PHP2Shell: دو آسیب‌پذیری بحرانی اجرای کد در PHP که با کمک هوش مصنوعی ساخته شد

چه اتفاقی افتاده است

دو شناسه CVE-2026-109618 و CVE-2026-109619 با امتیاز CVSS برابر ۹٫۲ ثبت شده‌اند. اولی به باگ use-after-free در بخش unserialize مربوط به upload-progress برمی‌گردد و دومی به use-after-free در backtrace خطای مرگبار، همراه با type confusion در OPcache. هر دو در هسته خود PHP هستند، نه در یک برنامه خاص مثل وردپرس.

به گفته Wiz، مهاجم با درخواست‌های multipart POST و داده نادرست نشست، در حین پردازش درخواست خطای کمبود حافظه ایجاد می‌کند. این کار وضعیت داخلی PHP را برای درخواست‌های بعدی خراب می‌کند و در نهایت به اجرای کد می‌رسد. پژوهشگران گفته‌اند اجرای کد را روی وردپرس، دروپال و جوملا نشان داده‌اند و هر نسخه PHP از ۵٫۴ به بعد دست‌کم به یکی از این دو نقص آسیب‌پذیر است.

طبق گزارش The Register، نسخه‌های آسیب‌پذیر در شاخه‌های فعلی ۸٫۲ تا ۸٫۵ هستند و وصله‌ها در PHP 8.5.12، 8.4.27، 8.3.36 و 8.2.35 آمده‌اند. استقرارهای PHP-FPM، Apache mod_php، php-cgi، FrankenPHP و LiteSpeed را در معرض خطر دانسته‌اند. خطر برای mod_php بیشتر است، چون حمله پیش از رسیدن به کد برنامه اجرا می‌شود.

کشف با کمک هوش مصنوعی و زمان‌بندی افشا

نکته برجسته ماجرا روش کشف است. Wiz می‌گوید با ترکیب چند مدل پیشرو هوش مصنوعی هم نقص‌ها را پیدا کرده و هم اکسپلویت ساخته است. به گفته این شرکت، ساخت اکسپلویت نیازمند زنجیره‌کردن چند ضعف و تطبیق با چیدمان حافظه هر هدف بود و یک پژوهشگر کاری را در یک هفته انجام داد که پیش‌تر ماه‌ها کار یک تیم بسیار مجرب می‌طلبید. این ادعا از طرف خود شرکت است و مستقل راستی‌آزمایی نشده.

بر اساس خط زمانی Wiz، کشف اولیه ۱۹ اوت بود و اجرای کد روی دروپال و وردپرس تا ۲۱ اوت تأیید شد. گزارش به تیم امنیتی PHP در ۲۴ اوت رفت، کار روی وصله از ۲۱ سپتامبر شروع شد و وصله‌ها همراه با افشای عمومی در ۲۱ اکتبر منتشر شدند. به گفته Wiz، ارائه‌دهندگان ابری و CDN پیش از افشا قوانین WAF آماده کرده بودند.

واکنش‌ها و توصیه‌ها

به گزارش The Register، تیم watchTowr از سوءاستفاده در دنیای واقعی خبر داده است. چند سایت دولتی و پارلمانی در اروپا، از جمله خدمات دولتی فنلاند و سایت‌های پارلمان هلند، و نیز سازمان noyb به‌عنوان اقدام احتیاطی موقتاً آفلاین شدند. تیم PHP توصیه کرده فوراً به‌روزرسانی کنید و CERT-EU گفته اگر وصله ممکن نیست، برنامه‌های متصل به اینترنت را تا زمان وصله ایزوله کنید.

Wiz برای تشخیص حمله این نشانه‌ها را پیشنهاد می‌کند: درخواست‌های multipart غیرعادی که با خطای محدودیت حافظه دنبال می‌شوند، خطاهای مکرر HTTP 500، کوکی‌های PHPSESSID مخدوش و ری‌استارت‌های بی‌دلیل worker های PHP.

چرا برای برنامه‌نویس‌ها مهم است

PHP پشت بخش بزرگی از وب، از وردپرس تا فروشگاه‌ساز و سیستم‌های سفارشی، قرار دارد و Wiz حدود ۷۰ درصد وب‌سایت‌ها را در دامنه اثر می‌داند. چون ایراد در خود زبان است، به‌روزرسانی افزونه یا پوسته کمکی نمی‌کند و باید خود PHP روی سرور ارتقا یابد. این به‌ویژه برای میزبانی‌های اشتراکی و سرورهایی که نسخه PHP را از بسته‌های توزیع می‌گیرند اهمیت دارد، چون باید منتظر بسته وصله‌شده توزیع ماند و نسخه فعلی را بررسی کرد.

برای مدیران سایت‌های ایرانی هم موضوع مهم است. دسترسی به بسته‌های رسمی و مخازن ممکن است کند یا محدود باشد، پس بهتر است همین حالا نسخه نصب‌شده را بررسی و برای به‌روزرسانی از آینه‌های معتبر اقدام کنید. همچنین بحث گسترده‌تر این است که هوش مصنوعی فاصله بین «نقص نظری» و «اکسپلویت عملی» را کوتاه می‌کند و زمان مناسب برای وصله‌کردن کوتاه‌تر می‌شود.