ماجرای هشدار امنیتی PHP چیست؟ چگونه OpenAI، گوگل و آمازون برای مهار آن شتاب کردند
هشدار امنیتی بزرگی درباره PHP، نرم‌افزاری که برای راه‌اندازی بخش وسیعی از اینترنت استفاده می‌شود، سازمان‌های دولتی و شرکت‌ها را وادار کرده است وب‌سایت‌های خود را موقتاً از دسترس خارج کنند و برای رفع دو آسیب‌پذیری بحرانی دست به کار شوند.
سانائه تاکایچی، نخست‌وزیر ژاپن، از مدیران وب‌سایت‌ها خواست به‌روزرسانی‌های امنیتی اضطراری را نصب کنند یا در صورت لزوم، سرویس‌های آسیب‌پذیر را موقتاً به حالت تعلیق درآورند.
این دو نقص می‌توانند به مهاجمان اجازه دهند بدون ورود به حساب کاربری، دستورهای مخرب را روی سرورهای آسیب‌پذیر اجرا کنند. هوش مصنوعی به پژوهشگران در شناسایی این مشکلات کمک کرد، اما آمازون می‌گوید چهار روز پیش از انتشار عمومی اصلاحیه‌ها، تلاش مشکوکی برای بهره‌برداری از این آسیب‌پذیری‌ها شناسایی کرده بود.
این رویداد نشان داده است که چگونه یک ضعف نرم‌افزاری کمترشناخته‌شده می‌تواند در مدت کوتاهی به مشکلی در مقیاس جهانی تبدیل شود.
هشدار امنیتی PHP؛ چرا دولت‌ها وب‌سایت‌های خود را از دسترس خارج کردند؟
PHP در پشت صحنه وب‌سایت‌ها فعالیت می‌کند، درخواست‌های کاربران را پردازش می‌کند و با برنامه‌ها و پایگاه‌های داده ارتباط برقرار می‌کند. حدود ۷۰ درصد از وب‌سایت‌هایی که زبان برنامه‌نویسی سمت سرور آن‌ها قابل شناسایی است، از PHP استفاده می‌کنند.
دو آسیب‌پذیری با شناسه‌های CVE-2026-109618 و CVE-2026-109619 شناسایی شده‌اند که هر دو امتیاز بحرانی ۹٫۲ از ۱۰ را دارند. هکرها در شرایطی خاص می‌توانند از ضعف‌های مربوط به مدیریت حافظه در PHP سوءاستفاده کنند و بدون نیاز به گذرواژه، کنترل سرورها را به دست بگیرند.
فنلاند، هلند و فرانسه دسترسی به برخی خدمات دولتی خود را موقتاً محدود کردند. بنیاد ویکی‌مدیا نیز تعدادی از سامانه‌هایش را به حالت تعلیق درآورد و گروه مالی ژاپنی میتسوبیشی یو‌اف‌جی برخی خدمات آنلاین خود را متوقف کرد.
این توقف‌ها اقدامی احتیاطی بودند و به معنای آن نیستند که این سازمان‌ها حتماً هدف نفوذ موفق قرار گرفته‌اند. مقام‌های ژاپنی هنگام انتشار بیانیه خود اعلام کردند که هیچ خسارت مرتبطی گزارش نشده است.
آلن وودوارد، استاد امنیت سایبری دانشگاه ساری، در گفت‌وگو با روزنامه گاردین هشدار داد: «این یک مسابقه است و متأسفانه بعضی‌ها حتی نمی‌دانند که در این مسابقه شرکت دارند.»
او گفت وب‌سایت‌هایی که به‌خوبی نگهداری و به‌روزرسانی نمی‌شوند، ممکن است حتی پس از نصب اصلاحیه‌ها از سوی اپراتورهای بزرگ‌تر، ماه‌ها همچنان در معرض خطر باقی بمانند.
هوش مصنوعی چگونه تهدیدی را کشف کرد که سال‌ها پنهان مانده بود؟
پژوهشگران امنیتی با استفاده از ابزارهای هوش مصنوعی، آسیب‌پذیری‌هایی را کشف کردند که بیش از یک دهه در سازوکارهای داخلی PHP پنهان مانده بودند.
شرکت OpenAI اعلام کرد پژوهشگری با نام کالیف (Calif) با استفاده از GPT-5.6 Sol یکی از این نقص‌ها را شناسایی کرده است. شرکت ویز (Wiz)، متعلق به گوگل، نیز به‌طور مستقل هر دو آسیب‌پذیری را شناسایی و گزارش کرد. این شرکت از چند ابزار، از جمله Gemini 4 Argon گوگل، کمک گرفت.
این آسیب‌پذیری‌ها به نحوه مدیریت حافظه در PHP هنگام پردازش درخواست‌های وب مربوط می‌شوند. بهره‌برداری موفق از آن‌ها می‌تواند به افراد خارج از سامانه اجازه دهد کد اجرا کنند یا اطلاعات حساس را استخراج کنند؛ مسئله‌ای که احتمال به خطر افتادن پایگاه‌های داده و سوابق مشتریان را به همراه دارد.
بااین‌حال، شرکت‌های هوش مصنوعی خودشان اصلاحیه‌های PHP را تهیه نکردند. مسئولیت اصلی کار مهندسی بر عهده نگه‌دارندگان این نرم‌افزار بود که با پشتیبانی پژوهشگران و ارائه‌دهندگان زیرساخت، در ۲۱ اکتبر به‌روزرسانی‌های امنیتی اضطراری را منتشر کردند.
راگو نانداناکومارا، یکی از مدیران شرکت امنیت سایبری ایلومیو (Illumio)، به آسوشیتدپرس گفت: «سرعت بدون کنترل، نوع تازه‌ای از مشکل امنیتی ایجاد می‌کند.»
هوش مصنوعی می‌تواند زمان لازم برای شناسایی باگ‌های خطرناک را کاهش دهد، اما مهاجمان نیز ممکن است از آن برای تحلیل اصلاحیه‌های تازه‌منتشرشده استفاده کنند؛ آن هم پیش از آنکه سازمان‌ها فرصت نصب این به‌روزرسانی‌ها را پیدا کنند.
هشدار زودهنگام آمازون نشان می‌دهد خطر همچنان پابرجاست
تیم اطلاعات تهدید آمازون اعلام کرد شبکه طعمه‌های امنیتی این شرکت با نام MadPot، در ۱۷ اکتبر تلاش برای بهره‌برداری از آسیب‌پذیری‌های PHP را شناسایی کرده است؛ یعنی چهار روز پیش از آنکه این نقص‌ها به‌طور عمومی اعلام شوند.
این فعالیت از یک نشانی اینترنتی ناشناس‌سازی‌شده منشأ گرفته بود، اما آمازون نتوانست مشخص کند مهاجم احتمالی چگونه از وجود این نقص‌ها مطلع شده است. این شرکت گزارشی مبنی بر نفوذ به سامانه‌های مشتریان خود منتشر نکرد.
پس از افشای عمومی آسیب‌پذیری‌ها، کلادفلر اعلام کرد که در سراسر شبکه خود میلیون‌ها تلاش برای بهره‌برداری از آن‌ها مشاهده کرده است. این تلاش‌ها به‌معنای نفوذهای موفق و تأییدشده نیستند.
دین کنخت، مدیر ارشد فناوری کلادفلر، بنا بر گزارش ای‌بی‌سی نیوز گفت: «شاهد آغاز حملات اولیه هستیم و با ظاهر شدن روش‌های جدید حمله، اقدامات دفاعی خود را به‌روزرسانی می‌کنیم.»
توسعه‌دهندگان PHP اصلاحیه‌هایی را در نسخه‌های 8.5.12، 8.4.27، 8.3.36 و 8.2.35 منتشر کردند. کاربران شاخه‌های قدیمی‌تری که دیگر پشتیبانی نمی‌شوند، باید نسخه نرم‌افزار خود را ارتقا دهند یا از اصلاحیه‌های مناسب و پشتیبانی‌شده توسط فروشندگان استفاده کنند.
فایروال‌ها می‌توانند به‌طور موقت از سامانه‌ها محافظت کنند، اما جایگزین نصب اصلاحیه‌های امنیتی نیستند.
هوش مصنوعی به آشکار شدن خطری کمک کرد که ریشه آن به چندین دهه پیش بازمی‌گردد. اینکه این مشکل به بحرانی امنیتی طولانی‌مدت تبدیل شود یا نه، اکنون به سرعت عمل مدیران وب‌سایت‌ها در نصب اصلاحیه‌ها بستگی دارد.