسیب پذیری ها می توانند به مهاجمان غیرقانونی اجازه دهند تا کد را روی سرورهای آسیب دیده اجرا کنند یا حافظه پردازش حساس را بخوانند. "این حافظه ممکن است حاوی رمزهای عبور، نشانه های احراز هویت، کلیدهای API و گواهی های متعلق به سایر درخواست ها یا خود سرور باشد." جزئیات آسیب‌پذیری‌های آتی برای اولین بار در 20 اکتبر توسط نگهبانان پشت PHP ظاهر شد.

در یک پست کوتاه در وب‌سایت PHP، بنیاد پی‌اچ‌پی نوشت که در مورد نقص‌های امنیتی و انتشار آتی اصلاحات «پیش‌پیش اطلاعیه» می‌دهد. در حالی که جزئیات خاصی در مورد آسیب‌پذیری‌ها یا نسخه‌های تحت تأثیر را حذف کرد، گفت که هر دو نقص دارای امتیاز «بحرانی» 9.2 از 10 در سیستم امتیازدهی آسیب‌پذیری مشترک (CVSS) هستند. هشدار امنیتی در سایت PHP قبل از انتشار روز چهارشنبه گفت: «ما حق انتشار زودتر در صورت عمومی شدن جزئیات هر یک از آسیب‌پذیری‌ها یا اگر شواهدی از بهره‌برداری فعال در طبیعت ظاهر شود را برای خود محفوظ می‌دانیم».

طبق گزارش‌های Bleeping Computer و Ars Technica، ممکن است برخی جزئیات در مورد آسیب‌پذیری‌ها قبل از انتشار رسمی به بیرون درز کرده باشد. هشدار اولیه بنیاد PHP ممکن است به برخی از توسعه‌دهندگان، تیم‌های امنیتی و شرکت‌ها توجه کافی داده باشد تا آماده شدن برای به‌روزرسانی سیستم‌ها با استفاده از PHP را آغاز کنند.

پیش از انتشار جزئیات، هشدارهایی از سوی تیم واکنش اضطراری کامپیوتری اتحادیه اروپا (EU-CERT) و آژانس امنیت سایبری استرالیا اعلام کرد که تیم‌های فناوری اطلاعات باید آماده باشند تا سیستم‌های خود را در اسرع وقت به‌روزرسانی کنند، با پتانسیل آفلاین شدن وب‌سایت‌ها در حین اعمال اصلاحات. به طور مشابه، مرکز ملی امنیت سایبری بریتانیا (NCSC) هشداری را منتشر کرد که می‌گوید سازمان‌ها باید برای به‌روزرسانی فوری سیستم‌ها با استفاده از PHP آماده شوند.

آژانس آنلاین نوشت: «در مواردی که اصلاح فوری امکان‌پذیر نیست، سازمان‌ها باید سیستم را آفلاین کنند تا زمانی که به طور کامل کاهش یابد.» NCSC توصیه می کند که سازمان ها و مشاغل باید سیستم هایی را که PHP را در زیرساخت های فناوری خود اجرا می کنند شناسایی کنند. باید تمرکز خاصی روی سیستم‌هایی که از PHP استفاده می‌کنند و به اینترنت متصل هستند، از جمله نظارت بر آنها برای هرگونه بهره‌برداری بالقوه باشد.

گام بعدی اعمال به‌روزرسانی‌های PHP است که در دسترس هستند و نظارت بر به‌روزرسانی‌های شرکت‌های نرم‌افزار، زیرا ممکن است از PHP در برنامه‌ها یا خدمات خود استفاده کنند. برت لدرمن، دستیار مدیر سایبری FBI به صورت آنلاین در پستی آنلاین نوشت: «اگر نشانه‌هایی از سازش پیدا کردید، سیستم را ایزوله کنید، سرور وب و گزارش‌های PHP خود را حفظ کنید و آن را به دفتر محلی FBI خود گزارش دهید. این گزارش‌ها به ما کمک می‌کند تا عوامل درگیر را شناسایی کنیم و به سازمان‌های دیگر قبل از قربانی شدن هشدار دهیم.»