یک روز پس از انتشار دو آسیب‌پذیری جدی در PHP، وصله‌های امنیتی این زبان برنامه‌نویسی منتشر شده‌اند، اما ایمن‌شدن وب‌سایت‌ها به نصب دستی آن‌ها و راه‌اندازی مجدد PHP بستگی دارد. هم‌زمان، تلاش مهاجمان برای سوءاستفاده از این نقص‌ها به میلیون‌ها مورد رسیده است؛ هرچند تاکنون آلمان و ژاپن از هیچ نفوذ موفقی که به‌طور قطعی به این آسیب‌پذیری‌ها مرتبط باشد، خبر نداده‌اند.
PHP نرم‌افزاری است که در بخش پشتیبان حدود ۷۰ درصد وب‌سایت‌هایی استفاده می‌شود که زبان سمت سرور آن‌ها مشخص است. دو نقصی که با نام PHP2Shell شناخته می‌شوند، می‌توانند به فردی خارج از سامانه اجازه دهند بدون ورود به حساب کاربری، کنترل یک سرور آسیب‌پذیر را به دست بگیرد. به همین دلیل، مسئله اصلی برای کاربران عادی، خود تلفن یا رایانه آن‌ها نیست؛ بلکه امنیت وب‌سایت‌هایی است که از آن‌ها بازدید می‌کنند.
طبق گزارش Decrypt، نسخه‌های ۸.۵.۱۲، ۸.۴.۲۷، ۸.۳.۳۶ و ۸.۲.۳۵ در ۲۱ اکتبر منتشر شدند. تیم PHP اعلام کرده است که برای این مشکل راه‌حل موقت کاملی وجود ندارد و به‌روزرسانی، تنها گزینه ایمن محسوب می‌شود. با این حال، انتشار وصله به‌تنهایی کافی نیست. PHP به‌صورت خودکار به‌روزرسانی نمی‌شود و شرکت‌های میزبانی، واحدهای فناوری اطلاعات یا مدیران مستقل وب‌سایت باید وصله را روی سرور نصب و سپس نرم‌افزار را دوباره راه‌اندازی کنند.
وصله منتشر شده، اما همه سایت‌ها هنوز ایمن نیستند
نسخه‌های PHP ۸.۱ و قدیمی‌تر دیگر پشتیبانی رسمی دریافت نمی‌کنند و همین سرورهای قدیمی را به نقطه ضعف مهمی تبدیل می‌کند. تیم امنیتی PHP برای نسخه‌های ۷.۴، ۸.۰ و ۸.۱ وصله‌های محدودی نیز ارائه کرده است، اما این بسته‌ها بیشتر برای افرادی است که نرم‌افزار را خودشان کامپایل می‌کنند.
در نخستین ساعات پس از افشای عمومی، برخی سازمان‌ها برای کاهش خطر، سامانه‌های خود را از دسترس خارج کردند. مرکز ملی امنیت سایبری بریتانیا به سازمان‌هایی که نمی‌توانستند بلافاصله وصله کنند توصیه کرده بود تا زمان رفع کامل مشکل، سیستم را آفلاین نگه دارند. خدماتی از Wikimedia، وب‌سایت‌ها و اپلیکیشن‌های Orange در چندین کشور، ۳۲ سرویس دولتی بریتانیا، بیمارستان‌هایی در هلند و ارائه‌دهنده فناوری اطلاعات دولت فدرال آلمان در میان سامانه‌هایی بودند که از کار افتادند.
تا روز پنج‌شنبه، وب‌سایت دفتر مسئولیت بودجه بریتانیا و وب‌سایت شورای شهر ادینبرو دوباره فعال شده بودند، اما برخی خدمات دیگر، از جمله سامانه ناشناس گزارش جرم در هلند، همچنان آفلاین بودند. این وضعیت نشان می‌دهد که فاصله میان عرضه وصله و نصب آن روی تمام سرورهای در معرض اینترنت می‌تواند قابل توجه باشد.
تلاش گسترده مهاجمان، بدون تأیید نفوذ موفق
متیو پرینس، مدیرعامل Cloudflare، گفت شبکه این شرکت در ۱۰ ساعت پیش از اعلام عمومی، هزاران تلاش برای بهره‌برداری از این نقص‌ها را مشاهده کرده است. این رقم در ۴۵ دقیقه پس از اعلام به ده‌ها هزار مورد، در دو ساعت به صدها هزار مورد و سپس به میلیون‌ها تلاش رسید.
آمازون نیز اعلام کرد سرورهای طعمه این شرکت در ۱۷ اکتبر، یعنی چهار روز پیش از اعلام عمومی آسیب‌پذیری‌ها، تلاش‌هایی را ثبت کرده‌اند. سی‌جی موزس، مدیر ارشد امنیت اطلاعات آمازون، گفت هنوز روشن نیست مهاجم چگونه پیش از افشای عمومی به اطلاعات مربوط به بهره‌برداری دست یافته است و افزود PHP2Shell اکنون به‌طور گسترده در دنیای واقعی مورد سوءاستفاده قرار می‌گیرد.
با این حال، مقام‌های آلمان و ژاپن تاکنون نفوذ موفقی را تأیید نکرده‌اند. مقام سازمان امنیت سایبری فدرال آلمان گفت حمله‌ها مشاهده شده‌اند، اما استفاده موفق از نقص‌ها ثبت نشده و بهره‌برداری از آن‌ها ظاهراً پیچیده‌تر از انتظار بوده است. دبیر ارشد کابینه ژاپن نیز گفت هیچ حمله تأییدشده‌ای که از این آسیب‌پذیری‌ها استفاده کرده باشد، گزارش نشده است.
تفاوت میان «تلاش برای نفوذ» و «نفوذ موفق» اهمیت دارد. ثبت میلیون‌ها تلاش به معنای آن نیست که مهاجمان کنترل سرورها را به دست آورده‌اند؛ از سوی دیگر، شناسایی نفوذ ممکن است با تأخیر انجام شود. آمازون به مدیران سامانه‌ها هشدار داده است که تاریخ اعلام عمومی را لزوماً نخستین زمان آغاز حمله در نظر نگیرند و سرورهایی را که از دست‌کم ۱۷ اکتبر نسخه آسیب‌پذیر داشته‌اند، بررسی کنند.
تأخیر در شناسایی و پیامدهای احتمالی برای کاربران
بنیاد PHP اعلام کرده است که در سال ۲۰۲۴ نخستین نشانه‌های مشکل کمبود حافظه مرتبط با یکی از نقص‌ها، با شناسه CVE-2026-109618، شناسایی شده بود. این بنیاد گفت تیم توسعه چند راهکار را بررسی کرده، اما در انتخاب میان آن‌ها و نگرانی از انتشار گزینه نادرست، تأخیر به وجود آمده است. بنیاد این تأخیر را یک «شکست ساختاری» دانسته و گفته روند تصمیم‌گیری تیم امنیتی از الزام به اجماع به تصمیم‌گیری بر مبنای اکثریت تغییر خواهد کرد.
این بنیاد همچنین تأکید کرده است که امنیت نرم‌افزاری که بخش بزرگی از وب بر آن متکی است، همچنان به گروه کوچکی از توسعه‌دهندگان تحت حمایت مالی بنیاد و مقدار محدودی مشارکت داوطلبانه وابسته است. برآورد شرکت امنیتی Mallory نشان می‌دهد حدود ۸۸۴ هزار میزبان متصل به اینترنت از نسخه‌های PHP استفاده می‌کنند که دیگر وصله رسمی دریافت نمی‌کنند.
در حال حاضر، برای کاربران عادی تغییر همه گذرواژه‌ها صرفاً به دلیل PHP2Shell ضرورتی ندارد؛ زیرا تاکنون هیچ رخنه داده‌ای به‌طور قطعی به این نقص‌ها نسبت داده نشده است. با این حال، استفاده از گذرواژه‌های منحصربه‌فرد، فعال‌کردن احراز هویت دومرحله‌ای و توجه به اطلاعیه‌های شرکت‌ها درباره رخنه‌های احتمالی اهمیت دارد. مدیران وب‌سایت‌ها نیز باید علاوه بر نصب وصله، فایل‌های PHP ناشناخته، وظایف زمان‌بندی‌شده جدید و حساب‌های تازه را بررسی کنند و در صورت نیاز گذرواژه‌های پایگاه داده و کلیدهای API سرورهای در معرض اینترنت را تغییر دهند.
در حوزه رمزارز، خطر اصلی می‌تواند از وب‌سایت آلوده ناشی شود، نه لزوماً از خود شبکه بلاک‌چین. سرور هک‌شده ممکن است نسخه جعلی یک وب‌سایت واقعی را نمایش دهد و کاربر را به اتصال کیف پول یا تأیید تراکنشی سوق دهد که دارایی او را تخلیه می‌کند. تاکنون هیچ صرافی رمزارزی به‌طور عمومی از رخنه‌ای مرتبط با PHP2Shell خبر نداده است.
تصویر بازار طبق داده‌های Moneyiar
داده‌های بازار Moneyiar در ساعت ۲۳:۱۸ تا ۲۳:۱۹ روز ۲۲ اکتبر ۲۰۲۶ نشان می‌دهد Midnight با نماد NIGHT در قیمت ۰٫۰۳۸۲۷۴۲۷۹۴ دلار، در ۲۴ ساعت ۸٫۰۶ درصد و در هفت روز ۹٫۲۹ درصد کاهش داشته است. Safe با نماد SAFE با قیمت ۰٫۱۰۱۵۶۳۰۱۵ دلار، افت ۶٫۹۹ درصدی روزانه و ۱۳٫۶ درصدی هفتگی را ثبت کرده است.
CROSS با نماد ONE در قیمت ۰٫۱۰۱۳۸۰۲۶۲۱ دلار معامله شد و تغییر آن در ۲۴ ساعت منفی ۱٫۸۹ درصد و در هفت روز منفی ۴٫۷ درصد بود. Loaded Lions با نماد LION نیز قیمت ۰٫۰۰۱۲۲۹۱۶۶۱ دلار داشت؛ بازدهی ۲۴ساعته آن منفی ۳٫۶۵ درصد و بازدهی هفت‌روزه‌اش منفی ۳٫۱۵ درصد گزارش شد. این ارقام صرفاً تصویر بازار در زمان یادشده هستند و به‌تنهایی ارتباطی میان این دارایی‌ها و آسیب‌پذیری PHP2Shell نشان نمی‌دهند.
