هوش مصنوعی آسیب‌پذیری ۱۰ساله زیرساخت وب را آشکار کرد
شناسایی آسیب‌پذیری‌های امنیتی در زبان برنامه‌نویسی PHP با کمک هوش مصنوعی، دولت‌ها و شرکت‌های فناوری را به تکاپو برای ایمن‌سازی زیرساخت‌های خود انداخته است. این آسیب‌پذیری‌ها بیش از یک دهه در کدهای PHP پنهان مانده بودند؛ زبانی که در حدود ۷۰ درصد وب‌سایت‌های جهان استفاده می‌شود. شرکت امنیت سایبری Wiz در گزارشی که ۲۷ اکتبر منتشر کرد، از کاهش ۶۷ درصدی تعداد روزانه دستگاه‌های آسیب‌پذیر و در دسترس از طریق اینترنت، در داده‌های تحت پایش خود خبر داد. با این حال، انتشار وصله‌های امنیتی و کاهش تعداد دستگاه‌های در معرض خطر به معنای پایان تهدید نیست. اهمیت این رخداد فراتر از کشف چند نقص امنیتی در PHP است؛ هوش مصنوعی اکنون می‌تواند فرایند شناسایی و تبدیل آسیب‌پذیری‌های قدیمی به روش‌های عملی حمله را سرعت ببخشد، درحالی‌که اصلاح و به‌روزرسانی زیرساخت‌های نرم‌افزاری همچنان به زمان و هماهنگی میان توسعه‌دهندگان و مدیران سیستم‌ها نیاز دارد.
به گزارش خبرنگار پايگاه خبري سروش امنيت به نقل از پيوست ،مجموعه‌ای از آسیب‌پذیری‌های بحرانی در زبان برنامه‌نویسی PHP که با نام PHP2Shell شناخته می‌شوند، ۲۱ اکتبر ۲۰۲۶ به‌صورت عمومی افشا شدند. این نقص‌ها که بیش از یک دهه در کدهای PHP وجود داشتند، با همکاری پژوهشگران امنیتی شرکت‌های Wiz ،Calif و اوپن‌ای‌آی شناسایی و برای رفع آنها اقدام شد.
دو آسیب‌پذیری اصلی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 درجه شدت ۹.۲ از ۱۰ دارند و به نحوه مدیریت حافظه و پردازش درخواست‌ها در PHP مربوط می‌شوند. این نقص‌ها در شرایط مشخص می‌توانند به مهاجمان اجازه دهند بدون نیاز به احراز هویت، کد دلخواه خود را روی سرور اجرا کنند.
اهمیت این آسیب‌پذیری‌ها در آن است که برخلاف نقص‌های امنیتی یک افزونه یا نرم‌افزار خاص، در هسته زبان PHP قرار دارند؛ زبانی که بسیاری از سیستم‌های مدیریت محتوا و خدمات آنلاین از جمله وردپرس، دروپال، جوملا و مدیاویکی از آن استفاده می‌کنند.
به همین دلیل، به‌روزرسانی یک افزونه یا حتی خود سیستم مدیریت محتوا برای رفع این مشکل کافی نیست و مدیران فنی باید از اصلاح نسخه PHP مورد استفاده در سرور اطمینان پیدا کنند.
۷۰ درصد وب‌سایت‌های جهان آسیب‌پذیر نیستند
یکی از مهم‌ترین اعدادی که پس از انتشار خبر PHP2Shell مورد توجه قرار گرفت، سهم حدود ۷۰ درصدی PHP از وب‌سایت‌های جهان بود. گستردگی استفاده از این زبان برنامه‌نویسی باعث شد برخی گزارش‌ها از احتمال تاثیرگذاری آسیب‌پذیری‌ها بر بخش بزرگی از اینترنت خبر دهند.
با این حال، همه وب‌سایت‌هایی که از PHP استفاده می‌کنند، لزوماً در معرض نفوذ نیستند. میزان آسیب‌پذیری هر وب‌سایت به نسخه PHP، تنظیمات سرور و نصب اصلاحیه‌های امنیتی بستگی دارد.
بنیاد PHP اعلام کرده است بهره‌برداری از دو آسیب‌پذیری اصلی در برخی پیکربندی‌ها، به‌ویژه هنگام استفاده از Apache همراه با ماژول mod_php، خطر جدی‌تری ایجاد می‌کند. در این شرایط امکان اجرای کد از راه دور بدون احراز هویت به‌صورت عملی نشان داده شده است.
در سایر محیط‌ها نیز ممکن است شرایطی برای بهره‌برداری وجود داشته باشد، اما نمی‌توان تمام وب‌سایت‌هایی را که از PHP استفاده می‌کنند، به یک اندازه در معرض خطر دانست.
از سوی دیگر، بهره‌برداری از این آسیب‌پذیری‌ها حتی با استفاده از هوش مصنوعی نیز ساده نیست. مهاجم برای اجرای موفق حمله به شرایط فنی مشخصی نیاز دارد و وجود نقص در کد به‌تنهایی موفقیت حمله را تضمین نمی‌کند.
با این حال، قرارگرفتن آسیب‌پذیری در هسته یک زبان برنامه‌نویسی پرکاربرد، دامنه بررسی و اصلاح را به مجموعه بزرگی از ارائه‌دهندگان خدمات میزبانی، شرکت‌های نرم‌افزاری و مدیران زیرساخت گسترش داده است.
کاهش ۶۷ درصدی دستگاه‌های آسیب‌پذیر پس از انتشار وصله‌ها
افشای عمومی PHP2Shell با واکنش سریع نهادهای امنیت سایبری و شرکت‌های فناوری همراه شد. آژانس امنیت ملی آمریکا و آژانس امنیت سایبری اتحادیه اروپا از سازمان‌ها خواستند برای بررسی و رفع آسیب‌پذیری‌ها فورا اقدام کنند.
بنیاد PHP نیز در ۲۱ اکتبر نسخه‌های اصلاح‌شده را منتشر کرد. هم‌زمان برخی دولت‌ها و شرکت‌ها برای کاهش احتمال حمله، خدمات یا وب‌سایت‌های خود را به‌طور موقت از دسترس خارج کردند.
در ژاپن، شرکت هواپیمایی ANA، شرکت راه‌آهن JR West و بانک MUFG از جمله مجموعه‌هایی بودند که بخشی از خدمات آنلاین خود را موقتا متوقف کردند. در اروپا نیز تعدادی از وب‌سایت‌های دولتی در فرانسه، دانمارک، فنلاند و هلند هنگام اجرای اصلاحات امنیتی از دسترس خارج شدند.
بنیاد ویکی‌مدیا، اداره‌کننده ویکی‌پدیا، نیز اعلام کرد برخی سیستم‌های خود را به‌عنوان اقدامی پیشگیرانه متوقف کرده است.
داده‌های تازه‌تر نشان می‌دهند این اقدامات توانسته‌اند بخشی از خطر را کاهش دهند. شرکت Wiz در گزارشی که ۲۷ اکتبر مصادف با ۵ آبان ماه منتشر کرد، اعلام کرد تعداد روزانه دستگاه‌های آسیب‌پذیر و در معرض اینترنت در محیط‌های تحت پایش این شرکت طی چند روز پس از افشای آسیب‌پذیری‌ها حدود ۶۷ درصد کاهش یافته است.
همچنین تعداد سازمان‌هایی که دست‌کم یک نمونه آسیب‌پذیر و در معرض اینترنت داشتند، ۴۷.۹ درصد کاهش پیدا کرده است.
این ارقام نشان‌دهنده کاهش سطح مواجهه با تهدید در داده‌های Wiz هستند و نباید به معنای کاهش مشابه خطر در تمام اینترنت تفسیر شوند.
در گزارش عملیاتی مرکز ملی امنیت سایبری هلند نیز که اطلاعات محصولات آن تا ۳۰ اکتبر یعنی ۸ آبان ماه به‌روزرسانی شده، از میان ۹۲۹ محصول بررسی‌شده، ۲۱۷ محصول در فهرست آسیب‌پذیر و ۱۶۵ محصول در فهرست اصلاح‌شده قرار گرفته‌اند.
این آمار نشان می‌دهد آثار PHP2Shell تنها به وب‌سایت‌ها محدود نیست و محصولات نرم‌افزاری دیگری که از PHP استفاده می‌کنند نیز به بررسی و به‌روزرسانی نیاز دارند.
تلاش برای سواستفاده از آسیب‌پذیری‌ها پیش از افشای عمومی آغاز شد
اگرچه وصله‌های امنیتی از ۲۱ اکتبر یعنی ۴ آبان ماه در دسترس قرار گرفتند، بررسی‌های امنیتی نشان می‌دهد تلاش برای سواستفاده از نقص‌های PHP پیش از انتشار عمومی اطلاعات آنها آغاز شده بود.
تیم اطلاعات تهدید آمازون اعلام کرده است نخستین تلاش شناسایی‌شده در داده‌های این شرکت به ۱۷ اکتبر یعنی ۲۵ مهرماه بازمی‌گردد؛ چهار روز پیش از انتشار رسمی آسیب‌پذیری‌ها.
Cloudflare نیز از مشاهده میلیون‌ها تلاش برای سوءاستفاده از این نقص‌ها در شبکه خود خبر داده و برای مقابله با الگوهای شناخته‌شده حمله، قواعد حفاظتی تازه‌ای در فایروال برنامه‌های تحت وب فعال کرده است.
با این حال، میان تلاش برای حمله و نفوذ موفق تفاوت وجود دارد. ثبت میلیون‌ها درخواست مشکوک به معنای آن نیست که میلیون‌ها سرور هک شده‌اند.
شرکت Wiz در گزارش ۲۷ اکتبر(۵ آبان ماه) اعلام کرد تعداد محدودی تلاش برای بهره‌برداری را در داده‌های خود مشاهده کرده، اما موفقیت آنها را تایید نکرده است. این شرکت همچنین در زمان انتشار گزارش، نمونه عمومی قابل اتکایی از بهره‌برداری کامل علیه اهداف دلخواه شناسایی نکرده بود.
این یافته‌ها نبود حملات موفق در سایر محیط‌ها را اثبات نمی‌کنند، بلکه نشان می‌دهند اطلاعات عمومی موجود برای تعیین تعداد نفوذهای موفق کافی نیست.
نگرانی اصلی این است که پس از انتشار جزئیات فنی آسیب‌پذیری‌ها، مهاجمان نیز به اطلاعات بیشتری برای توسعه روش‌های حمله دسترسی پیدا می‌کنند. در چنین شرایطی، فاصله میان انتشار وصله امنیتی و نصب آن روی سرورها می‌تواند به فرصتی برای سوءاستفاده تبدیل شود.
شناسایی آسیب‌پذیری سوم؛ چرا خطر هنوز برطرف نشده است؟
دو روز پس از انتشار وصله‌های اصلی PHP2Shell، بنیاد PHP در ۲۳ اکتبر اول آبان ماه از آسیب‌پذیری دیگری با شناسه CVE-2026-115560 خبر داد.
این نقص به قابلیت پیگیری پیشرفت بارگذاری فایل در نشست‌های PHP مربوط می‌شود و در شرایط خاص می‌تواند امکان اجرای کد از راه دور را فراهم کند.
با این حال، شرایط بهره‌برداری از این آسیب‌پذیری با دو نقص اصلی PHP2Shell متفاوت است. بنیاد PHP اعلام کرده است اجرای موفق حمله به ترکیبی غیرمعمول از تنظیمات و رفتار نرم‌افزار نیاز دارد و احتمال وقوع این شرایط در کاربردهای معمول پایین‌تر است.
این بنیاد همچنین اعلام کرده اصلاح آسیب‌پذیری سوم در چرخه انتشار عادی انجام خواهد شد و تا زمان انتشار نسخه اصلاح‌شده، مدیران سیستم‌های در معرض خطر می‌توانند قابلیت session.upload_progress.enabled را غیرفعال کنند.
وصله‌های منتشرشده برای دو آسیب‌پذیری اصلی، این نقص سوم را برطرف نمی‌کنند. در عین حال، نباید از شناسایی آسیب‌پذیری جدید نتیجه گرفت که تمام سیستم‌های به‌روزرسانی‌شده همچنان با همان سطح خطر قبلی مواجه‌اند.
هوش مصنوعی چگونه یک نقص قدیمی را به تهدیدی عملی تبدیل کرد؟
مهم‌ترین ویژگی پرونده PHP2Shell، نقش هوش مصنوعی در شناسایی و تحلیل آسیب‌پذیری‌هایی است که سال‌ها در کدهای PHP وجود داشته‌اند.
بر اساس توضیحات بنیاد PHP، نشانه‌های اولیه یکی از مشکلات اصلی در جریان بررسی‌های امنیتی سال ۲۰۲۴ نیز مطرح شده بود، اما در آن زمان پژوهشگران نتوانسته بودند مسیر عملی مشخصی برای اجرای کد از راه دور ارائه کنند.
اختلاف‌نظر درباره شیوه اصلاح نقص، نگرانی از ایجاد اختلال در سازگاری نسخه‌های PHP و محدودیت منابع انسانی تیم امنیتی نیز در تاخیر اصلاح آن نقش داشته‌اند.
در سال ۲۰۲۶، استفاده از مدل‌های پیشرفته هوش مصنوعی به پژوهشگران کمک کرد ابعاد واقعی این ضعف‌ها را شناسایی کنند.
شرکت Calif در چارچوب برنامه Patch the Planet و با استفاده از مدل GPT-5.6 Sol اوپن‌ای‌آی، یکی از مسیرهای بحرانی حمله را شناسایی کرد.
تیم Wiz نیز به‌صورت مستقل با استفاده از مدل‌های Gemini 4 Argon و GPT-5.6 Sol و ابزار Wiz Atlas به یافته‌های مهمی درباره این آسیب‌پذیری‌ها رسید.
پژوهشگران Wiz اعلام کرده‌اند ترکیب مدل‌های پیشرفته هوش مصنوعی و ابزارهای مناسب به یک پژوهشگر امکان داده است کاری را طی یک هفته انجام دهد که پیش‌تر ممکن بود به چند ماه فعالیت یک تیم متخصص در سطح جهانی نیاز داشته باشد.
به گفته Wiz، آنچه هوش مصنوعی تغییر داده، توانایی درک سریع‌تر نقاط ضعف و تبدیل آنها به روش‌های عملی بهره‌برداری است.
آیا سرعت اصلاح نرم‌افزارها به سرعت کشف آسیب‌پذیری‌ها می‌رسد؟
پرونده PHP2Shell مسئله‌ای فراتر از امنیت یک زبان برنامه‌نویسی را مطرح کرده است. با افزایش توانایی مدل‌های هوش مصنوعی در تحلیل کد و شناسایی ضعف‌های امنیتی، حجم گزارش‌های آسیب‌پذیری و سرعت توسعه روش‌های بهره‌برداری نیز می‌تواند افزایش پیدا کند.
اما فرایند اصلاح نرم‌افزارها با همان سرعت تغییر نمی‌کند. توسعه‌دهندگان برای اصلاح یک نقص امنیتی باید اثر تغییرات بر سایر بخش‌های نرم‌افزار، سازگاری نسخه‌ها، احتمال ایجاد اختلال در خدمات و امکان انتشار ایمن وصله را بررسی کنند.
این فرایند در پروژه‌های متن‌باز پرکاربرد اهمیت بیشتری دارد؛ زیرا تغییر در هسته نرم‌افزار ممکن است بر تعداد زیادی از محصولات و خدمات وابسته تاثیر بگذارد.
بنیاد PHP اعلام کرده است از ابتدای ژوئیه ۲۰۲۶ تاکنون ۱۵ شناسه آسیب‌پذیری امنیتی منتشر کرده و بیش از ۱۰۰ گزارش دیگر را نیز بررسی کرده است که نامعتبر، تکراری یا غیرقابل بازتولید بوده‌اند.
افزایش حجم گزارش‌ها، فشار بیشتری بر تیم‌های امنیتی وارد می‌کند؛ تیم‌هایی که در بسیاری از پروژه‌های متن‌باز با منابع مالی و انسانی محدود فعالیت می‌کنند.
بنیاد PHP در توضیحات خود درباره PHP2Shell پذیرفته است که تاخیر در رفع آسیب‌پذیری‌ها تنها یک مشکل فنی نبوده و به ساختار تصمیم‌گیری و منابع امنیتی پروژه نیز مربوط می‌شده است.
این مسئله نشان می‌دهد در دوره گسترش هوش مصنوعی، امنیت نرم‌افزارها به توانایی کشف نقص وابسته نیست. سرعت تصمیم‌گیری، تامین منابع توسعه و انتشار و نصب وصله‌ها نیز به همان اندازه اهمیت پیدا کرده‌اند.
آسیب‌پذیری PHP2Shell برای وب‌سایت‌های ایرانی چه معنایی دارد؟
گستردگی استفاده از PHP و سیستم‌های مدیریت محتوایی مانند وردپرس باعث می‌شود آسیب‌پذیری‌های PHP2Shell برای وب‌سایت‌ها و کسب‌وکارهای ایرانی نیز اهمیت داشته باشند.
با این حال، در منابع عمومی بررسی‌شده آمار معتبری از تعداد سرورهای آسیب‌پذیر ایران یا نفوذهای موفق مرتبط با این نقص‌ها وجود ندارد. بنابراین نمی‌توان درباره گستردگی واقعی خطر در زیرساخت وب ایران نتیجه‌گیری کرد.
آنچه از نظر فنی مشخص است، ضرورت بررسی نسخه PHP و پیکربندی سرورهاست. در وب‌سایت‌هایی که از خدمات میزبانی اشتراکی استفاده می‌کنند، مدیریت نسخه PHP ممکن است در اختیار شرکت ارائه‌دهنده خدمات میزبانی باشد و مدیر وب‌سایت به‌تنهایی امکان اعمال تمام اصلاحات را نداشته باشد.
همچنین به‌روزرسانی وردپرس یا افزونه‌های آن به معنای اصلاح نقص‌های هسته PHP نیست. بنیاد PHP نسخه‌های اصلاح‌شده 8.5.12، 8.4.27، 8.3.36 و 8.2.35 را برای شاخه‌های مربوط منتشر کرده است. مدیران سرورها باید نسخه مورد استفاده خود را با اصلاحیه‌های رسمی و نسخه‌های پشتیبانی‌شده تطبیق دهند.
در این شرایط، یکی از پرسش‌های مهم برای زیرساخت وب ایران این است که شرکت‌های ارائه‌دهنده خدمات میزبانی و سازمان‌های دارای سامانه‌های مبتنی بر PHP با چه سرعتی اصلاحیه‌ها را اعمال کرده‌اند و چه تعداد از خدمات همچنان به نسخه‌های قدیمی وابسته‌اند.
پاسخ به این پرسش‌ها نیازمند داده‌های مستقیم از شرکت‌های میزبانی، مراکز پاسخ‌گویی به رخدادهای امنیتی و مدیران زیرساخت است.
تغییر معادلات امنیت سایبری در عصر هوش مصنوعی
مقایسه PHP2Shell با آسیب‌پذیری Heartbleed در سال ۲۰۱۴ نشان می‌دهد نقص‌های موجود در نرم‌افزارهای زیرساختی همچنان می‌توانند بخش بزرگی از خدمات اینترنتی را با تهدید روبه‌رو کنند.
اما تفاوت مهم پرونده PHP2Shell، نقشی است که هوش مصنوعی در کوتاه‌کردن مسیر کشف و تحلیل آسیب‌پذیری‌ها ایفا کرده است.
در این پرونده، نقص‌هایی که بیش از یک دهه در کدهای PHP باقی مانده بودند، با کمک مدل‌های پیشرفته هوش مصنوعی به روش‌های عملی بهره‌برداری تبدیل شدند. در مقابل، انتشار وصله‌های امنیتی، به‌روزرسانی سرورها و اصلاح محصولات وابسته همچنان به هماهنگی میان توسعه‌دهندگان، شرکت‌های زیرساختی و مدیران خدمات آنلاین نیاز دارد.
داده‌های منتشرشده پس از افشای PHP2Shell نشان می‌دهند واکنش سریع شرکت‌ها و سازمان‌ها توانسته تعداد قابل توجهی از دستگاه‌های آسیب‌پذیر را کاهش دهد، اما این کاهش به معنای حذف کامل خطر نیست.
PHP2Shell نشان می‌دهد مسئله آینده امنیت سایبری تنها توانایی شناسایی آسیب‌پذیری‌ها نیست، بلکه فاصله زمانی میان کشف یک نقص، تبدیل آن به روش عملی حمله و اصلاح آن در زیرساخت‌های واقعی است. هوش مصنوعی این فاصله را در بخش کشف و بهره‌برداری کوتاه کرده و اکنون توانایی سازمان‌ها برای اصلاح سریع‌تر نرم‌افزارها به یکی از مهم‌ترین عوامل تعیین‌کننده امنیت خدمات دیجیتال تبدیل شده است.
[author title=”نويسنده” image=”https://soroosheamniyat.ir/wp-content/uploads/2025/03/68ce8398-24e3-40b3-8f1a-cd664029e334.png”]مسعود اسدپور کارشناس امنيت وخبرنگار پايگاه خبري سروش امنيت[/author]
منبع : پيوست
