هشدار امنیتی در مورد PHP2Shell. هکرها از این آسیب پذیری سوء استفاده می کنند

دو آسیب‌پذیری حیاتی PHP2Shell با شناسه‌های CVE-2026-109618 و CVE-2026-109619 برای اولین بار با موفقیت در حملات واقعی مورد سوء استفاده قرار گرفتند.

بر اساس این گزارش خدمات امنیت سایبری یک مرحله ای، عادل کریمیمسئول تشخیص و پاسخ تهدید در Perplexity، این فعالیت مخرب را شناسایی کرد. هانی پات های او شواهدی از اجرای کد از راه دور تایید شده در برابر یک نمونه Apache mod_php با PHP 8.4.26 را ثبت کردند.

حتما بخوانید: تیم امنیتی PHP راه حل آسیب پذیری جدیدی را بدون پچ منتشر کرد

سوء استفاده هکرها از آسیب پذیری PHP2Shell

کریمی تاکید کرد که شواهد موجود از اجرای موفق کد از راه دور با افشای اطلاعات حافظه قابل استفاده پشتیبانی می کند. بنابراین موضوع تنها به کرش شدن برنامه و اجرای یک فرآیند مشکوک پس از آن محدود نمی شود. به گفته وی، پاسخ سیستم حاوی یک نسخه رمزگشایی شده از اطلاعات کوکی 800 کیلوبایتی است. همچنین آدرس تابعی که از این داده ها با استفاده از افست های اکسپلویت عمومی استخراج شده بود در بار اجرایی بعدی مشاهده شد.

او اظهار داشت که شواهد زنجیره ای از بهره برداری را در یک پیکربندی خاص از mod_php با یک فرآیند کاری نشان می دهد. پیکربندی که شرایط مساعدی را برای حمله فراهم می کند. بنابراین، این یافته‌ها را نمی‌توان معیاری برای قابلیت اطمینان اکسپلویت در پیکربندی‌هایی با تعداد فرآیندهای کاری مختلف، نسخه‌های دیگر PHP یا برنامه‌های مختلف در نظر گرفت.

بیشتر بخوانید: زوج چینی هزاران نفر را هدف کلاهبرداری سایبری با اینترنت هتل قرار دادند

مارکوس هاچینز، محقق تهدید در اکسپل نیز یافته های کریمی را تایید کرد. هاچینز قبلا چندین گزارش از سوء استفاده موفقیت آمیز از آسیب پذیری PHP2Shell را بررسی کرده بود. او گفت: “این مطمئن‌ترین تاییدیه‌ای است که تا به حال در مورد بهره‌برداری واقعی PHP2Shell دیده‌ام. این تحلیل فنی عمیق، تلاش موفقیت‌آمیز برای بهره‌برداری از نصب Apache mod_php با PHP 8.4.26 را بررسی می‌کند.”

آژانس امنیت سایبری و امنیت زیرساخت ایالات متحده (CISA) روز جمعه یک قانون تشخیص مبتنی بر SIGMA برای شناسایی تلاش‌ها برای سوء استفاده از آسیب‌پذیری RCE در PHP2Shell منتشر کرد. با این حال، آژانس هنوز این آسیب‌پذیری‌ها را به عنوان سوءاستفاده‌های تایید شده در حملات واقعی علامت‌گذاری نکرده است.

راه حل چیست؟

تیم امنیتی PHP وصله‌های امنیتی را برای آسیب‌پذیری PHP2Shell در روز چهارشنبه، 21 اکتبر منتشر کرد. این حرکت یک روز پس از آن انجام شد که از مدیران سیستم خواسته شد تا به‌محض انتشار به‌روزرسانی‌ها را آماده نصب کنند. قبل از انتشار وصله‌ها، جزئیات آسیب‌پذیری‌های PHP2Shell، از جمله شناسه‌های CVE و توصیه‌های کاهش خطر ارائه‌شده به برخی از اپراتورهای زیرساخت حیاتی، به‌صورت آنلاین به بیرون درز کرد. علاوه بر این، چندین اکسپلویت اثبات مفهوم (PoC) نیز قبل از انتشار رسمی وصله‌ها منتشر شد.

با این حال، تیم امنیتی PHP اظهار داشت که هیچ یک از این نمونه ها کاربردی نبودند. چندین شرکت امنیت سایبری از جمله Cloudflare، Hadrian، watchTowr، Previdian و Patchstack نیز تلاش هایی را برای سوء استفاده از آسیب پذیری ها قبل از افشای عمومی شناسایی کردند، اما همه تلاش ها ناموفق تلقی شدند.

محققان آمازون Threat Intelligence همچنین حملاتی را شناسایی کردند که آسیب‌پذیری PHP2Shell را چهار روز قبل از انتشار وصله‌ها هدف قرار می‌دهند. با این حال، طبق گفته تیم تحقیقاتی مهندسی سایبری و تهدیدات TRACE Dataminr، فعالیت‌های مخرب قبل از یافته‌های کریمی به اسکن، سیستم‌های انگشت نگاری و استفاده از اکسپلویت‌های غیرعملیاتی محدود می‌شد و هیچ نفوذ موفقی شناخته نشد.

تیم امنیتی PHP روز جمعه همچنین یک آسیب‌پذیری جدید اجرای کد از راه دور با شناسه CVE-2026-115560 را اعلام کرد و راه‌حل‌هایی برای کاهش خطر ارائه کرد. این آسیب پذیری هنوز اصلاح نشده است و تنها در صورتی می توان از آن سوء استفاده کرد که سیستم هدف از ترکیب غیرعادی تنظیمات و کد برنامه استفاده کند.

بیشتر بخوانید: آسیب پذیری PHP وب سایت های دولتی اروپایی و کانادا را از بین می برد

توسعه دهندگان PHP توصیه کرده اند که مدیران سیستم با تنظیم گزینه منتظر بمانند تا پچ منتشر شود session.upload_progress.enabled=0 جلوگیری از حملات احتمالی این راه حل قبل از انتشار وصله های امنیتی آسیب پذیری PHP2Shell نیز توصیه می شد. PHP یا Hypertext Preprocessor یک زبان برنامه نویسی پرکاربرد در توسعه وب است که بر اساس برآوردهای اخیر VirusTotal، حدود 70 درصد از وب سایت های موجود در اینترنت از آن استفاده می کنند. بیش از 5.1 میلیون هاست PHP به صورت آنلاین در معرض دید هستند و حدود 3.8 میلیون هاست حداقل یک پورت باز دارند که می تواند سطح حمله را در برابر تهدیدات سایبری افزایش دهد.