دو آسیب‌پذیری PHP2Shell پای گوگل و OpenAI را به میان کشید

دو آسیب‌پذیری بحرانی در زبان برنامه‌نویسی PHP که اکنون با نام PHP2Shell شناخته می‌شوند، این هفته بنیاد PHP را وادار کردند در شرایط اضطراری وصله‌های امنیتی منتشر کند. هم‌زمان، گوگل، OpenAI و آمازون نیز در ماجرایی مطرح شدند که به همان اندازه که به امنیت وب مربوط است، به هوش مصنوعی هم ارتباط دارد. طبق گزارش شبکه CNBC، این آسیب‌پذیری‌ها در ۲۱ اکتبر ۲۰۲۶ به‌طور عمومی افشا شدند؛ پس از آنکه پژوهشگرانی با کمک سامانه‌های هوش مصنوعی OpenAI و گوگل، پیش از اجرای اصلاحات هماهنگ، به شناسایی و تأیید این نقص‌ها کمک کردند.

PHP همچنان بخش بزرگی از زیرساخت سمت سرور وب را اداره می‌کند؛ از وب‌سایت‌های وردپرسی گرفته تا سامانه‌های اختصاصی سازمانی. به همین دلیل، کشف دو آسیب‌پذیری اجرای کد از راه دور بدون نیاز به احراز هویت در هسته این زبان، موجی از اقدامات فوری را در صنعت میزبانی وب و خدمات ابری به راه انداخت. کلادفلر می‌گوید حدود ۹ ساعت پیش از افشای عمومی، محافظت‌های فایروال برنامه‌های وب یا WAF را فعال کرده است. بنیاد PHP نیز همان روز وصله‌ها را منتشر کرد. OpenAI در بیانیه‌ای صریح اعلام کرد انتظار دارد موارد مشابه کشف آسیب‌پذیری در ماه‌های آینده «به‌شدت افزایش یابد».

این گزارش تحلیلی بررسی می‌کند کدام بخش‌های ماجرای PHP2Shell تأیید شده‌اند، کدام موارد هنوز برآورد به شمار می‌روند و این رویداد درباره نقش فزاینده مدل‌های زبانی بزرگ در کشف و احتمالاً تسلیحاتی‌کردن آسیب‌پذیری‌های نرم‌افزاری در مقیاس اینترنت چه می‌گوید.

PHP2Shell چیست؟ بررسی CVE-2026-109618 و CVE-2026-109619

PHP2Shell نام غیررسمی دو آسیب‌پذیری ثبت‌شده با شناسه‌های CVE-2026-109618 و CVE-2026-109619 است که در زبان برنامه‌نویسی متن‌باز PHP شناسایی شده‌اند. طبق اطلاعیه بنیاد PHP، این نقص‌ها می‌توانند به مهاجمی که احراز هویت نشده است اجازه دهند از راه دور روی سرور وب آسیب‌پذیر کد اجرا کند. در عمل، مهاجم برای تلاش به‌منظور در دست گرفتن کنترل سامانه، مختل کردن خدمات آن یا دسترسی به داده‌های مشتریان، از جمله گذرواژه‌هایی که در پشت آن قرار دارند، به حساب کاربری معتبر یا دسترسی قبلی به سیستم هدف نیاز ندارد.

شدت خطر باعث شد بنیاد PHP پس از تأیید نقص‌ها سریع دست به کار شود. پیش از افشای عمومی در ۲۱ اکتبر ۲۰۲۶، اصلاحیه آماده شده بود و بنیاد از همه مدیران وب‌سایت‌هایی که نسخه‌های آسیب‌پذیر PHP را اجرا می‌کنند خواست فوراً سیستم‌های خود را به‌روزرسانی کنند. وجود دو شناسه جداگانه CVE برای PHP2Shell نیز قابل توجه است: این موضوع نشان می‌دهد ضعف زیربنایی در نحوه پردازش برخی ورودی‌ها در PHP ممکن است از بیش از یک مسیر کدی قابل بهره‌برداری باشد. همین مسئله یکی از دلایلی است که پژوهشگران امنیتی این رویداد را فراتر از یک اصلاح معمولی می‌دانند که بتوان پس از نصب وصله از کنار آن گذشت.

از آنجا که PHP زیربنای بخش بزرگی از وب سمت سرور، از جمله شمار قابل توجهی از سامانه‌های مدیریت محتوا، است، دامنه واقعی خسارت احتمالی PHP2Shell تا حد زیادی به سرعت نصب وصله‌ها بستگی دارد. آسیب‌پذیری در چارچوبی تخصصی که فقط چند هزار وب‌سایت از آن استفاده می‌کنند، با نقصی در زبانی که بخش عظیمی از زیرساخت پشتی وب را اداره می‌کند، تفاوت زیادی دارد. به همین دلیل، PHP2Shell در فاصله یک چرخه خبری از یک اطلاعیه فنی به یکی از خبرهای اصلی حوزه فناوری تبدیل شد.

مدل‌های هوش مصنوعی چگونه این نقص را شناسایی و تأیید کردند؟

آنچه PHP2Shell را از افشاگری‌های معمول متمایز می‌کند، نقش گزارش‌شده سامانه‌های هوش مصنوعی در کشف و تأیید آسیب‌پذیری است. طبق گزارش‌های منتشرشده درباره این رویداد، ابزارهای هوش مصنوعی مرتبط با پژوهش عبارت بودند از Wiz Atlas، مدل Gemini 4 Argon گوگل و GPT-5.6 Sol شرکت OpenAI. پژوهشگرانی از OpenAI و Wiz و گروهی با نام Calif در کشف یا تأیید نقص‌ها مشارکت داشتند. کلادفلر نیز پیش از افشای عمومی، مستقیماً با بنیاد PHP و این گروه‌های پژوهشی برای رفع مشکل همکاری کرد.

تیم پژوهشی Wiz مقایسه‌ای مطرح کرد که در بیشتر گزارش‌های این رویداد بازتاب یافته است. این تیم اعلام کرد که «مدل‌های پیشرفته هوش مصنوعی این مانع را به‌طور چشمگیری کاهش دادند و نقصی دیرینه را به یک اکسپلویت عملی تبدیل کردند». این اظهارنظر به نقل از CNN Business منتشر شد. اهمیت این برداشت در آن است که PHP2Shell را نه صرفاً یک باگ تازه، بلکه ضعفی معرفی می‌کند که شاید مدت‌ها در کد PHP وجود داشته و تنها زمانی به مسئله‌ای قابل بهره‌برداری در عمل تبدیل شده است که ابزارهای هوش مصنوعی، تحلیل کد و ساخت زنجیره بهره‌برداری را سریع‌تر و در دسترس‌تر کرده‌اند.

این روایت با شیوه کشف بسیاری از آسیب‌پذیری‌های وب در گذشته تفاوت معناداری دارد؛ آسیب‌پذیری‌هایی که معمولاً از طریق بررسی دستی کد، آزمون فازی یا شهود پژوهشگرانی با سال‌ها تجربه تخصصی کشف می‌شدند. اگر مدل‌های هوش مصنوعی واقعاً توانسته باشند زمان و تخصص لازم برای تبدیل یک بخش مشکوک از کد به زنجیره‌ای عملی برای اجرای کد از راه دور را کاهش دهند، پیامدهای این توانایی بسیار فراتر از PHP خواهد بود. Business Insider Africa نیز در گزارش خود درباره اختلال‌های ناشی از این رویداد به همین مسئله پرداخته است. گروه‌های امنیتی و مهاجمان هر دو می‌کوشند چنین ارتقای توانایی را در دیگر اجزای متن‌باز پرکاربرد تکرار کنند. برای بررسی گسترده‌تر تحولات مدل‌های هوش مصنوعی، می‌توان به گزارش عرضه جهانی Gemini 4 Argon مراجعه کرد؛ گزارشی که افزایش ظرفیت پنجره زمینه و عمق استدلال این مدل را بررسی می‌کند، دو قابلیتی که مستقیماً به چنین تحلیل‌هایی از کد مربوط‌اند.

هشدار OpenAI: انتظار می‌رود «یافته‌های مشابه» افزایش یابند

اظهارنظر عمومی OpenAI درباره PHP2Shell بیشتر به هشدار شباهت دارد تا اعلام پیروزی. این شرکت گفت آسیب‌پذیری‌های PHP «در میان چندین آسیب‌پذیری مهم» قرار دارند که شناسایی کرده است و انتظار دارد «یافته‌های مشابه در ماه‌های آینده به‌شدت افزایش یابند». این سخنان اذعانی روشن به این واقعیت است که PHP2Shell رویدادی منفرد نیست؛ OpenAI آن را نخستین نمونه‌ای می‌داند که به‌طور گسترده دیده شده و الگویی را نشان می‌دهد که انتظار دارد تکرار شود.

OpenAI همچنین مستقیماً به دوکاربردی بودن این قابلیت پرداخت. این شرکت اعلام کرد: «با توجه به شدت این نقص‌ها و گستردگی استفاده از PHP، این مورد را یکی از اثرگذارترین مسائل امنیتی سال‌های اخیر می‌دانیم.» شرکت در ادامه خاطرنشان کرد که این کشف «نشان می‌دهد هوش مصنوعی چگونه می‌تواند نقص‌های امنیتی با پیامدهایی در مقیاس اینترنت را آشکار کند، اما همین قابلیت‌ها می‌توانند به مهاجمان نیز کمک کنند تا ابزارهای تهاجمی و اکسپلویت‌ها را به‌سرعت توسعه دهند». این اظهارات در گزارشی از نشریه The Inquirer بازتاب یافت.

همین دوکاربردی بودن، نکته محوری و کمتر آشکار ماجرای PHP2Shell است. قابلیت‌های مشابهی که به مدافعان در Wiz، OpenAI و گوگل امکان دادند یک نقص بحرانی را کشف و مسئولانه گزارش کنند، بنا بر توضیح خود OpenAI، می‌توانند در اختیار فردی نیز قرار بگیرند که قصد دارد همان نقص را زودتر پیدا کند و بی‌سروصدا از آن سوءاستفاده کند. مدل GPT-5.6 Sol شرکت OpenAI که در فرایند کشف این آسیب‌پذیری نامش مطرح شده، به همان خانواده مدل‌هایی تعلق دارد که گیت‌هاب اخیراً در ابزارهای برنامه‌نویسی خود به آن روی آورده است. این تغییر در گزارش انتقال GitHub Copilot به GPT-5.6 بررسی شده است.

روند زمانی انتشار وصله اضطراری بنیاد PHP

اقدام بنیاد PHP در مواجهه با PHP2Shell از الگوی افشای هماهنگ پیروی کرد؛ روشی رایج در پژوهش‌های مهم امنیتی که بر اساس آن ابتدا نقص برطرف می‌شود و سپس اطلاعات آن به‌طور عمومی منتشر می‌شود. در فاصله کوتاه میان این دو مرحله، به شرکای مورد اعتماد زیرساختی فرصت داده می‌شود اقدامات حفاظتی خود را اجرا کنند. پیش از افشای عمومی در ۲۱ اکتبر ۲۰۲۶، اصلاحیه آماده شده بود و بنیاد هم‌زمان با انتشار اطلاعیه، وصله‌های امنیتی را عرضه کرد و از مدیران وب‌سایت‌ها خواست فوراً سیستم‌هایشان را به‌روزرسانی کنند.

بنجامین هریس، مدیرعامل شرکت امنیتی watchTowr، در توصیف سرعت تحولات پس از انتشار خبر، لحنی صریح‌تر داشت. او به نقل از BleepingComputer گفت: «در یک ساعت گذشته، دو آسیب‌پذیری اجرای کد از راه دور در PHP افشا شده‌اند.» منظور او دوره‌ای بود که جزئیات PHP2Shell، پیش از انتشار رسمی و کاملاً هماهنگ، پس از آغاز گردش اطلاعات مشمول محرمانگی میان افراد مطلع، به بیرون درز کرد. چنین نشت زودهنگامی یکی از خطرهای شناخته‌شده فرایند افشای هماهنگ است و بخشی از دلیل اقدام کلادفلر برای استقرار محافظت‌ها پیش از انتشار عمومی اطلاعیه را توضیح می‌دهد؛ این شرکت به‌جای انتظار برای آغاز زمان‌بندی رسمی، زودتر وارد عمل شد.

الیزابت بارون، مدیر اجرایی بنیاد PHP، درباره فوریت اقدام مدیران وب‌سایت‌ها صریح بود. او به USA Today گفت: «این‌ها آسیب‌پذیری‌های بحرانی هستند و هر کسی که از PHP استفاده می‌کند باید هرچه سریع‌تر آن را ارتقا دهد.» این پیام به‌روشنی ضرورت اقدام فوری را بیان می‌کند و نشان می‌دهد که PHP2Shell در داخل بنیاد تا چه اندازه جدی‌تر از باگ‌هایی تلقی شده است که معمولاً با انتشار نسخه‌های اصلاحی جزئی برطرف می‌شوند.

کلادفلر و ۹ ساعت فرصت پیش از افشای عمومی

یکی از مشخص‌ترین جزئیات قابل راستی‌آزمایی در ماجرای PHP2Shell، زمان‌بندی اقدامات حفاظتی کلادفلر است. این شرکت اعلام کرد قواعد فایروال برنامه‌های وب را برای مشتریان رایگان و پولی خود حدود ۹ ساعت پیش از افشای عمومی آسیب‌پذیری‌ها مستقر کرده است. این فاصله زمانی در عمل اهمیت زیادی دارد: برای نقصی با چنین شدتی، پوشش گسترده WAF در شبکه مشتریان کلادفلر طی این ۹ ساعت احتمالاً توانسته است بخش قابل توجهی از تلاش‌های اولیه برای بهره‌برداری را مسدود کند؛ تلاش‌هایی که در غیر این صورت، بلافاصله پس از انتشار جزئیات عمومی به سرورهای اصلی وصله‌نشده می‌رسیدند.

این اقدام همچنین نمونه‌ای از عملکرد مطلوب افشای هماهنگ است. بنیاد PHP، گروه‌های پژوهشی هوش مصنوعی و کلادفلر به‌طور هم‌زمان با عموم مردم از وجود نقص مطلع نشدند؛ کلادفلر از پیش در جریان قرار گرفت تا پیش از آنکه مهاجمان به راهنمای عمومی بهره‌برداری دسترسی پیدا کنند، محافظت شبکه‌ای را طراحی و اجرا کند. این نتیجه با مواردی تفاوت اساسی دارد که در آن‌ها اقدامات کاهنده خطر چند روز یا چند هفته پس از انتشار اطلاعیه عمومی ارائه می‌شوند و در این فاصله، فرصت گسترده‌ای برای اسکن و سوءاستفاده فرصت‌طلبانه باقی می‌ماند.

بااین‌حال، همه سازمان‌هایی که نامشان در ارتباط با PHP2Shell مطرح شده، اقدام مشخص و قابل راستی‌آزمایی مشابهی را اعلام نکرده‌اند. برای درک دقیق این رویداد، باید میان اقدامات تأییدشده و ادعاهای کلی تمایز قائل شد؛ موضوعی که بخش بعدی به آن می‌پردازد.

گوگل، آمازون و غول‌های ابری؛ چه چیزهایی تأیید شده‌اند و چه چیزهایی نه؟

در بسیاری از گزارش‌ها، PHP2Shell به‌عنوان رویدادی توصیف شده که در آن «گوگل، OpenAI و آمازون واکنش نشان دادند»، اما همه بخش‌های این روایت به یک اندازه مستند نیستند. مشارکت OpenAI از طریق بیانیه‌های عمومی خود شرکت درباره کشف آسیب‌پذیری‌ها و هشدار آن درباره افزایش موارد مشابه به‌خوبی مستند شده است. نقش گوگل، طبق گزارش‌های منتشرشده، به معرفی مدل Gemini 4 Argon به‌عنوان یکی از سامانه‌های هوش مصنوعی مورد استفاده در فرایند کشف یا تأیید نقص‌ها مربوط می‌شود؛ این مشارکت فناورانه است، نه لزوماً بیانیه رسمی گوگل درباره واکنش به یک رخداد امنیتی.

درباره آمازون باید محتاط‌تر بود. گزارش‌های مربوط به PHP2Shell نام خدمات وب آمازون یا AWS را در میان دریافت‌کنندگان زودهنگام اطلاعات مربوط به اقدامات کاهنده خطر ذکر می‌کنند؛ یعنی این شرکت نیز مانند کلادفلر در مرحله هماهنگی پیش از افشای عمومی در جریان قرار گرفته است. اما برخلاف کلادفلر که اقدام مشخص و کمّی‌شده‌ای، یعنی استقرار قواعد WAF نه ساعت پیش از افشا، به نامش ثبت شده، در گزارش‌های موجود بیانیه مستند یا اقدام حفاظتی مشخصی از AWS دیده نمی‌شود. بنابراین، عبارت «آمازون واکنش نشان داد» را باید ساده‌سازی این واقعیت دانست که AWS پیش از افشای عمومی در میان دریافت‌کنندگان اطلاعات بوده است؛ این عبارت به معنای تأیید انتشار وصله‌ای مشخص از سوی AWS یا اظهارنظر عمومی مستقل این شرکت نیست.

به همین ترتیب، ادعاهای گسترده‌ای که از قطع دسترسی جهانی به وب‌سایت‌های دولتی و عمومی در پی PHP2Shell خبر می‌دهند، در گزارش‌هایی از جمله گزارش تایمز آو ایندیا مطرح شده‌اند، اما فهرست کامل و تأییدشده‌ای از وب‌سایت‌های آسیب‌دیده یا دامنه مستقل و راستی‌آزمایی‌شده این اختلال‌ها ارائه نشده است. این ادعا با توجه به ادامه تحولات ارزش پیگیری دارد، اما فعلاً باید آن را گزارشی تأییدنشده از یک رویداد دانست، نه واقعیتی که مستقلاً اثبات شده باشد. سازمان‌هایی که به‌طور معمول گزارش‌های پس از رخداد منتشر می‌کنند، از جمله نهادهایی که ابزارهای پاسخ‌گویی به رخدادهای امنیتی AWS را تشریح کرده‌اند، احتمالاً پس از انتشار بررسی‌های پس از حادثه می‌توانند ارقام دقیق‌تری ارائه دهند.

مقیاس خطر؛ واقعاً چه سهمی از اینترنت در معرض تهدید است؟

یکی از ارقامی که در تیترهای مربوط به PHP2Shell بیش از همه تکرار شده، ادعای احتمال تأثیر این آسیب‌پذیری‌ها بر ۷۰ درصد اینترنت است. این رقم به گزارش‌هایی مانند پوشش CNN Business برمی‌گردد که از «یک نقص امنیتی بحرانی مؤثر بر ۷۰ درصد اینترنت» سخن گفته‌اند. این تعبیر توجه‌برانگیز است و با توجه به کاربرد گسترده PHP در سامانه‌های مدیریت محتوا و برنامه‌های وب اختصاصی، از نظر کلی نامحتمل نیست؛ اما این عدد صراحتاً یک برآورد است، نه شمارش تأییدشده و اندازه‌گیری‌شده سرورها، میزبان‌ها یا دامنه‌های آسیب‌پذیر.

بخش مهمی از ظرافت موضوع هنگام بازنشر در شبکه‌های اجتماعی، در فاصله میان دو گزاره «PHP زیربنای بخش بزرگی از وب‌سایت‌هاست» و «۷۰ درصد اینترنت مشخصاً در برابر PHP2Shell آسیب‌پذیر است» از بین می‌رود. بسیاری از سامانه‌های مبتنی بر PHP از نسخه‌های قدیمی‌تر اما همچنان تحت پشتیبانی، پیکربندی‌های سخت‌سازی‌شده یا تنظیماتی استفاده می‌کنند که ممکن است از طریق همین زنجیره حمله مشخص قابل بهره‌برداری نباشند. برخی دیگر نیز ممکن است در همان ساعات نخست پس از افشا، به لطف سازوکارهای خودکار به‌روزرسانی در پلتفرم‌های بزرگ میزبانی، وصله بنیاد را نصب کرده باشند. تا زمانی که پژوهش‌های مستقل مبتنی بر اسکن اینترنت، آمار دقیقی از نمونه‌های PHP وصله‌نشده و در معرض دسترسی مستقیم از اینترنت منتشر نکنند، رقم واقعی در محدوده‌ای گسترده نامشخص باقی می‌ماند. رسانه‌هایی که رقم ۷۰ درصد را ذکر می‌کنند نیز در چارچوب گزارش خود، آن را برآورد معرفی کرده‌اند، نه آماری قطعی.

این عدم قطعیت به معنای کم‌اهمیت بودن PHP2Shell نیست. آسیب‌پذیری اجرای کد از راه دور بدون نیاز به احراز هویت در زبانی با این میزان استفاده، حتی اگر سهم واقعی سامانه‌های آسیب‌پذیر ۲۰ درصد باشد و نه ۷۰ درصد، یک وضعیت اضطراری واقعی است. نکته صرفاً این است که خوانندگان باید درصد مشخص را برآوردی در گردش بدانند، نه آماری نهایی و تثبیت‌شده.

چرا پژوهشگران امنیتی PHP2Shell را با Heartbleed مقایسه می‌کنند؟

تیم پژوهشی Wiz صراحتاً PHP2Shell را با آسیب‌پذیری Heartbleed در سال ۲۰۱۴ مقایسه کرده است؛ نقصی که ضعف‌هایی را در فناوری رمزنگاری پرکاربرد آشکار کرد و به یکی از رویدادهای شاخص امنیت اینترنت در آن دهه تبدیل شد. این مقایسه بیش از آنکه به سازوکار فنی خاص دو نقص مربوط باشد، به ماهیت و دامنه آن‌ها اشاره دارد: هر دو ضعف‌هایی دیرینه در زیرساخت‌هایی بسیار پرکاربرد بودند و همین گستردگی باعث شد یک نقص منفرد به خطری در مقیاس اینترنت تبدیل شود، نه مشکلی محدود به یک فروشنده یا محصول خاص.

Heartbleed تا حدی نقطه عطفی شد، زیرا نسل بزرگی از مدیران سامانه‌ها را وادار کرد با این واقعیت روبه‌رو شوند که امنیت بخش بزرگی از وب به شمار اندکی از اجزای متن‌باز مشترک وابسته است که به‌اندازه کافی بررسی نشده‌اند. PHP2Shell نیز به دلیل مشابهی با آن مقایسه می‌شود: PHP یکی از اجزای بنیادی و بازاستفاده‌شونده زیرساخت اینترنت است و نقص بحرانی در چنین مؤلفه‌ای به محصولات یک شرکت محدود نمی‌ماند. این نقص به مشکلی مشترک برای همه تبدیل می‌شود؛ از شرکت‌های بزرگ گرفته تا وب‌سایت‌های کوچک که روی سرویس‌های میزبانی اشتراکی ارزان اجرا می‌شوند.

وجه واقعاً تازه PHP2Shell، که در روایت Wiz نیز برجسته شده، نقش ابزارهای هوش مصنوعی در تبدیل نقصی احتمالا چندین‌ساله به مسئله‌ای است که یک مهاجم می‌تواند به‌سرعت از آن بهره‌برداری کند. Heartbleed از طریق بررسی سنتی و دستی کد شناسایی شد. اما طبق توضیحات پژوهشگران دخیل در PHP2Shell، در این مورد هوش مصنوعی برای گذر از یک ضعف نظری به اکسپلویتی عملی کمک کرد. این تفاوت برای نحوه برنامه‌ریزی صنعت امنیت به‌منظور حفاظت از زیرساخت متن‌باز در آینده اهمیت زیادی دارد.

واکنش بازار و هزینه وصله‌کردن در مقیاس اینترنت

اثر فوری PHP2Shell بر بازار کمتر در قیمت سهام و بیشتر در هزینه‌های عملیاتی دیده می‌شود: ساعت‌های کاری مهندسان برای نصب وصله‌ها، ارسال هشدارهای به‌روزرسانی اضطراری از سوی شرکت‌های میزبانی و بررسی‌های داخلی تیم‌های امنیتی برای مشخص کردن سامانه‌های در معرض خطر. برای پلتفرم‌های بزرگ میزبانی و ارائه‌دهندگان مدیریت‌شده وردپرس که PHP در زیرساخت میلیون‌ها وب‌سایت مشتریانشان اجرا می‌شود، هزینه عملی این رویداد در قالب درخواست‌های پشتیبانی، اجبار به ارتقای نسخه‌ها و خطر از کار افتادن برنامه‌هایی بروز می‌کند که هنگام اجرای وصله اضطراری به رفتار نسخه‌های قدیمی PHP وابسته‌اند.

این رویداد همچنین از نظر اعتباری برای شرکت‌هایی که در کشف مشکل نقش داشته‌اند اهمیت دارد. فروشندگان محصولات امنیتی و آزمایشگاه‌های هوش مصنوعی که می‌توانند به کشفی برجسته مانند PHP2Shell استناد کنند، در بازاری مزیت اعتباری به دست می‌آورند که در آن مشتریان سازمانی بیش از گذشته می‌پرسند ابزارهای هوش مصنوعی چگونه می‌توانند در برنامه‌های مدیریت آسیب‌پذیری آن‌ها به کار گرفته شوند. ارتباط Wiz، OpenAI و گوگل با کشف نقصی که از نظر دامنه اثر با Heartbleed مقایسه شده، پیش از آنکه در مقیاس گسترده مورد بهره‌برداری قرار گیرد، برای هر سه شرکت ارزش تبلیغاتی قابل توجهی دارد. این موضوع در بازار رقابتی فزاینده هوش مصنوعی برای امنیت اهمیت دارد؛ حوزه‌ای که گزارش رقابت ابزارهای امنیتی کلادفلر با AWS نیز از زاویه‌ای دیگر آن را دنبال کرده است.

برای سازمان‌ها، هزینه ماندگارتر در کار ممیزی پس از افشای یک آسیب‌پذیری در مقیاس اینترنت نهفته است: باید نسخه PHP در تمام سرویس‌ها مشخص شود، معلوم شود کدام سامانه‌ها پشت فایروال برنامه‌های وب قرار دارند و کدام‌یک مستقیماً از اینترنت قابل دسترسی‌اند، و تصمیم گرفته شود که آیا نصب اضطراری وصله، توقف موقت خدمات در ساعات کاری را توجیه می‌کند یا خیر. این هزینه‌ها در تیترهای خبری دیده نمی‌شوند، اما برای بیشتر سازمان‌ها بخش اصلی هزینه مالی PHP2Shell در نهایت از همین اقدامات ناشی خواهد شد.

مدل‌های هوش مصنوعی دخیل در کشف PHP2Shell

جدول بالا سهم واقعی هر سازمان را از هم تفکیک می‌کند، زیرا روایت رایج «واکنش گوگل، OpenAI و آمازون» اعتبار مربوط به مدل‌های هوش مصنوعی، پاسخ‌گویی شرکتی به رخداد و اقدامات حفاظتی زیرساختی را در یک تیتر ادغام می‌کند. گزارش‌های موجود از نقش‌های ذکرشده در هر ردیف پشتیبانی می‌کنند، اما نشان نمی‌دهند که هر چهار سازمان اقدام یکسان و تأییدشده‌ای انجام داده باشند.

واقعیت‌های تأییدشده در برابر برآوردهای گزارش‌شده

پیشینه تاریخی؛ از Heartbleed تا کشف آسیب‌پذیری با کمک هوش مصنوعی

افشاگری‌های مربوط به آسیب‌پذیری‌هایی با دامنه اثر در مقیاس اینترنت معمولاً در موج‌هایی رخ می‌دهند که با افزایش توجه به یکی از اجزای مشترک زیرساختی همراه‌اند. در سال ۲۰۱۴، Heartbleed باعث شد OpenSSL زیر ذره‌بین قرار گیرد. افشای Log4Shell در اواخر سال ۲۰۲۱ نیز همین وضعیت را برای یک کتابخانه پرکاربرد ثبت رویداد در جاوا ایجاد کرد و شرکت‌ها را واداشت سامانه‌های نرم‌افزاری خود را بررسی کنند؛ بسیاری از آن‌ها نمی‌دانستند این مؤلفه تا چه اندازه در زنجیره وابستگی‌هایشان حضور دارد. PHP2Shell همین الگو را برای خود PHP تکرار می‌کند: بخشی قدیمی، بالغ و بسیار پرکاربرد از زیرساخت اصلی وب که بسیاری از مدیران سامانه‌ها صرفاً به دلیل سال‌ها عملکرد بی‌سروصدا، آن را ایمن فرض می‌کنند.

وجه متمایز PHP2Shell نسبت به رویدادهای قبلی، روش کشف آن است. Heartbleed و Log4Shell هر دو با روش‌های سنتی پژوهش امنیتی، از جمله بررسی دستی کد، آزمون فازی و اتکا به تجربه پژوهشگران، کشف شدند. PHP2Shell نخستین افشاگری با چنین دامنه‌ای است که در آن سامانه‌های مشخص هوش مصنوعی، به‌ویژه GPT-5.6 Sol، Gemini 4 Argon و Wiz Atlas، به‌عنوان عوامل اصلی کشف و تأیید معرفی شده‌اند، نه صرفاً ابزارهای کمکی که در پس‌زمینه به کار رفته باشند. این تغییر با بحث گسترده‌تری در صنعت درباره نقش رو به رشد هوش مصنوعی در اقدامات تهاجمی و دفاعی امنیت سایبری هم‌خوانی دارد. همین موضوع در نحوه طرح پیشنهاد قانون‌گذاری آنتروپیک درباره ایمنی هوش مصنوعی و خطرهای دوکاربردی مدل‌های توانمندتر نیز دیده می‌شود. نشریه Mother Jones نیز این بحث را مستقیماً به افشای PHP2Shell مرتبط کرده است.

باید به یاد داشت که Heartbleed و Log4Shell در نهایت شیوه ممیزی وابستگی‌ها و تهیه فهرست اجزای نرم‌افزار را برای سال‌ها تغییر دادند. اگر PHP2Shell نیز همین مسیر را طی کند، اثر ماندگار افشای این هفته شاید نه خود وصله، بلکه تقویت تلاش‌ها برای اسکن نظام‌مند زیرساخت‌های متن‌باز با همان ابزارهای هوش مصنوعی باشد که این نقص را یافتند؛ آن هم پیش از آنکه مهاجمان زودتر به آن برسند.

رقابت میان Wiz Atlas، Gemini 4 Argon و GPT-5.6 Sol

PHP2Shell ناخواسته به نوعی آزمون عمومی برای سه سامانه هوش مصنوعی تبدیل شده است که سه سازمان با منافع تجاری متفاوت آن‌ها را ساخته‌اند. Wiz Atlas به‌طور ویژه برای پژوهش امنیتی و تحلیل وضعیت امنیتی زیرساخت‌های ابری طراحی شده است؛ بنابراین، مشارکت آن در تأیید یک زنجیره بهره‌برداری کاملاً با کاربرد مورد نظرش مطابقت دارد. در مقابل، GPT-5.6 Sol از OpenAI و Gemini 4 Argon از گوگل مدل‌های پیشرفته عمومی هستند که بیش از پیش برای انجام وظایف تخصصی، از جمله پژوهش درباره آسیب‌پذیری‌ها، به کار گرفته می‌شوند تا توانایی استدلال گسترده‌تر آن‌ها نشان داده شود؛ هرچند این وظایف هدف اصلی طراحی آن‌ها نیستند.

این تفاوت بر نحوه روایت احتمالی صنعت هوش مصنوعی از این افشاگری در آینده اثر می‌گذارد. Wiz می‌تواند PHP2Shell را شاهدی بر عملکرد موفق ابزارهای تخصصی هوش مصنوعی در حوزه امنیت معرفی کند. OpenAI و گوگل نیز می‌توانند آن را نشانه‌ای بدانند که مدل‌های عمومی پیشرفته‌شان اکنون آن‌قدر توانمند شده‌اند که در پژوهش‌های امنیتی جدی مشارکت مؤثر داشته باشند. این ادعا از نظر تجاری اهمیت دارد، زیرا هر دو شرکت محصولات هوش مصنوعی سازمانی خود را با تأکید بر توانایی‌های پیشرفته استدلال عرضه می‌کنند. برای مقایسه گسترده‌تر عملکرد این مدل‌ها، می‌توان به بررسی Claude Opus 5.5 در برابر GPT-6 Astra در آزمون Terminal-Bench مراجعه کرد؛ آزمونی که نوع دیگری از توانایی‌های فنی در شرایط واقعی را می‌سنجد.

هیچ‌یک از این سه سازمان تاکنون جزئیات فنی کاملی منتشر نکرده است که دقیقاً مشخص کند هر مدل چه کاری انجام داده، در کدام مرحله از فرایند کشف نقش داشته و در هر مرحله چه میزان نظارت انسانی وجود داشته است. این خلأ اطلاعاتی اهمیت دارد، زیرا روایت فعلی، مبنی بر اینکه ابزارهای هوش مصنوعی نقصی هم‌تراز با Heartbleed را کشف کرده‌اند، با جزئیات فنی پشتیبان بسیار قانع‌کننده‌تر خواهد بود تا زمانی که صرفاً به‌صورت ادعایی تکرارشونده در تیترها مطرح شود.

اظهارات کارشناسان درباره افشای PHP2Shell

بیانیه‌های عمومی درباره PHP2Shell تصویری از صنعتی ارائه می‌کنند که هم از کشف نقص احساس رضایت می‌کند و هم نسبت به پیامدهای این کشف نگران است. الیزابت بارون از بنیاد PHP پیام خود را بر ضرورت اقدام فوری متمرکز کرد و به USA Today گفت: «این‌ها آسیب‌پذیری‌های بحرانی هستند و هر کسی که از PHP استفاده می‌کند باید هرچه سریع‌تر آن را ارتقا دهد.» این پیام از سوی سازمانی صادر شده که می‌خواهد مدیران سامانه‌ها بی‌درنگ اقدام کنند و قصد ندارد وارد بحث درباره نقش هوش مصنوعی در کشف آسیب‌پذیری شود.

تیم پژوهشی Wiz رویکردی متفاوت در پیش گرفت و مستقیماً بر نقش هوش مصنوعی تأکید کرد. اظهارنظر این تیم که «مدل‌های پیشرفته هوش مصنوعی این مانع را به‌طور چشمگیری کاهش دادند و نقصی دیرینه را به یک اکسپلویت عملی تبدیل کردند»، به نقل از CNN Business منتشر شد. این سخن عملاً بیانگر موضع Wiz است که پژوهش با کمک هوش مصنوعی دیگر فعالیتی آزمایشی و حاشیه‌ای نیست، بلکه به بخشی از جریان اصلی کشف آسیب‌پذیری‌های مهم تبدیل شده است.

دو اظهارنظر OpenAI در کنار هم صریح‌ترین بیان عمومی خطر دوکاربردی بودن این فناوری را شکل می‌دهند. این شرکت PHP2Shell را «یکی از اثرگذارترین مسائل امنیتی سال‌های اخیر» توصیف کرد و هشدار داد که همان قابلیت هوش مصنوعی «می‌تواند به مهاجمان نیز کمک کند تا ابزارها و اکسپلویت‌های تهاجمی را به‌سرعت توسعه دهند». همچنین، اظهارنظر بنجامین هریس، مدیرعامل watchTowr، به BleepingComputer درباره افشای «دو آسیب‌پذیری اجرای کد از راه دور در PHP» ظرف یک ساعت، نشان می‌دهد فرایند افشای هماهنگ و دقیق تا چه اندازه می‌تواند پس از آغاز انتشار جزئیات محرمانه میان پژوهشگران به‌سرعت از کنترل خارج شود.

گام بعدی چیست؟ پنج پیش‌بینی درباره پژوهش آسیب‌پذیری با کمک هوش مصنوعی

• انتظار می‌رود در گزارش‌های آینده، نام سامانه‌های مشخص هوش مصنوعی بیش از پیش به‌عنوان عامل کشف ذکر شود، نه اینکه صرفاً از «پژوهشگران» نام برده شود؛ زیرا OpenAI، گوگل و فروشندگان تخصصی محصولات امنیتی برای کسب اعتبار در این حوزه رقابت می‌کنند و این اعتبار ارزش تجاری واقعی دارد.
• انتظار می‌رود بنیادهای متن‌باز خارج از پروژه PHP نیز، از جمله پروژه‌های مرتبط با زبان‌ها و کتابخانه‌های پرکاربرد، پیش از آنکه مهاجمان دست به کار شوند، ممیزی کد خود با کمک هوش مصنوعی را سفارش دهند یا از آن استقبال کنند.
• انتظار می‌رود ارائه‌دهندگان خدمات ابری و شبکه‌های تحویل محتوا یا CDN بیش از گذشته به همکاری‌های حفاظتی پیش از افشای عمومی، از جمله استقرار زودهنگام WAF، روی بیاورند؛ همکاری‌هایی مشابه اقدام کلادفلر که ۹ ساعت پیش از افشا انجام شد و به‌سرعت در حال تبدیل شدن به مزیتی رقابتی در پاسخ‌گویی به رخدادهای امنیتی است.
• انتظار می‌رود حساسیت نسبت به خطر دوکاربردی بودن هوش مصنوعی، که OpenAI به آن اشاره کرده است، افزایش یابد و این موضوع به بحث‌های گسترده‌تر سیاست‌گذاری ایمنی هوش مصنوعی در واشنگتن درباره نظارت بر مدل‌های پیشرفته دامن بزند.
• انتظار می‌رود پژوهشگران مستقل با اسکن اینترنت سرانجام شمار واقعی سرورهای آسیب‌پذیر PHP2Shell را منتشر کنند. این رقم پس از اندازه‌گیری مستقیم احتمالاً تفاوت قابل توجهی با برآورد پرارجاع ۷۰ درصد خواهد داشت.

پرسش‌های متداول

PHP2Shell چیست؟

PHP2Shell نامی است که به دو آسیب‌پذیری بحرانی در زبان برنامه‌نویسی PHP داده شده است. این آسیب‌پذیری‌ها با شناسه‌های CVE-2026-109618 و CVE-2026-109619 ثبت شده‌اند و می‌توانند به مهاجمی که احراز هویت نشده است اجازه دهند از راه دور روی سرور وب آسیب‌پذیر کد اجرا کند.

PHP2Shell چه زمانی افشا شد؟

بنیاد PHP در ۲۱ اکتبر ۲۰۲۶ این آسیب‌پذیری‌ها را به‌طور عمومی افشا کرد. اصلاحیه پیش از آن آماده شده بود و وصله‌های امنیتی نیز همان روز منتشر شدند.

کدام مدل‌های هوش مصنوعی در کشف PHP2Shell نقش داشتند؟

در گزارش‌ها نام سه سامانه مرتبط با فرایند کشف و تأیید آمده است: GPT-5.6 Sol از OpenAI، Gemini 4 Argon از گوگل و Wiz Atlas. پژوهشگرانی از OpenAI و Wiz و گروهی با نام Calif نیز در کار پژوهشی مربوط مشارکت داشتند.

آیا PHP2Shell واقعاً ۷۰ درصد اینترنت را تحت تأثیر قرار داد؟

این رقم، از جمله در گزارش CNN Business، به‌طور گسترده منتشر شده است؛ اما برآوردی گزارش‌شده است و نه شمارش تأییدشده و مستقلی از سرورهای آسیب‌دیده.

آیا آمازون واقعاً به PHP2Shell واکنش نشان داد؟

در گزارش‌ها آمده است که خدمات وب آمازون پیش از افشای عمومی، مانند کلادفلر، اطلاعات اولیه مربوط به اقدامات کاهنده خطر را دریافت کرده‌اند. بااین‌حال، در گزارش‌های موجود هیچ اقدام حفاظتی مشخص یا بیانیه عمومی مستندی از AWS وجود ندارد که با استقرار تأییدشده قواعد WAF از سوی کلادفلر، حدود ۹ ساعت پیش از افشا، قابل مقایسه باشد.

کلادفلر چگونه پیش از افشای عمومی از مشتریان محافظت کرد؟

کلادفلر اعلام کرد حدود ۹ ساعت پیش از افشای عمومی آسیب‌پذیری‌ها، اقدامات حفاظتی فایروال برنامه‌های وب را برای مشتریان رایگان و پولی خود مستقر کرده است. این اقدام بخشی از فرایند افشای هماهنگ با بنیاد PHP و گروه‌های پژوهشی دخیل بود.

PHP2Shell چه تفاوتی با Heartbleed دارد؟

تیم پژوهشی Wiz اثر احتمالی PHP2Shell را مستقیماً با Heartbleed، آسیب‌پذیری سال ۲۰۱۴ که ضعف‌هایی را در فناوری رمزنگاری پرکاربرد آشکار کرد، مقایسه کرده است. هر دو مورد به نقص‌هایی دیرینه در زیرساخت‌های بنیادی و بسیار پرکاربرد اینترنت مربوط می‌شوند، نه باگ‌هایی محدود به یک فروشنده خاص.

مدیران وب‌سایت‌ها اکنون چه کاری باید انجام دهند؟

بنیاد PHP از همه افرادی که PHP اجرا می‌کنند خواسته است فوراً به نسخه‌های وصله‌شده ارتقا دهند. سامانه‌هایی که از شبکه کلادفلر استفاده می‌کنند، پیش از افشای عمومی محافظت‌هایی در سطح WAF دریافت کرده‌اند؛ بااین‌حال، نصب وصله همچنان تنها راه‌حل کامل در سطح برنامه برای برطرف کردن این آسیب‌پذیری‌هاست.