مهر
اخبار
PHP2Shell؛ دو حفره‌ی بحرانی PHP که با هوش مصنوعی OpenAI و گوگل پیدا شد
دو آسیب‌پذیری بحرانی با نام PHP2Shell که با کمک مدل‌های هوش مصنوعی OpenAI و گوگل کشف شدند، تقریباً همه‌ی نسخه‌های PHP را تهدید می‌کنند؛ زبانی که طبق برآورد Wiz حدود ۷۰ درصد وب‌سایت‌ها، از جمله وردپرس، روی آن اجرا می‌شود.
خبر امروز دنیای امنیت و هوش مصنوعی یک چیز را روشن کرد: مدل‌های زبانی دیگر فقط کد می‌نویسند، بلکه در پیدا کردن عمیق‌ترین حفره‌های نرم‌افزارهای قدیمی هم به ابزار اصلی پژوهشگران تبدیل شده‌اند. نتیجه‌ی این تغییر، موجی از اصلاحیه‌های اضطراری است که اگر مدیر سایت یا سرور هستید، باید جدی‌اش بگیرید.
لیست مطالب
بخش اول: PHP2Shell دقیقاً چیست؟
نام PHP2Shell را پژوهشگران برای مجموعه‌ای از دو آسیب‌پذیری حافظه در موتور PHP انتخاب کرده‌اند. این دو نقص با شناسه‌های CVE-2026-109618 و CVE-2026-109619 ثبت شده‌اند و بر اساس گزارش‌ها هر کدام در مقیاس CVSS نسخه ۴ امتیاز ۹٫۲ گرفته‌اند؛ یعنی در دسته‌ی بحرانی قرار دارند.
نقص نخست به بخش «پیشرفت آپلود» و فرایند بازسازی داده‌های سریال‌شده مربوط است و از نوع استفاده‌ی پس از آزادسازی حافظه (use-after-free) به شمار می‌آید. نتیجه‌ی آن می‌تواند افشای حافظه‌ی پردازشی سرور از راه دور باشد. نقص دوم هم در مسیر رسیدگی به خطاهای مرگبار رخ می‌دهد و با خراب شدن وضعیت اشتراکی OPcache ترکیب می‌شود. هر دو نقص در نهایت می‌توانند به خرابی حافظه و اجرای کد دلخواه برسند.
بخش دوم: چرا این آسیب‌پذیری این‌قدر خطرناک است؟
سه ویژگی این ماجرا را از یک باگ معمولی جدا می‌کند. اول اینکه حمله از راه دور انجام می‌شود و مهاجم به هیچ حساب کاربری یا رمز عبوری نیاز ندارد. دوم اینکه طبق توضیح Wiz، سوءاستفاده به برنامه‌ی روی سرور وابسته نیست و حتی یک برنامه‌ی ساده‌ی «Hello World» روی نسخه‌ی آسیب‌پذیر هم می‌تواند هدف قرار بگیرد. سوم اینکه افشای حافظه حتی وقتی برنامه هرگز از session_start استفاده نکرده باشد هم کار می‌کند.
پژوهشگران Wiz نشان دادند که این زنجیره روی جدیدترین تصویرهای کانتینری وردپرس، دروپال و جوملا قابل اجراست. افشای حافظه یعنی ممکن است رمزها، توکن‌ها، کلیدهای API و گواهی‌های موجود در درخواست‌های دیگر یا خود سرور بیرون بکشد. همین موضوع باعث شد نهادهایی مانند CERT-EU و NCSC بریتانیا برای سیستم‌هایی که فوراً قابل وصله نیستند، حتی پیشنهاد خاموش کردن موقت را بدهند و NSA آمریکا هم هشدار صادر کند.
بخش سوم: نقش هوش مصنوعی در کشف این نقص‌ها
برجسته‌ترین بخش داستان، روش کشف است. بر اساس گزارش‌ها، شرکت Calif در ماه اوت و در جریان یک ممیزی کد PHP که با حمایت مالی OpenAI و در چارچوب طرح «Patch the Planet» انجام می‌شد، نخستین باگ را با مدل GPT-5.6 Sol پیدا کرد. این تیم می‌گوید فقط از مدل‌های عمومی و در دسترس استفاده کرده و ابزار ویژه‌ای در کار نبوده است.
Wiz هم بعداً به‌صورت مستقل به همین مسئله رسید. این شرکت در گزارش خود از Wiz Atlas، مدل Gemini 4 Argon گوگل و GPT-5.6 Sol نام می‌برد و می‌گوید Gemini 4 Argon سهم ارزشمندی در یافتن آسیب‌پذیری داشته است. جالب است که دو رقیب بزرگ دنیای مدل‌های زبانی، این بار در یک پروژه‌ی دفاعی مشترک دیده می‌شوند.
البته همه‌ی طرف‌ها بر سر اهمیت مدل اتفاق‌نظر ندارند. OpenAI این مسئله را «یکی از اثرگذارترین مسائل امنیتی در حافظه‌ی اخیر» توصیف کرده، اما Calif معتقد است آشنایی با تاریخچه‌ی PHP از خود مدل مهم‌تر بوده است. شاید حقیقت در میانه باشد: مدل، سرعت و دامنه‌ی جست‌وجو را بالا می‌برد و تجربه‌ی انسانی جهت می‌دهد.
بخش چهارم: خط زمانی ماجرا
جدول زمانی منتشرشده توسط Wiz نشان می‌دهد این آسیب‌پذیری ماه‌ها پیش از انتشار عمومی شناسایی شده بود. نخستین نقص ۱۹ اوت ۲۰۲۶ کشف شد. روز بعد اجرای کد بدون احراز هویت روی دروپال و روز ۲۱ اوت روی وردپرس تأیید شد. گزارش به تیم امنیتی PHP در ۲۴ اوت رسید، تیم PHP در ۲۱ سپتامبر گزارش‌ها را پذیرفت و ساخت وصله را آغاز کرد و سرانجام در ۲۱ اکتبر نسخه‌های وصله‌شده و افشای عمومی همزمان انجام شد.
طبق گزارش The Next Web، زمان انتشار از پیش برای ساعت ۱۴ به وقت UTC تعیین شده بود، اما جزئیاتی در یک پست Hacker News درز کرد و تیم PHP انتشار را جلو انداخت. در همان فاصله، شرکت watchTowr پیش از انتشار هر وصله وجود نقص‌ها را تأیید کرد و سپس یک اثبات مفهوم (PoC) دست به دست شد. این یعنی پنجره‌ی مناسب برای وصله کردن بسیار کوتاه است.
بخش پنجم: کدام نسخه‌های PHP وصله شده‌اند؟
بر پایه‌ی گزارش The Next Web، نسخه‌های ۸٫۵٫۱۲، ۸٫۴٫۲۷، ۸٫۳٫۳۶ و ۸٫۲٫۳۵ منتشر شده‌اند. تیم PHP برای شاخه‌های بدون پشتیبانی ۷٫۴، ۸٫۰ و ۸٫۱ هم اصلاحیه‌های بک‌پورت‌شده ارائه کرده است. دامنه‌ی تأثیرگذاری نیز تا نسخه‌ی ۵٫۴ به بعد گزارش شده، هرچند خود PHP قدیمی‌ترین نسخه‌ی آسیب‌پذیر را مشخص نکرده است.
بیشترین خطر برای سرورهای Apache با ماژول mod_php است، چون در آنجا ممکن است درخواست حمله پیش از رسیدن به هر کد برنامه فعال شود. اگر هنوز روی یکی از نسخه‌های بدون پشتیبانی هستید، بروزرسانی به شاخه‌ی پشتیبانی‌شده جدی‌ترین توصیه است، نه صرفاً استفاده از بک‌پورت.
بخش ششم: اگر سایت وردپرسی دارید، همین حالا چه کنید؟
وردپرس روی PHP اجرا می‌شود، پس این خبر مستقیماً به شما مربوط است. تیم وردپرس نیز از مدیران سایت خواسته بروزرسانی کنند. توصیه‌ی عملی این است که مراحل زیر را به ترتیب انجام دهید:
- نسخه‌ی PHP سرور را از پنل هاست یا با پشتیبانی هاست بررسی کنید و به نسخه‌ی وصله‌شده ارتقا دهید.
- اگر هاست شما مدیریت‌شده است، از پشتیبانی بپرسید وصله‌ی PHP2Shell کی اعمال شده است.
- تا زمان وصله، از قوانین فایروال برنامه‌های تحت وب مثل Cloudflare، Fastly یا گوگل استفاده کنید؛ Cloudflare گزارش داده قوانین WAF را برای همه‌ی مشتریان، حتی حساب‌های رایگان، فعال کرده است.
- رمزها، توکن‌ها و کلیدهای API ذخیره‌شده روی سرور را پس از وصله تغییر دهید، چون افشای حافظه می‌تواند این اطلاعات را لو بدهد.
- از سایت پشتیبان کامل بگیرید و گزارش‌های سرور را برای نشانه‌های مشکوک بررسی کنید.
پژوهشگران Wiz به سه نشانه‌ی هشداردهنده اشاره می‌کنند: درخواست‌های چندبخشی غیرعادی که با خطای محدودیت حافظه دنبال می‌شوند یا پاسخ‌های مکرر ۵۰۰، کوکی‌های PHPSESSID بزرگ یا دست‌کاری‌شده، و بالا و پایین شدن بی‌دلیل پردازه‌های کارگر PHP. وصله کردن تنها راه کامل مقابله است و هیچ تغییر تنظیماتی جایگزین آن نمی‌شود.
بخش هفتم: این ماجرا درباره‌ی آینده‌ی امنیت با هوش مصنوعی چه می‌گوید؟
چند روز پیش از این، OpenAI در ادامه‌ی همین مسیر آمار «Patch the Planet» را منتشر کرد: بر اساس گزارش‌های خبری، ۶۸ مخزن کد بررسی شده، ۱۹۹۵ مسئله پیدا شده، ۶۷۹ وصله نوشته شده و ۴۶۶ مورد در بالادست پذیرفته شده است. اگر به این آمار اضافه کنیم که OpenAI انتظار دارد «یافته‌های مشابه در ماه‌های آینده به‌شدت افزایش پیدا کند»، تصویر روشن می‌شود: حجم افشای آسیب‌پذیری‌ها رشد می‌کند و زمان واکنش مدیران سیستم کوتاه‌تر می‌شود.
از سوی دیگر همین ابزارها در دست مهاجمان هم هستند. گزارش‌ها از سوءاستفاده‌ی گسترده از باگ‌های وردپرس که با هوش مصنوعی پیدا شده بودند در ماه ژوئیه خبر می‌دهند. بنابراین فاصله‌ی «کشف تا حمله» کم‌کم به ساعت‌ها نزدیک می‌شود و بروزرسانی خودکار و پایش مداوم از انتخاب به ضرورت تبدیل می‌شود. اگر دوست دارید درباره‌ی مرز توانایی و محدودیت این فناوری بیشتر بخوانید، مقاله‌ی توانایی‌ها و محدودیت‌های واقعی هوش مصنوعی را ببینید.
بخش هشتم: نکاتی برای کسب‌وکارهای کوچک و مدیران محتوا
خیلی از صاحبان کسب‌وکار فکر می‌کنند امنیت فقط وظیفه‌ی برنامه‌نویس است. اما وقتی نقصی در خود زبان سرور باشد، حتی بهترین قالب و افزونه هم جلوی آن را نمی‌گیرد. به همین دلیل مدیران محتوا و کارآفرینان باید دست‌کم سه کار ثابت داشته باشند: هاست قابل اعتماد با بروزرسانی منظم، نسخه‌ی پشتیبان بیرون از سرور، و یک فرد مسئول پیگیری اعلان‌های امنیتی. دلیل اهمیت هوش مصنوعی در تصمیم‌های کسب‌وکار را در اهمیت هوش مصنوعی در کسب‌وکار خوانده‌ایم و این خبر نمونه‌ی تازه‌ای از آن است.
اگر برای رصد خبرهای امنیتی و جمع‌بندی گزارش‌ها از چت‌بات‌ها کمک می‌گیرید، دقت در نوشتن دستور مهم است. راهنمای نوشتن پرامپت برای مبتدی‌ها و آموزش‌های چت‌جی‌پی‌تی در این زمینه کمک می‌کنند. شرکت سازنده‌ی این مدل‌ها را هم می‌توانید در مقاله‌ی OpenAI چیست بشناسید.
پرسش‌های متداول درباره‌ی PHP2Shell
آیا همه‌ی سایت‌های وردپرسی در خطرند؟
خطر مربوط به سرورهایی است که از یک نسخه‌ی وصله‌نشده‌ی PHP استفاده می‌کنند. سایتی که روی نسخه‌ی وصله‌شده اجرا شود از این دو نقص در امان است. پس مهم‌ترین اقدام، بررسی نسخه‌ی PHP سرور است، نه بروزرسانی افزونه‌ها.
آیا با بروزرسانی وردپرس مشکل حل می‌شود؟
خیر. نقص در خود PHP است، نه در هسته‌ی وردپرس. بروزرسانی وردپرس خوب و لازم است، اما فقط ارتقای PHP روی سرور از این آسیب‌پذیری جلوگیری می‌کند.
اگر نتوانم فوراً وصله کنم چه کنم؟
از قوانین WAF سرویس‌هایی مثل Cloudflare استفاده کنید و ترافیک مشکوک را زیر نظر بگیرید. اما خود PHP تأکید کرده هیچ پیکربندی جای وصله را نمی‌گیرد، و مراجع اروپایی و بریتانیایی برای سیستم‌های حساس حتی خاموش کردن موقت را توصیه کرده‌اند.
چرا این خبر به هوش مصنوعی مربوط می‌شود؟
چون نخستین نقص با مدل GPT-5.6 Sol پیدا شد و Wiz هم از Gemini 4 Argon و همان مدل کمک گرفت. این یعنی مدل‌های هوش مصنوعی در کشف آسیب‌پذیری‌های عمیق به سطح کاربردی رسیده‌اند. برای خبرهای بیشتر، بخش اخبار هوش مصنوعی را دنبال کنید.
آیا همه‌ی جزئیات فنی منتشر شده است؟
خیر. گزارش‌های موجود بخشی از سازوکار فنی و دقیق‌ترین محدوده‌ی نسخه‌های آسیب‌پذیر را توضیح نمی‌دهند. بهتر است به اطلاعیه‌های رسمی PHP و گزارش Wiz مراجعه کنید و فقط به همین خلاصه بسنده نکنید.
نسخهٔ فوری این مطلب در تلگرام: اینجا بخوانید
