وضعیت آسیب‌پذیری PHP2Shell: کاهش چشمگیر اکسپوژر و چالش‌های مهاجمان در سوءاستفاده

مقدمه و زمینه

هفته گذشته بود که تیم‌های امنیتی گزارشی درباره دو آسیب‌پذیری بحرانی در PHP با شناسه‌های CVE-2026-109618 و CVE-2026-109619 منتشر کردند که به نام PHP2Shell شناخته می‌شوند. پس از این افشاگری، جامعه امنیت اطلاعات و تیم تحقیقاتی Wiz به پایش ترافیک اینترنت و بررسی کدهای اکسپلویت عمومی پرداختند. هدف این بررسی‌ها ردیابی میزان آلودگی و تحلیل تکنیک‌های مهاجمان در محیط‌های واقعی و هانی‌پات‌ها (Honeypot) بوده است.

روند کاهش مواجهه و اکسپوژر

بر اساس داده‌های تله‌متری Wiz، از زمان افشای عمومی PHP2Shell در اواخر اکتبر ۲۰۲۶، تعداد ماشین‌های متصل به اینترنت که در برابر این آسیب‌پذیری آسیب‌پذیر هستند، افت چشمگیر حدود ۶۷ درصدی را تجربه کرده است. همچنین:

• سهم ماشین‌های آسیب‌پذیر که از نسخه‌های قدیمی‌تر PHP (نسخه ۷.۳ و پایین‌تر) استفاده می‌کردند از ۸.۳ درصد به ۵.۷ درصد کاهش یافت.
• تعداد سازمان‌های به‌شدت تحت تأثیر (سازمان‌هایی با حداقل یک نمونه آسیب‌پذیر در اینترنت) حدود ۴۷.۹ درصد افت داشت.

این آمار نشان می‌دهد که تیم‌های مهندسی و راهبران سیستم با اقداماتی نظیر پچ کردن، ارتقای نسخه‌ها، بازنشسته‌کردن سرورهای قدیمی و محدود کردن دسترسی اینترنت، سطح حمله را به طور قابل‌توجهی کاهش داده‌اند.

جزئیات فنی تلاش‌های اکسپلویت و چالش‌های مهاجمان

تیم Wiz در هانی‌پات‌های خود تلاش‌های متعددی را مشاهده کرده که عمدتاً به دو دسته تقسیم می‌شوند: تلاش‌هایی با استفاده از مکانیزم اصلی اکسپلویت PHP2Shell و ابزارهای جعلی برندگذاری‌شده که بر پایه تکنیک‌های دیگری مثل مسموم‌سازی نشست (Session Poisoning) و آسیب‌پذیری Local File Inclusion یا LFI کار می‌کنند.

در بررسی زنجیره اصلی اکسپلویت، دو نسخه مختلف از کیت‌های متن‌باز شناسایی شد که هیچ‌کدام موفق به اجرای کامل چرخه حمله نشدند:

• نسخه قدیمی (Legacy Chain): درخواست‌های ارسال شده به دلیل عبور از حد مجاز post_max_size (مقدار پیش‌فرض ۸ مگابایت) متوقف شدند یا نتوانستند وضعیت اتمام حافظه (Memory Exhaustion) مورد انتظار را ایجاد کنند.
• نسخه جدید (Pure Chain): این زنجیره توانست با موفقیت باعث اتمام حافظه PHP شود (خطای Allowed memory size exhausted)، اما مرحله بعدی که مربوط به نشت حافظه فرآیند (Process Memory Leak) برای استخراج آدرس‌های رم و libphp بود، در تمامی موارد شکست خورد.

چرا اکسپلویت‌ها شکست می‌خورند؟

توسعه یک اکسپلویت عمومی که در تمامی نسخه‌ها و کانفیگ‌های مختلف PHP کار کند بسیار دشوار است. چالش‌های اصلی مهاجمان عبارتند از:

• تفاوت در ساختار رم (Heap Layout): تغییرات کوچک در نسخه‌های بیلد شده PHP، اضافه‌شدن ماژول‌های مختلف و محدودیت‌های حافظه (مثلاً ۶۴ مگابایت در برابر ۱۲۸ مگابایت) چیدمان حافظه را تغییر داده و مانع از عملکرد صحیح بخش نشت اطلاعات می‌شود.
• پین کردن کارگرها (Worker Pinning): درخواست‌های متوالی اکسپلویت باید حتماً به یک پروسه فرزند (Child Process) خاص در سرورهایی مانند Apache برسد. تأخیر شبکه، تایم‌اوت‌ها و در دسترس بودن وورکرها می‌تواند این توالی را مختل کند.

با این حال، باید توجه داشت که برخی شرکت‌های امنیتی ادعا کرده‌اند ابزارهای جامع‌تری در اختیار دارند و برخی چالش‌های تک‌تارگت در هانی‌پات‌ها با کانفیگ‌های خاص (مثل تنظیمات تک‌کارگر Apache mod_php) موفق بوده‌اند.

دیدگاه جامعه مهندسی (هکرنیوز)

بحث‌های مطرح‌شده در هکرنیوز نشان می‌دهد که اگرچه ابزارهای عمومی هنوز به پایداری صددرصد نرسیده‌اند، اما خود آسیب‌پذیری کاملاً واقعی است و در سناریوهای تستی (مانند چالش‌های امنیتی) با موفقیت اکسپلویت شده است. به گفته برخی متخصصان امنیتی سرشناس، گروه‌های مهاجم ماهر توانسته‌اند نسخه‌های اختصاصی و کارآمدی از این اکسپلویت را توسعه دهند.

چرا این موضوع برای مهندسان نرم‌افزار مهم است؟

۱. خطای اتمام حافظه لزوماً به معنی اجرای کد نیست: این حادثه نشان می‌دهد که رسیدن به حالت Crash یا Memory Exhaustion تنها قدم اول است و تبدیل آن به یک RCE پایدار نیاز به مهندسی دقیق و سازگار با کانفیگ هدف دارد. ۲. اهمیت پچ کردن فوری: عدم موفقیت اسکریپت‌های عمومی فعلی به این معنا نیست که سیستم‌ها امن هستند؛ مهاجمان حرفه‌ای به مرور زمان ابزارهای خود را قوی‌تر می‌کنند. ۳. لزوم مانیتورینگ زیرساخت: به‌روزرسانی نسخه‌های PHP و پاکسازی اپلیکیشن‌ها از آسیب‌پذیری‌های جانبی نظیر LFI برای جلوگیری از زنجیره‌های حمله احتمالی حیاتی است.