چهارشنبه ۲۱ اکتبر ۲۰۲۶، پروژه PHP برای دو آسیب‌پذیری بحرانی وصله اضطراری منتشر کرد و از همه کاربرانش خواست «فوراً» بهروزرسانی کنند. چند ساعت بعد، به گزارش رویترز، سایت‌های دولتی و سازمانی در چند کشور اروپایی موقتاً از دسترس خارج شدند تا مدیرانشان فرصت وصله کردن داشته باشند.
PHP زبانی است که بخش بزرگی از وب روی آن ساخته شده؛ از وردپرس و دروپال تا جوملا و مجنتو. نکته‌ای که این خبر را از یک هشدار امنیتی معمولی جدا می‌کند، نقش هوش مصنوعی است: این حفرهها بیش از یک دهه پنهان مانده بودند و این بار ابزارهای هوش مصنوعی آن‌ها را پیدا کردند. در این مقاله توضیح می‌دهیم چه اتفاقی افتاد، چرا مهم است و اگر سایتی دارید چه باید بکنید.
دقیقاً چه اتفاقی افتاد؟
دو آسیب‌پذیری با شناسه‌های CVE-2026-109618 و CVE-2026-109619 در هسته خود PHP پیدا شد. مرکز ملی امنیت سایبری هلند نام PHP2Shell را برای آن‌ها انتخاب کرده است. طبق گزارش CSO Online، هر دو امتیاز ۹.۲ از ۱۰ گرفته‌اند و به مهاجم اجازه می‌دهند بدون نام کاربری و رمز عبور، روی سرور آسیب‌پذیر کد دلخواه اجرا کند.
شرکت امنیتی Wiz میگوید این حفرهها می‌توانند اطلاعات حساس را هم از حافظه سرور بیرون بکشند؛ چیزهایی مثل رمزها، توکن‌ها و کلیدهای API. چون مشکل در خود PHP است، حتی سایتی که کد برنامه‌اش کاملاً امن نوشته شده، باز هم ممکن است در خطر باشد.
- نسخه‌های اصلاحشده: PHP 8.5.12، 8.4.27، 8.3.36 و 8.2.35
- طبق گزارش CSO، بخش آسیب‌پذیر به‌طور پیش‌فرض فعال است و از PHP 5.4 وجود داشته
- روش‌های رایج اجرای PHP مثل PHP-FPM، mod_php آپاچی، php-cgi، FrankenPHP و LiteSpeed درگیرند
- به گفته بنیاد PHP، بیشترین خطر برای mod_php است
هوش مصنوعی چه نقشی داشت؟
به گزارش رویترز، Wiz اعلام کرد این حفرهها را هوش مصنوعی پیدا کرده است. تیم تحقیقاتی این شرکت از ابزار خودکار خودش به نام Wiz Atlas و همچنین مدلهای Gemini 4 Argon گوگل و GPT-5.6 Sol شرکت OpenAI استفاده کرد. جداگانه، شرکت Calif هم یکی از این حفرهها را با کمک GPT-5.6 Sol و در چارچوب برنامه‌ای از OpenAI به نام Patch the Planet پیدا کرد.
Wiz در گزارش خود میگوید کاری که قبلاً ماه‌ها وقت یک تیم را می‌گرفت، این بار با کمک هوش مصنوعی در حدود یک هفته به دست یک پژوهشگر انجام شد. به نقل رویترز، این شرکت گفته این باگها برای یک هکر انسانی بسیار سخت قابل سوءاستفاده بودند، اما «با هوش مصنوعی این دیگر مانع نیست».
همان ابزاری که حفره را برای مدافعان پیدا می‌کند، می‌تواند به مهاجم هم کمک کند؛ برای همین فاصله زمانی بین انتشار وصله و نصب آن حالا مهم‌تر از همیشه است.
چرا سایت‌های دولتی خاموش شدند؟
رویترز گزارش داده که مرکز امنیت سایبری هلند سایت خودش را از دسترس خارج کرد و چند سازمان هلندی، از جمله بندر روتردام و چند بیمارستان، هم همین کار را کردند. در فنلاند، نهاد فناوری دولتی Valtori برخی خدمات عمومی را احتیاطاً قطع کرد، وزارت کشور فرانسه همه سایت‌هایش را به حالت تعمیر پیشگیرانه برد و در دانمارک یک پلتفرم ملی ارتباط مدرسه‌ها موقتاً بسته شد. گرداننده ویکی‌پدیا هم تعدادی از سامانه‌هایش را تا زمان وصله خاموش کرد.
دلیل این واکنش سریع، ترس از سوءاستفاده گسترده است. رویترز نوشته برخی شرکت‌های فناوری هشدار داده‌اند که هکرها از همین حالا از این حفرهها استفاده میکنند. کارشناسان هم می‌گویند ابزارهای هوش مصنوعی می‌توانند وصله منتشرشده را خیلی سریع تحلیل کنند و از روی آن راه حمله بسازند. نهادهای امنیت سایبری در اروپا، استرالیا، ژاپن و بریتانیا از کاربران خواسته‌اند فوراً بهروزرسانی کنند یا تا آن زمان سایت را از دسترس خارج کنند.
چه کسانی بیشتر در خطرند؟
تقریباً هر سایتی که روی PHP اجرا میشود و هنوز بهروز نشده، در معرض خطر است. Wiz میگوید هر نسخه‌ای از PHP که در ده سال گذشته منتشر شده، دست‌کم یکی از این آسیب‌پذیری‌ها را دارد. یعنی بیشتر سایت‌های وردپرسی، فروشگاه‌های اینترنتی و سامانه‌های مدیریت محتوا باید بررسی شوند.
به گزارش رویترز، سایت‌های کوچکی که روی هاست اشتراکی هستند و صاحبشان کنترلی روی سرور ندارد، ممکن است دیرتر وصله شوند و به همین دلیل آسیب‌پذیرترند. نسخه‌های PHP 8.1 و قدیمی‌تر هم دیگر از خود پروژه PHP بهروزرسانی رسمی نمی‌گیرند؛ تیم امنیتی فقط برای نسخه‌های 7.4، 8.0 و 8.1 وصله‌های حداقلی برای کسانی که PHP را از کد منبع می‌سازند منتشر کرده است.
اگر سایت دارید، همین امروز چه کنید؟
پیام اصلی بنیاد PHP روشن است: «هیچ راه حل موقت کاملی وجود ندارد و بهروزرسانی تنها انتخاب امن است.» اگر سایت شما روی هاست اشتراکی است، این کار معمولاً با شرکت میزبانی است، اما بهتر است منتظر نمانید و خودتان پیگیری کنید.
- از پنل هاست یا شرکت میزبانی بپرسید نسخه PHP سایت شما چیست و آیا وصله ۲۱ اکتبر نصب شده است
- اگر سرور خودتان را دارید، PHP را به یکی از نسخه‌های 8.5.12، 8.4.27، 8.3.36 یا 8.2.35 یا بسته اصلاحشده توزیع لینوکس خود ارتقا دهید
- اگر هنوز PHP 8.1 یا قدیمی‌تر دارید، برنامه مهاجرت به نسخه پشتیبانی‌شده را جدی بگیرید
- رمزها و کلیدهای API ذخیره‌شده روی سرور را در صورت شک به نفوذ عوض کنید
- به نشانه‌های هشدار Wiz دقت کنید: خطاهای ۵۰۰ پشت‌سرهم، کوکی‌های PHPSESSID غیرعادی و خطاهای کمبود حافظه
وصله کردن پایان کار نیست
مدلین فان در هوت، تحلیلگر شرکت Forrester، به CSO Online گفته وصله حفره را می‌بندد اما لزوماً دسترسی‌ای را که مهاجم ممکن است از قبل به دست آورده باشد از بین نمی‌برد. یعنی اگر سایت شما چند روز بدون وصله در دسترس بوده، بعد از بهروزرسانی هم باید فایل‌ها، حساب‌های مدیریتی و گزارش‌های سرور را بررسی کنید.
این ماجرا یک درس بزرگ‌تر هم دارد. هوش مصنوعی سرعت پیدا کردن حفرهها را چند برابر کرده و این به نفع مدافعان است، به شرطی که وصله‌ها سریع نصب شوند. برای دانشجوها و کسانی که در حوزه امنیت یا توسعه وب کار میکنند، یادگرفتن کار با این ابزارها و فهمیدن نحوه مدیریت به‌روزرسانی‌ها به مهارتی جدی تبدیل شده است.
منابع و مطالعه بیشتر
سؤال‌های متداول
PHP2Shell به زبان ساده چیست؟+
نامی است که مرکز امنیت سایبری هلند روی دو حفره بحرانی در هسته PHP گذاشته است. این حفرهها به مهاجم اجازه می‌دهند بدون ورود به حساب کاربری، روی سرور آسیب‌پذیر کد اجرا کند یا اطلاعات حساس حافظه را بخواند.
آیا سایت وردپرسی من هم در خطر است؟+
وردپرس روی PHP اجرا میشود، پس اگر نسخه PHP سرور شما هنوز وصله ۲۱ اکتبر را نگرفته باشد، احتمالاً در معرض خطر است. Wiz میگوید در آزمایشهایش توانسته از راه دور روی وردپرس و دروپال کد اجرا کند. از شرکت هاست بپرسید آیا PHP را بهروز کرده است.
هوش مصنوعی دقیقاً چطور این حفرهها را پیدا کرد؟+
Wiz از ابزار خودکار Wiz Atlas همراه با مدلهای Gemini 4 Argon و GPT-5.6 Sol استفاده کرد و شرکت Calif هم با کمک GPT-5.6 Sol یکی از حفرهها را یافت. به گفته Wiz، هوش مصنوعی زمان لازم برای کشف و ترکیب این باگها را از چند ماه به حدود یک هفته رساند.
آیا خاموش کردن نمایش خطاها یا تنظیمات موقت کافی است؟+
نه. بنیاد PHP میگوید تنظیمات موقت فقط خطر را کم میکنند و نصب را امن نمیکنند. پنهان کردن خطاها هم کمکی نمیکند. تنها راه امن، بهروزرسانی به نسخه اصلاحشده است.
