شرکت امنیتی Wiz Research مجموعه‌ای از آسیب‌پذیری‌های حیاتی را در موتور اصلی PHP در 21 اکتبر 2026 فاش کرد و هشدار داد که این نقص‌ها - که مجموعاً PHP2Shell نامیده می‌شوند - امکان اجرای کد از راه دور غیرقابل احراز هویت و افشای حافظه به سبک Heartbleed را در نرم‌افزاری که تقریباً از تمام وب‌سایت‌ها را پشتیبانی می‌کند، می‌کند. پروژه PHP در همان روز وصله‌هایی را منتشر کرد و Wiz خواستار به‌روزرسانی‌های فوری در پایگاه عظیم نصب‌شده وب است.

PHP ستون فقرات بسیاری از اینترنت است: وردپرس، جوملا، دروپال و مدیاویکی، نرم افزاری که ویکی پدیا را اجرا می کند، قدرت می دهد. مهمتر از همه، اشکالات جدید فاش شده در موتور اصلی PHP وجود دارند، نه در هیچ برنامه ای که روی آن ساخته شده است، به این معنی که سایت ها می توانند حتی زمانی که کد برنامه خودشان امن است، در معرض دید قرار گیرند. For more context on this story, see our ongoing more AI stories.

آسیب پذیری ها چیست؟

بر اساس نوشته‌های فنی Wiz توسط محققین Sagi Tzadik، Shir Tamari، Nir Ohfeld و Tomer Schwartz، همه باگ‌های فاش‌شده مشکلات ایمنی حافظه هستند که ریشه در نحوه مدیریت PHP با خطاهای کشنده در طول پردازش درخواست - به‌ویژه خطاهای خارج از حافظه دارند. یک درخواست خراب می‌تواند وضعیت PHP داخلی خراب را پشت سر بگذارد، و درخواست یا کارگر بعدی که از آن حالت بیات استفاده مجدد می‌کند، می‌تواند باعث افشای حافظه یا تخریب حافظه شود.

یافته ها در دو CVE با حداکثر شدت CVSS 9.2 گروه بندی شدند:

  • CVE-2026-109618 - یک سریال‌ساز با پیشرفت آپلود که پس از آزاد شدن استفاده می‌کند که مهاجم می‌تواند برای افشای حافظه از راه دور فرآیند و در زنجیره‌های نشان‌داده‌شده، اجرای کامل کد از راه دور استفاده کند. Wiz افشای احراز هویت نشده حافظه کارگر PHP و RCE پیش از احراز هویت را در وردپرس، دروپال و جوملا نشان داد.
  • CVE-2026-109619 - یک بک ردیاب خطای مرگبار استفاده پس از آزاد شدن همراه با سردرگمی نوع OPcache، همچنین نشان داده شده است که اجرای کد از راه دور پیش از احراز هویت را در دروپال و وردپرس انجام می دهد.

ویز گفت: حافظه ای که مهاجمان می توانند بخوانند ممکن است حاوی رمزهای عبور، نشانه های احراز هویت، کلیدهای API و گواهی های متعلق به سایر درخواست ها یا خود سرور باشد. هر نسخه PHP که در دهه گذشته منتشر شده است - به PHP 5.4 برمی گردد - حداقل تحت تأثیر یکی از آسیب پذیری ها قرار می گیرد و این شرکت می گوید که این آسیب پذیری ها در زمره شدیدترین نقص هایی هستند که تاکنون در PHP پیدا شده است.

جایی که هوش مصنوعی وارد می شود

مهم‌ترین ادعا در گزارش Wiz اصلاً در مورد PHP نیست، بلکه در مورد کارهایی است که مدل‌های هوش مصنوعی مرزی برای بهره‌برداری از توسعه انجام داده‌اند.

Wiz می نویسد که ایرادات اساسی برای چندین دهه وجود داشته است، اما اثبات قابلیت بهره برداری مستلزم "یک زنجیره بسیار پیچیده از مراحل، در لبه آنچه محققین انسانی عملا می توانند به دست آورند" است. این اکسپلویت باید چندین نقص را زنجیره ای می کرد و از طریق آزمایش و اشکال زدایی مکرر با چیدمان حافظه هر هدف سازگار می شد.

این شرکت می‌گوید مدل‌های هوش مصنوعی مرزی به‌طور قابل‌توجهی این مانع را کاهش دادند - "تبدیل یک نقص قدیمی به یک سوء استفاده" - و به تیم Wiz این امکان را داد تا در چند ساعت به جای هفته‌ها، اکسپلویت‌های کاری را در چندین برنامه توسعه دهند و تطبیق دهند.

محققان نوشتند: "با کاهش زمان و تخصص مورد نیاز برای این کار، پیچیدگی ممکن است دیگر مانع معنی‌داری ایجاد نکند و نحوه تعریف ما را در عمل آسیب‌پذیر تغییر دهد."

نقطه عطفی در عصر هوش مصنوعی؟

Wiz صراحتاً PHP2Shell را در کنار دو نقطه نقطه عطف قبلی در امنیت وب قاب بندی می کند: Heartbleed در سال 2014 که شکنندگی زیرساخت مشترک امنیت اینترنت را آشکار کرد و Log4Shell در سال 2021 که نشان داد وابستگی های نرم افزاری عمیق تعبیه شده چگونه در معرض گسترده قرار می گیرند. این شرکت استدلال می‌کند که PHP2Shell می‌تواند نقطه عطف مشابهی را نشان دهد - این بار نشان می‌دهد که چگونه هوش مصنوعی قابلیت بهره‌برداری عملی از ضعف‌های شناخته شده را تغییر می‌دهد.

این فریمینگ فراتر از PHP اهمیت دارد. آسیب‌پذیری‌های نظری که به‌دلیل اینکه بهره‌برداری از آن‌ها بسیار سخت، بسیار آهسته یا بیش از حد تخصصی بود، به‌طور ایمن دور از دسترس بودند، اکنون ممکن است در دسترس مهاجمان با منابع خوب مجهز به ابزارهای هوش مصنوعی قرار بگیرند - تغییری با پیامدهای آشکار برای بودجه‌های دفاعی، تغییرات وصله‌ها و جدول‌های زمانی افشا در صنعت نرم‌افزار.

یک رفع هماهنگ بین صنعتی

افشاگری هماهنگ شده بود. Wiz از تیم PHP و OpenAI برای کارشان در زمینه کشف، هماهنگی و تأیید وصله تشکر کرد و خاطرنشان کرد که OpenAI و PHP هر دو نوشته‌های فنی خود را از تاریخچه و فرآیند افشای آسیب‌پذیری منتشر کردند.

یک گروه بین‌صنعتی - از جمله Automattic، Akamai، AWS، Cloudflare، Fastly، Google، Imperva، Microsoft و Vercel - برای مشتریانی که نمی‌توانند فوراً وصله کنند، راهنمایی‌ها و کاهش‌های خارج از جعبه را آماده کردند. Cloudflare به طور جداگانه در 21 اکتبر اعلام کرد که حفاظت های WAF را در برابر آسیب پذیری های PHP برای مشتریان خود مستقر کرده است.

آنچه صاحبان سایت باید انجام دهند

توصیه ویز صریح است: فوراً وصله کنید. پروژه PHP رفع آسیب‌پذیری‌های ایمنی حافظه را در 21 اکتبر 2026 منتشر کرد و هر استقرار PHP پشتیبانی شده باید در اسرع وقت به‌روزرسانی شود.

سازمان‌هایی که نمی‌توانند فوراً وصله کنند، باید اقدامات کاهشی منتشر شده توسط ارائه‌دهندگان CDN، میزبانی یا WAF خود را اعمال کنند، که چندین مورد از آنها قوانینی را ارسال کردند که زنجیره‌های بهره‌برداری را در روز اول هدف قرار می‌دهند. مدیران ناوگان وردپرس، دروپال و جوملا باید این را به عنوان یک چرخه وصله اولویت دار در نظر بگیرند: Wiz اجرای کد از راه دور پیش از احراز هویت را در برابر هر سه پلتفرم نشان داد، و مسیرهای کد آسیب‌پذیر صرف نظر از اینکه برنامه‌های کاربردی بالای آنها چقدر به خوبی نگهداری می‌شوند، وجود دارند.

درس عمیق‌تر ممکن است همان چیزی باشد که خود Wiz گرفت: وقتی هوش مصنوعی می‌تواند ماه‌ها مهندسی بهره‌برداری را به ساعت‌ها فشرده کند، تعریف کاری صنعت از «عملا قابل بهره‌برداری» - و همراه با آن، معنای خطوط زمانی وصله‌های مسئولانه - به تازگی تغییر کرده است.

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →