تحقیقات جدید شرکت امنیتی NowSecure نشان می‌دهد که تعداد زیادی از اپلیکیشن‌های موبایل اندروید و iOS به سرورهایی متصل هستند که از نسخه‌های آسیب‌پذیر PHP استفاده می‌کنند. این موضوع، امنیت زیرساخت‌های پشتیبان (Backend) این اپلیکیشن‌ها را به شدت تهدید می‌کند.
جزئیات آسیب‌پذیری‌های PHP2Shell
پروژه PHP اصلاحیه‌هایی را برای دو آسیب‌پذیری بحرانی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 منتشر کرده است. هر دوی این آسیب‌پذیری‌ها دارای امتیاز CVSS v4.0 9.2 هستند. این نقص‌ها به مهاجمان اجازه می‌دهند بدون نیاز به احراز هویت (Unauthenticated)، کدهای مخرب را روی سرورهای هدف اجرا کنند (RCE).
- محدوده اثرگذاری: این آسیب‌پذیری‌ها مستقیماً بر نرم‌افزار نصب شده روی گوشی کاربران تأثیر نمی‌گذارند، بلکه سرورهایی را هدف قرار می‌دهند که اپلیکیشن‌ها با آن‌ها در ارتباط هستند.
- ریسک Apache: سرورهایی که از کامپوننت mod_php در وب‌سرور Apache استفاده می‌کنند، در معرض خطر بیشتری هستند، زیرا حمله می‌تواند پیش از اجرای کدهای اصلی وب‌سایت انجام شود.
آمار و ارقام کلیدی از بررسی NowSecure
در بررسی ۱۵,۴۲۹ اپلیکیشن موبایل، نتایج زیر حاصل شده است:
- ۸.۵٪ از کل اپلیکیشن‌های بررسی شده به حداقل یک سرور PHP آسیب‌پذیر متصل بودند.
- ۴۲۶ اپلیکیشن (معادل ۹۳.۸٪ از موارد شناسایی شده) با سرورهای دارای نسخه آسیب‌پذیر در ارتباط بودند.
- ۱۷۰ اپلیکیشن از سرورهایی با نسخه‌های قدیمی و منسوخ (End-of-Life) استفاده می‌کردند که دیگر به‌روزرسانی امنیتی دریافت نمی‌کنند.
توصیه‌های امنیتی برای توسعه‌دهندگان و مدیران SOC
تیم‌های امنیتی باید این یافته‌ها را به عنوان یک حادثه امنیتی در سطح زیرساخت و اپلیکیشن در نظر بگیرند. اقدامات ضروری عبارتند از:
- به‌روزرسانی فوری: ارتقای سرورها به نسخه‌های امن PHP شامل 8.2.35، 8.3.36، 8.4.27 یا 8.5.12.
- مدیریت نسخه‌های قدیمی: انتقال از نسخه‌های PHP 8.1 یا قدیمی‌تر به شاخه‌های تحت پشتیبانی.
- بازرسی لاگ‌ها: بررسی دقیق Logهای سرور برای یافتن نشانه‌هایی از اکسپلویت (Exploit) یا نشت اطلاعات حساس مانند توکن‌های دسترسی (Access Tokens).
به‌روزرسانی (اکتبر 23, 2026 — zdnet.com)
به‌روزرسانی: تحقیقات جدید نشان می‌دهد که حملات مربوط به PHP2Shell با سرعت بسیار بالایی در حال گسترش هستند. شرکت‌های Cloudflare و Amazon تأیید کرده‌اند که اکسپلویت‌های فعال (in-the-wild) برای این آسیب‌پذیری‌ها مشاهده شده است؛ به‌طوری که Cloudflare میلیون‌ها تلاش برای اکسپلویت را ثبت کرده و Amazon نیز فعالیت‌های مخرب را چهار روز پیش از انتشار عمومی شناسایی کرده است. همچنین، گزارش‌ها حاکی از تلاش یک عامل تهدید (threat actor) برای ایجاد یک بات‌نت (botnet) مشابه Mirai از طریق این زنجیره حمله است.
علاوه بر آسیب‌پذیری‌های اصلی، یک وکتور جدید برای اجرای کد از راه دور (RCE) تحت عنوان CVE-2026-115560 شناسایی شده است. اگرچه این وکتور به دلیل نیاز به پیکربندی خاص، “غیرمحتمل” توصیف شده، اما برای مقابله با آن، توسعه‌دهندگان باید از تنظیم session.upload_progress.enabled=0 استفاده کنند. این حالت زمانی خطرناک است که اپلیکیشن session.serialize_handler را در پیکربندی روی php_binary یا php_serialize قرار داده و سپس در زمان اجرا (runtime) با استفاده از تابع ini_set() آن را به php تغییر دهد.
توصیه می‌شود تمامی سازمان‌ها بلافاصله نسخه‌های زیر را به‌روزرسانی کنند: PHP 8.5.12، 8.4.27، 8.3.36 یا 8.2.35. سازمان‌های NSA نیز بر لزوم انجام موجودی‌برداری (inventory) از تمامی سرویس‌های مبتنی بر PHP و اولویت‌بندی وصله‌های امنیتی تأکید کرده‌اند.
به‌روزرسانی (اکتبر 23, 2026 — therecord.media)
به‌روزرسانی: گزارش‌های جدید از سوی شرکت‌هایی نظیر Amazon نشان می‌دهد که تلاش‌های اکسپلویت (Exploitation) مربوط به آسیب‌پذیری‌های PHP2Shell از اواسط اکتبر آغاز شده است. تحلیل‌ها حاکی از آن است که این تلاش‌ها با بات‌نت‌های (Botnet) شناخته‌شده‌ای مانند Potassium و Mirai مرتبط هستند که هدف آن‌ها تبدیل دستگاه‌های آلوده به بخشی از شبکه‌های حملات DDoS است.
با وجود اینکه بسیاری از اثبات‌های مفهوم (PoC) موجود در فضای مجازی در محیط‌های واقعی به دلیل وجود مکانیزم ASLR (Address Space Layout Randomization) با چالش‌های فنی مواجه می‌شوند، اما محققان هشدار داده‌اند که این مانع دائمی نیست. تیم VulnCheck موفق به توسعه تکنیکی برای دور زدن (Bypass) این مکانیزم شده است که نشان می‌دهد توانایی تبدیل این آسیب‌پذیری به یک ابزار حمله گسترده (Weaponized Exploit) کاملاً وجود دارد.
طبق داده‌های Censys، در حال حاضر بیش از ۴۱ میلیون سرویس PHP در سطح اینترنت در معرض این آسیب‌پذیری قرار دارند، در حالی که تنها حدود یک میلیون مورد به‌روزرسانی شده‌اند. فعال شدن اسکنرهای خودکار برای شناسایی سیستم‌های آسیب‌پذیر، نشان‌دهنده این است که مهاجمان لیست‌های هدف دقیقی را برای حملات احتمالی در آینده آماده می‌کنند.
