آسیب‌پذیری بحرانی PHP2Shell

تلاش‌ها برای بهره‌برداری از دو آسیب‌پذیری بحرانی در هسته PHP با شناسه‌های CVE-2026-109618 و CVE-2026-109619 به میلیون‌ها مورد رسیده است. مهاجمان در برخی از این حملات تلاش کرده‌اند با سوءاستفاده از این آسیب‌پذیری‌ها، سیستم‌های آسیب‌پذیر را به بات‌نت Mirai با نام Potassium ملحق کنند.

با این حال، گزارش‌های منتشرشده نشان می‌دهند که با وجود افزایش فعالیت مهاجمان، دستیابی به اجرای موفق و قابل‌اعتماد کد از راه دور همچنان با چالش‌هایی همراه است. این دو آسیب‌پذیری دارای امتیاز شدت 9.2 در معیار CVSS هستند و می‌توانند از طریق درخواست‌های HTTP دست‌کاری‌شده، امکان اجرای کد از راه دور بدون نیاز به احراز هویت (Unauthenticated Remote Code Execution یا RCE) را فراهم کنند. این آسیب‌پذیری‌ها در نسخه‌های PHP 8.5.12، 8.4.27، 8.3.36 و 8.2.35 برطرف شده‌اند.

زنجیره حمله

بررسی نمونه بدافزار نشان می‌دهد که این بدافزار ابتدا یک آدرس رمزگذاری‌شده و از پیش تعریف‌شده برای سرور فرماندهی و کنترل (Command and Control یا C2) را رمزگشایی می‌کند، سپس با آدرس  IP 134.199.154[.]64  یک اتصال TCP برقرار کرده و در ادامه، یک درخواست HTTP ارسال می‌کند. بدافزار پس از ارسال درخواست، وضعیت پاسخ HTTP را بررسی می‌کند تا از دریافت کد وضعیت 200 اطمینان حاصل کند. همچنین، محتوای دریافتی را از نظر وجود بایت‌های جادویی ELF، با مقادیر 7F 45 4C 46، بررسی می‌کند. این مقادیر نشان می‌دهند که بدافزار انتظار دارد محموله دریافتی، یک فایل اجرایی لینوکسی با قالب ELF باشد.

حملات از سه آدرس IP 85.11.167[.]243،217.60.242[.]76 و45.198.224[.]169  منشأ گرفته‌اند. مشخص شده است که این منابع حمله با آدرس 92.118.112[.]100 ارتباط برقرار می‌کنند تا یک لودر (Loader) دریافت کنند. وظیفه این لودر، استقرار گونه‌ای از بات‌نت Mirai روی سیستم هدف است.

بررسی بیشتر نمونه بدافزار در یک محیط سندباکس ایزوله‌شده از شبکه نیز نشان داده است که بات‌نت یک درخواست DNS برای دامنه thunder.godofthunder[.]st ارسال می‌کند. این دامنه به آدرس IP 134.199.154[.]64 ترجمه می‌شود و سپس یک کانال ارتباطی با سرور فرماندهی و کنترل از طریق پورت TCP شماره 50792 برقرار می‌شود.

اهداف احتمالی حملات

هدف نهایی مهاجمان، اجرای حملات سیل‌آسای حجیم و مستمر (Volumetric Flood Attacks) علیه دو میزبان مجاور(45.88.138[.]0، 45.88.138[.]44 ) است که در یک شبکه متعلق به اوکراین قرار دارند.

با وجود مشاهده این فعالیت‌ها، Sophos اعلام کرده است که تاکنون شواهدی از بهره‌برداری موفق از PHP2Shell در حملات واقعی مشاهده نکرده است. این موضوع نشان می‌دهد که عوامل تهدید ممکن است همچنان برای توسعه اکسپلویت‌های قابل‌اعتماد با مشکل مواجه باشند. البته نبود شواهد موفقیت در نمونه‌های بررسی‌شده، به معنای ناممکن بودن بهره‌برداری یا نبود حملات موفق در سایر محیط‌ها نیست.

بات‌نت Potassium چیست و چگونه عمل می‌کند؟

بات‌نت Potassium نخستین بار در مارس ۲۰۲۶ توسط پلتفرم ردیابی بات‌نت Synthient شناسایی و گزارش شد.

پس از آن، پژوهشگران Nokia Deepfield در بررسی تکمیلی خود، این بدافزار را شاخه‌ای منشعب‌شده از Mirai توصیف کردند که از چند ویژگی فنی قابل‌توجه بهره می‌برد:

• استفاده از الگوریتم رمزنگاری ChaCha20 برای رمزگذاری جدول پیکربندی ثابت؛ به گفته پژوهشگران، این نخستین بار بوده که استفاده از ChaCha20 به این شکل در یک گونه از Mirai مشاهده شده است.
• استفاده از یک بایت ثابت با مقدار 0xED برای تمام داده‌های ارسالی روی شبکه.
• استفاده از یک پروتکل پوسته معکوس (Reverse Shell) با نام‌های SHELL و SHOUT که در همان کانال مربوط به دستورات حمله فعالیت می‌کند.
• استفاده از سازوکاری برای دست‌کاری نتایج DNS که در آن، پیش از برقراری اتصال، دو بخش ۱۶ بیتی هر رکورد A دریافت‌شده جابه‌جا می‌شوند.

شرکت امنیت سایبری Arctic Wolf نیز در بررسی خود اعلام کرده است که این بات‌نت از ۲۴ دستور مختلف برای اجرای حملات سیل‌آسا از طریق پروتکل‌های ICMP، TCP، UDP و OpenVPN پشتیبانی می‌کند. همچنین، هر دو نسخه بدافزار برای معماری‌های ARM و x86 دارای تنظیماتی برای شناسایی زیرساخت سرورهای فرماندهی و کنترل از طریق سرویس Ethereum Name Service (ENS) هستند.

دور زدن سازوکارهای حفاظتی ASLR

انتشار این اطلاعات هم‌زمان با توسعه یک اکسپلویت PHP2Shell صورت گرفته است که می‌تواند در سیستم‌های مبتنی بر معماری x86-64 و مجهز به ASLR، با استفاده از پیکربندی پیشنهادی PHP برای محیط عملیاتی (Production)، امکان اجرای کد از راه دور (RCE) را فراهم کند.

طبق گفته اسپنسر مک‌اینتایر (Spencer McIntyre)، مدیر توسعه اکسپلویت در شرکت VulnCheck، یکی از بزرگ‌ترین موانع، تصادفی‌سازی چیدمان فضای آدرس حافظه (ASLR) بوده است؛ سازوکاری حفاظتی که با هدف دشوارتر کردن بهره‌برداری از آسیب‌پذیری‌های فساد حافظه (Memory Corruption) طراحی شده است. تیم ما یک تکنیک جدید توسعه داده است که در آن، دو آسیب‌پذیری به یکدیگر زنجیره می‌شوند. در این روش، از نشت اطلاعات حافظه برای دور زدن ASLR و دستیابی به اجرای کد از راه دور در سیستم‌های x86-64 استفاده می‌شود؛ حتی زمانی که PHP از تنظیمات پیشنهادی خود برای نمایش خطاها در محیط عملیاتی استفاده می‌کند.

پیامدهای امنیتی بهره‌برداری موفق

شرکت VulnCheck هشدار داده است که بهره‌برداری موفق از این آسیب‌پذیری‌ها می‌تواند پیامدهای جدی برای سازمان‌ها داشته باشد. مهاجم می‌تواند کد دلخواه خود را با سطح دسترسی برنامه وب اجرا کند و به اطلاعات حساسی مانند کلیدهای API، اطلاعات اتصال به پایگاه داده و سایر سرویس‌های داخلی در دسترس برنامه دسترسی پیدا کند.

مک‌اینتایر تأکید کرده است که برای ایجاد خسارت قابل‌توجه، لزوماً نیازی به دسترسی مدیر سیستم یا کاربر ریشه (Root) نیست. دسترسی به یک برنامه وب آسیب‌پذیر می‌تواند نقطه اتکایی برای نفوذ به بخش‌های دیگر زیرساخت سازمان فراهم کند.

میلیون‌ها تلاش برای بهره‌برداری

گزارش‌های منتشرشده نشان می‌دهند که تلاش‌های گسترده‌ای برای بهره‌برداری از این آسیب‌پذیری‌ها در جریان است. از جمله این فعالیت‌ها، تلاش‌هایی از سوی یک آدرس IP مستقر در چین بوده است که با هدف بارگذاری یک وب‌شل (Web Shell)، از طریق فایل نشست سمت سرور انجام شده‌اند.

شرکت زیرساخت وب Cloudflare اعلام کرده است که تنها ۴۵ دقیقه پس از اعلام عمومی آسیب‌پذیری‌ها، ده‌ها هزار تلاش برای بهره‌برداری را مشاهده کرده است. این تعداد طی دو ساعت به صدها هزار مورد رسید و تا اوایل روز ۲۲ اکتبر ۲۰۲۶، شمار تلاش‌ها به میلیون‌ها مورد افزایش یافت.

شرکت Cisco Talos در تحلیل خود اعلام کرده است که بخش عمده فعالیت‌های مشاهده‌شده شامل اسکن سیستم‌ها و تلاش‌های پراکنده برای ارسال محموله‌های مختلف بوده است. این شرکت توضیح داده است که اسکن یا بهره‌برداری اولیه با استفاده از کد اثبات مفهوم (Proof of Concept یا PoC) عمومی، به تلاش بسیار کمتری نسبت به ادغام آسیب‌پذیری در ابزارهای اختصاصی مهاجم نیاز دارد.

داده‌های تله‌متری شرکت Previdian نیز صدها تلاش برای بهره‌برداری از آسیب‌پذیری CVE-2026-109618 را از ده‌ها آدرس IP مختلف ثبت کرده‌اند. تلاش‌هایی برای بهره‌برداری از CVE-2026-109619 نیز مشاهده شده است، اما تعداد آن‌ها کمتر بوده است. نخستین رویداد بهره‌برداری ثبت‌شده برای CVE-2026-109618 در ۲۱ اکتبر ۲۰۲۶، ساعت ۱۳:۰۵ به وقت هماهنگ جهانی (UTC) رخ داده است.

این ارزیابی را شرکت‌ها و پروژه‌های امنیتی دیگری از جمله Beelzebub، Dataminr و Wordfence نیز تأیید کرده‌اند. بر اساس فعالیت‌های مشاهده‌شده تا این زمان، اقدامات مهاجمان عمدتاً به موارد زیر محدود بوده است:

• اسکن و شناسایی سیستم‌ها: بررسی وب‌سایت‌ها و سرورهای آسیب‌پذیر.
• شناسایی اثرانگشت سامانه (Fingerprinting): جمع‌آوری اطلاعات درباره نسخه PHP و پیکربندی سرورهای هدف.
• آزمایش اجرای دستور: تلاش برای تأیید امکان اجرای فرمان‌های دلخواه روی سرور.
• سرقت اطلاعات حساس: تلاش برای استخراج اعتبارنامه‌ها و اسرار ذخیره‌شده در متغیرهای محیطی (Environment Variables).
• ایجاد دسترسی ماندگار (Persistence): تلاش برای حفظ دسترسی به سیستم آلوده پس از نفوذ اولیه.
• دریافت و اجرای محموله مرحله دوم (Second-Stage Payload): تلاش برای دانلود و اجرای کد مخرب تکمیلی پس از دستیابی اولیه.

آدرس‌های IP شناسایی‌شده در تلاش‌های حمله

شرکت Wordfence فهرست زیر را به‌عنوان تعدادی از آدرس‌های IP شناسایی‌شده در تلاش برای بهره‌برداری از این آسیب‌پذیری‌ها منتشر کرده است:

• 87.121.84[.]174
• 181.215.186[.]252
• 185.196.220[.]132
• 185.161.210[.]29
• 152.233.51[.]69
• 45.134.225[.]16
• 107.189.14[.]87
• 193.47.62[.]24
• 2409:40d2:204e:4be:2a1f:f9c9:a055:e00b
• 103.147.220[.]17

مشاهده این آدرس‌ها در گزارش‌های امنیتی می‌تواند برای بررسی لاگ‌ها و شناسایی فعالیت‌های مشکوک مفید باشد؛ با این حال، وجود یک آدرس در چنین فهرستی به‌تنهایی اثبات‌کننده نفوذ موفق نیست.

میلیون‌ها سرویس PHP در معرض خطر

با توجه به اینکه برای بسیاری از نسخه‌های قدیمی PHP وصله رسمی از سوی پروژه اصلی منتشر نمی‌شود، انتظار می‌رود PHP2Shell برای مدت طولانی تهدیدی جدی باقی بماند؛ وضعیتی که می‌تواند به شرایط مشاهده‌شده پس از افشای آسیب‌پذیری Log4Shell شباهت داشته باشد.

بر اساس برآوردهای VirusTotal، متعلق به گوگل، حدود ۲۷۲ هزار میزبان از شاخه‌های تحت پشتیبانی PHP، یعنی نسخه‌های 8.2 تا 8.5، استفاده می‌کنند.

سازمان‌هایی که همچنان از PHP 7.4، 8.0 یا 8.1 استفاده می‌کنند، باید به یکی از شاخه‌های تحت پشتیبانی مهاجرت کنند یا در صورت ارائه وصله معتبر از سوی توزیع‌کننده، از نسخه اصلاح‌شده دارای وصله Backport استفاده کنند.

پلتفرم مدیریت سطح حمله Censys نیز اعلام کرده است که بیش از ۳٫۰۸ میلیون میزبان و ۵۶٫۶ میلیون دارایی وب را شناسایی کرده که PHP روی آن‌ها اجرا می‌شود. طبق ارزیابی این پلتفرم تا ۲۳ اکتبر ۲۰۲۶، بیش از ۳۴٫۴ میلیون سرویس PHP همچنان آسیب‌پذیر ارزیابی شده‌اند.

شرکت Dataminr هشدار داده است که بسیاری از برنامه‌هایی که از وب‌سرورها و زیرساخت‌های مشابه استفاده می‌کنند، ممکن است تا زمان انتشار و اعمال اصلاحات از سوی فروشندگان مربوطه آسیب‌پذیر باقی بمانند. در نتیجه، حتی پس از اعمال وصله‌ها روی برنامه‌هایی که مستقیماً تحت مالکیت و مدیریت سازمان هستند، سایر اجزای زیرساخت ممکن است همچنان در معرض خطر باشند.

توصیه‌های امنیتی

آسیب‌پذیری‌های بحرانی PHP2Shell با شناسه‌های CVE-2026-109618 و CVE-2026-109619 موج گسترده‌ای از تلاش‌های بهره‌برداری را به دنبال داشته‌اند. مهاجمان علاوه بر تلاش برای اجرای کد از راه دور، در برخی حملات به دنبال آلوده‌سازی سامانه‌ها و گسترش بات‌نت Mirai با نام Potassium بوده‌اند. گزارش‌ها از میلیون‌ها تلاش برای بهره‌برداری حکایت دارند، هرچند تعداد این تلاش‌ها لزوماً به معنای نفوذ موفق نیست.

سازمان‌ها باید در اسرع وقت PHP را به نسخه اصلاح‌شده و تحت پشتیبانی ارتقا دهند، سامانه‌های آسیب‌پذیر را شناسایی کنند و لاگ‌های وب‌سرور را برای یافتن درخواست‌های مشکوک، اجرای دستورات غیرعادی و نشانه‌های آلودگی بررسی کنند. همچنین، ارزیابی سرویس‌های ثالث و محدودسازی موقت دسترسی به سامانه‌های وصله‌نشده می‌تواند به کاهش خطر کمک کند.