جزئیات تازه از بحران PHP. این آسیب پذیری خطرناک به مدت دو سال نادیده گرفته شد

کشف یک آسیب پذیری حیاتی در زبان برنامه نویسی PHP توسط مدل هوش مصنوعی OpenAI، ساختار امنیتی بخش بزرگی از وب‌سایت ها با چالش جدی مواجه شده اند.

به گزارش سرویس امنیت سایبری تکناک، در 19 اکتبر 2026، انتشار خبری مبنی بر شناسایی یک رخنه امنیتی مهم در موتور زبان PHP توسط مدل GPT 5.6-Sol متعلق به شرکت OpenAI، شوک بزرگی را به جامعه فناوری و متخصصان امنیت اطلاعات وارد کرد. زبان PHP ستون فقرات اکثر وب سایت های فعال در جهان است و نزدیک به 70 درصد از وب سایت ها را به صورت آنلاین میزبانی می کند. با توجه به ابعاد حضور این فناوری در ساختار اینترنت، بروز هرگونه خطای عملکردی یا حفره نفوذ می تواند پیامدهایی در مقیاس جهانی داشته باشد.

بررسی جزئیات این حادثه نشان می دهد که هسته اصلی ماجرا تنها کشف یک آسیب پذیری فنی جدید نیست، بلکه نتیجه انباشت طولانی مدت بدهی فنی، نادیده گرفتن هشدارهای امنیتی در سال های گذشته و رواج نسخه های قدیمی در سرورهای فعال است. این مشکل ساختاری اکنون به لطف قابلیت‌های پردازشی عوامل هوش مصنوعی مدرن آشکار شده است. ابزارهایی که خطوط کد را با سرعت بسیار بالا تجزیه و تحلیل می کنند و مکانیزم های نفوذ عملیاتی را در مدت زمان کوتاهی طراحی می کنند.

ریشه ساختاری خطا و ماهیت اکسپلویت PHP2Shell

بررسی های فنی نشان می دهد که منشاء این نقص به یک تصمیم معماری بسیار قدیمی در مکانیزم رسیدگی به خطا در موتور PHP برمی گردد. در ساختار داخلی این زبان، زمانی که یک فرآیند پردازشی با کمبود حافظه مواجه می شود، تابع longjmp در زبان C فراخوانی می شود. ماهیت این تابع به گونه ای است که فرآیند اجرا را بدون گذراندن مراحل عادی به قسمت دیگری هدایت می کند. معمولاً استفاده از این عملکرد برای رسیدگی به خطا بدون اقدامات احتیاطی ساختاری توصیه نمی شود، اما فاجعه اصلی در طی مراحل تخصیص حافظه رخ می دهد.

اگر زمانی که موتور PHP در وسط ساخت یک ساختار داده، مانند افزودن یک آیتم جدید به لیست یا ایجاد یک شی، پرش حافظه رخ دهد، ممکن است داده های ناقص در حافظه باقی بماند. در این شرایط، زمانی که موتور PHP اجرای برنامه را به فرآیند پاکسازی و خروج هدایت می کند، کد پاکسازی فرض می کند که داده ها کامل است. در حالی که با داده های ناقص و ناقص سروکار داریم.

مهاجمان سایبری با بهره برداری از این رفتار و تزریق کد دستکاری شده به درخواست های وب، این نقص را به یک نقطه نفوذ مرگبار تبدیل کرده اند. در این حالت مهاجم موفق می شود دستورات مورد نظر خود را بر روی سرور قربانی اجرا کند. این فرآیند منجر به شکل گیری حمله ای به نام PHP2Shell شد که در آن مهاجمان می توانستند کنترل خط فرمان سرورها را در دست بگیرند. اگرچه اجرای موفق این کد مستلزم شناخت دقیق نسخه و ساختار بیلد PHP بر روی سرور است، اما یکنواختی سیستم های مورد استفاده در وب و استفاده از میلیون ها سرور از همان نسخه، کار مهاجمان را بسیار آسان کرده است.

بدهی فنی و بحران نسخه های منسوخ شده

پس از علنی شدن این نقض، جامعه امنیتی فراتر از خود خطا نگاه کرد و متوجه وضعیت خطرناک تری شد. داده‌ها نشان می‌دهند که در زمان کشف این نقص، 73 درصد از سرورهای PHP در وب دارای نسخه‌های کاملاً قدیمی و پشتیبانی نشده بودند. این موضوع عمق بی توجهی عمومی به توسعه زیرساخت ها را نشان داد.

در پایان سال 2020، پروژه PHP با عبور از نسخه 7.4 به 8.0 گام بزرگی برداشت. این تغییر با اصلاحاتی در برخی عملکردها همراه بود و نرم افزار برای سازگاری نیاز به بررسی و به روز رسانی داشت. بسیاری از مدیران فناوری اطلاعات به امید دریافت وصله های پشتیبانی از توزیع های لینوکس، به ویژه آنهایی که پشتیبانی طولانی مدت دارند، سیستم های خود را به روز نکردند. این بی توجهی تا جایی پیش رفت که حتی نسخه های قدیمی مانند 7.3 که در سال 2018 منتشر شد، به طور گسترده روی سرورها باقی ماند. فاجعه‌بارتر، نزدیک به 8 درصد از نصب‌ها همچنان سری 5 را اجرا می‌کردند که به سال 2005 بازمی‌گردد.

علاوه بر میزبانی وب سایت ها، مجموعه ای از سخت افزارهای شبکه، سرورهای ذخیره سازی شبکه و ابزارهای سازمانی نیز از موتور PHP به صورت داخلی استفاده می کنند. به عنوان مثال، شرکت امنیتی Palo Alto Networks مجبور شد برای سیستم‌هایی که سیستم عامل PanOS خود را اجرا می‌کنند، هشدارهای امنیتی رسمی صادر کند و بسته‌هایی را تعمیر کند.

چالش های انسانی و ساختاری بنیاد PHP

گزارش تحلیلی منتشر شده توسط بنیاد PHP نقاط ضعف اساسی نگهداری نرم افزارهای حیاتی را آشکار کرد. به نظر می رسد که تیم توسعه دو سال پیش از این رفتار در ساختار مدیریت خطای حافظه آگاه بوده است. با این حال، به دلیل نگرانی در مورد از دست دادن سازگاری با افزونه ها و بسته های جانبی، رفع آن بارها به تعویق افتاد و یک خطر جدی در نظر گرفته نشد.

تیم توسعه اعتراف کرد که چندین اشتباه مدیریتی در اولویت بندی این موضوع وجود داشته است. اما ساختار سازمانی آنها نیز به این کاستی ها کمک کرده است. زیرساختی که تقریباً سه چهارم فعالیت وب به آن وابسته است تنها توسط یک کارمند تمام وقت و 14 پیمانکار پاره وقت مدیریت می شد. این وضعیت بازتابی از معضل بحرانی نرم افزار منبع باز در دنیای امروز است. نرم افزاری که ارکان اقتصاد دیجیتال دنیا به آن وابسته است، اما توسعه و نگهداری آن بر عهده چند برنامه نویس با حداقل امکانات و دستمزد است.

با ورود عوامل هوش مصنوعی پیشرفته ای که توانستند کدهای چند دهه گذشته را موشکافی کنند، فرصت واکنش تدریجی و سنتی از جامعه امنیت سایبری سلب شد. پیش از این، مهلت افشای آسیب‌پذیری 90 روزه فرصتی را برای بررسی نقص‌ها و انتشار بی‌صدا وصله‌های امنیتی فراهم می‌کرد. اما ابزارهای مبتنی بر مدل‌های زبانی بزرگ، نقص‌ها را با سرعت بالا شناسایی می‌کنند، که مکانیسم زمان‌بندی سنتی را برای رسیدگی به آسیب‌پذیری‌ها ناکارآمد می‌کند.

راه حل های فنی، وصله های دیرهنگام و ابزارهای کاهش

پس از اعلام عمومی، روند ارتقاء مدیرانی که از نسخه‌های فعال 8.1 به 8.5 استفاده می‌کردند، با یک به‌روزرسانی ساده حل شد، اما صاحبان میلیون‌ها وب‌سایت قدیمی در کمین ماندند. همانطور که بنیاد PHP وصله های منبع را تا نسخه 7.4 ارائه کرد، موجی از تلاش های مستقل پدید آمد. توسعه دهندگانی مانند Ondřej Surý بسته های وصله شده را برای شاخه های Debian و Ubuntu از نسخه های 6.5 تا 8.1 منتشر کردند. همچنین شرکت های فعال در زمینه سرور مانند CloudLinux و AlmaLinux به روز رسانی های خود را منتشر کردند.

برای سیستم‌های قدیمی‌تری که صاحبان آن‌ها تمایلی به بازنویسی کد نداشتند، شرکت‌های تجاری با خدمات پشتیبانی گسترده مانند Ubuntu Pro و Zend وصله‌هایی را تا نسخه 5.5 طراحی کردند. با این حال، کارشناسان تاکید می‌کنند که این اصلاحات تنها یک اسکان موقت هستند، زیرا سیستم‌های مبتنی بر کدهای قدیمی در معرض ده‌ها آسیب‌پذیری ساختاری دیگر هستند.

علاوه بر وصله مستقیم، ابزارهای حفاظتی میان افزار نقش مهمی در کنترل گسترش حملات داشتند:

• فایروال های برنامه های کاربردی وب مانند Immunify360 ترافیک مخرب را قبل از رسیدن به موتور پردازش سرور شناسایی و مسدود می کنند.
• شبکه های تحویل محتوا مانند Cloudflare و Fastly الگوهای حمله خاص PHP2Shell را شناسایی کرده و آنها را به فایروال خود اضافه کرده اند.
• پلتفرم‌های امنیتی سطح سرور مانند سیستم‌های CrowdStrike قادر به شناسایی و توقف فرآیندهای غیرعادی ناشی از باینری‌های آلوده در طول اجرا بودند.

آثاری از حملات پیچیده و چشم انداز فعلی شبکه

عواقب این نقص امنیتی به اهداف کسب و کار کوچک محدود نمی شود. در یکی از نگران‌کننده‌ترین موارد ثبت شده، گروه‌های هکر توانستند مجوزهای دسترسی به سطح هسته لینوکس را با زنجیره‌ای کردن یک آسیب‌پذیری PHP و بهره‌برداری معروف به Fragnesia افزایش دهند. این کمپین سایبری منجر به نفوذ 25 سرور با دسترسی عمیق شد که منابع امنیتی تایید کرده اند که به سیستم های دولتی ایالات متحده متصل هستند.

شرکت مانیتورینگ BitSight در گزارش‌های خود ثبت کرده است که هزاران تلاش برای نفوذ از مکان‌های جغرافیایی مختلف با هدف اجرای PHP2Shell شناسایی شده است. اگرچه در روزهای اولیه، ابزارهای حمله عمومی جامع توسعه نیافته بودند و نفوذها به صورت هدفمند انجام می شد، توسعه سناریوهای حمله یکپارچه نگرانی های جدی را ایجاد کرد.

برای مقابله با این بحران، تعداد زیادی از مدیران شبکه نمایش شماره نسخه PHP سرورهای خود را غیرفعال کرده اند تا ابزارهای اسکن خودکار موفق به شناسایی نسخه دقیق نرم افزار نشوند. بر اساس ارزیابی‌های سیستم‌های مانیتورینگ، بیش از 62 درصد سرورهای مورد بررسی از اعلام شماره نسخه خودداری می‌کنند که تخمین دقیق سیستم‌های سالم را بسیار دشوار می‌کند.

بر اساس این گزارش تامز هاردوریک پایش بلادرنگ سیستم ها توسط Censys نشان داد که از 119 میلیون سیستم تحت نظارت، 45.7 میلیون سرور در ابتدا آسیب پذیر بودند. این تعداد پس از تلاش‌های گسترده برای رفع این آسیب‌پذیری به حدود ۲۹ میلیون سرور وصله‌نشده کاهش یافت. این روند نشان می دهد که روزانه حدود یک میلیون سرور به روز می شود.

با وجود این پیشرفت، ده‌ها میلیون سیستم آسیب‌پذیر باقیمانده در وب نشان می‌دهد که پیامدهای این بحران امنیتی برای ماه‌ها ادامه خواهد داشت و تضاد بین ابزارهای خودکار تشخیص آسیب‌پذیری و روش‌های سنتی نگهداری سیستم‌ها وارد مرحله جدیدی شده است.