مدل GPT 5.6-Sol رخنه‌ای بحرانی در موتور PHP شناسایی کرد؛ نقصی که با اکسپلویت PHP2Shell می‌تواند کنترل خط فرمان میلیون‌ها سرور را کنترل کند.
فهرست مطالب
کشف یک آسیب‌پذیری حیاتی در زبان برنامه‌نویسی PHP توسط مدل هوش مصنوعی OpenAI، ساختار امنیتی بخش بزرگی از وب‌سایت‌ها را با چالش جدی مواجه کرده است.
به گزارش سرویس امنیت سایبری تکناک، در ۱۹ اکتبر ۲۰۲۶، انتشار اخباری مبنی‌بر شناسایی رخنه امنیتی بحرانی در موتور زبان PHP توسط مدل GPT 5.6-Sol متعلق به شرکت OpenAI، شوک بزرگی به جامعه فناوری و متخصصان امنیت اطلاعات وارد کرد. زبان PHP ستون فقرات بخش اعظمی از وب‌سایت‌های فعال در دنیاست و میزبانی نزدیک به ۷۰ درصد از وب‌سایت‌های آنلاین را بر عهده دارد. با توجه به ابعاد حضور این فناوری در ساختار اینترنت، بروز هرگونه خطای عملکردی یا روزنه نفوذ می‌تواند پیامدهایی در مقیاس جهانی به دنبال داشته باشد.
بررسی جزئیات این رویداد نشان می‌دهد که هسته اصلی ماجرا تنها به کشف یک آسیب‌پذیری فنی جدید خلاصه نمی‌شود، بلکه حاصل انباشت طولانی‌مدت بدهی فنی، نادیده گرفتن هشدارهای امنیتی در سال‌های گذشته و شیوع نسخه‌های تاریخ‌گذشته روی سرورهای فعال است. این معضل ساختاری اکنون به لطف قابلیت‌های پردازشی عامل‌های هوش مصنوعی نوین آشکار شده است؛ ابزارهایی که با سرعت بسیار بالا خطوط کد را تحلیل و در مدتی کوتاه سازوکارهای نفوذ عملیاتی را طراحی می‌کنند.
ریشه ساختاری خطا و ماهیت اکسپلویت PHP2Shell
بررسی‌های فنی نشان می‌دهد منشأ این نقص به یک تصمیم معماری بسیار قدیمی در سازوکار مدیریت خطای موتور PHP بازمی‌گردد. در ساختار داخلی این زبان، زمانی که یک فرایند پردازشی با کمبود حافظه مواجه می‌شود، تابع longjmp در زبان C فراخوانی می‌شود. ماهیت این تابع چنین است که فرایند اجرا را بدون طی مراحل عادی، مستقیما به بخش دیگری هدایت می‌کند. در حالت معمول استفاده از این تابع برای مدیریت خطا بدون احتیاط‌های ساختاری توصیه نمی‌شود، اما فاجعه اصلی در مراحل تخصیص حافظه رخ می‌دهد.
اگر پرش حافظه زمانی رخ دهد که موتور PHP در میانه ساخت یک ساختار داده، مانند افزودن یک مورد جدید به فهرست یا ایجاد یک شیء، قرار دارد، ممکن است داده‌های ناقص در حافظه باقی بمانند. در این شرایط، وقتی موتور PHP اجرای برنامه را به فرایند پاک‌سازی و خروج هدایت می‌کند، کدهای پاک‌سازی با این فرض عمل می‌کنند که داده‌ها کامل هستند؛ درحالی‌که با داده‌های ناقص و ناتمام سروکار دارند.
مهاجمان سایبری با سوءاستفاده از این رفتار و تزریق کدهای دستکاری‌شده در درخواست‌های وب، این نقص را به یک نقطه نفوذ مهلک تبدیل کرده‌اند. در این حالت مهاجم موفق می‌شود دستورات دلخواه خود را در سرور قربانی به اجرا درآورد. این روند منجر به شکل‌گیری حمله موسوم به PHP2Shell شد که در آن مهاجمان توانستند کنترل خط فرمان سرورها را به دست بگیرند. هرچند اجرای موفقیت‌آمیز این کد نیازمند آگاهی دقیق از نسخه و ساختار بیلد PHP روی سرور است، اما یکدستی سیستم‌های مورد استفاده در وب و استفاده میلیون‌ها سرور از نسخه‌های مشابه، کار مهاجمان را بسیار آسان کرد.
بدهی فنی و بحران نسخه‌های منسوخ‌شده
پس از عمومی شدن این رخنه، نگاه جامعه امنیت فراتر از خود خطا رفت و متوجه وضعیتی خطرناک‌تر شد. داده‌ها نشان داد که در زمان کشف این نقص، ۷۳ درصد از کل سرورهای دارای PHP در سطح وب از نسخه‌های کاملاً منسوخ‌شده و فاقد هرگونه پشتیبانی استفاده می‌کردند. این مسئله عمق بی‌توجهی عمومی به ارتقای زیرساخت‌ها را به نمایش گذاشت.
در اواخر سال ۲۰۲۰ میلادی، پروژه PHP با گذر از نسخه ۷.۴ به ۸.۰ گام بلندی برداشت. این تغییر با اصلاحاتی در برخی توابع همراه بود و نرم‌افزارها برای هماهنگی نیازمند بازبینی و به‌روزرسانی بودند. بسیاری از مدیران فناوری به امید دریافت وصله‌های پشتیبان توسط توزیع‌های لینوکسی، به‌ویژه نسخه‌های دارای پشتیبانی بلندمدت، سامانه‌های خود را به‌روزرسانی نکردند. این غفلت تا جایی پیش رفت که حتی نسخه‌های قدیمی نظیر ۷.۳ که انتشار آن به سال ۲۰۱۸ برمی‌گردد، به شکلی گسترده روی سرورها باقی ماندند. فاجعه‌بارتر اینکه نزدیک به ۸ درصد از موارد نصب‌شده همچنان از سری نسخه ۵ بهره می‌بردند که قدمت آن به سال ۲۰۰۵ بازمی‌گردد.
علاوه بر میزبانی وب‌سایت‌ها، انبوهی از تجهیزات سخت‌افزاری شبکه، سرورهای ذخیره‌سازی تحت شبکه و ابزارهای سازمانی نیز به صورت داخلی از موتور PHP بهره می‌برند. به عنوان نمونه، شرکت امنیتی Palo Alto Networks ناچار شد برای سامانه‌های تحت اجرای سیستم‌عامل PanOS خود هشدارهای امنیتی رسمی صادر کند و بسته‌های رفع نقص ارائه دهد.
| شاخص آماری | مقدار تخمین‌زده‌شده |
| سهم PHP از میزبانی وب‌سایت‌های جهان | حدود ۷۰ درصد |
| سهم نسخه‌های فاقد پشتیبانی فعال پیش از بحران | ۷۳ درصد |
| سهم نصب‌های بسیار قدیمی نسخه ۵ | نزدیک به ۸ درصد |
| تعداد اولیه سرورهای آسیب‌پذیر شناسایی‌شده | حدود ۴۵.۷ میلیون |
| تعداد کل سرورهای ارزیابی‌شده در پایگاه داده | ۱۱۹ میلیون |
| تعداد تقریبی سرورهای پچ‌نشده در پایان اکتبر ۲۰۲۶ | حدود ۲۹ میلیون |
| نرخ پچ شدن روزانه سرورها در دوره اوج بحران | حدود ۱ میلیون در روز |
چالش‌های انسانی و ساختاری بنیاد PHP
گزارش تحلیلی منتشرشده توسط بنیاد PHP پرده از ضعف‌های بنیادین نگهداری نرم‌افزارهای حیاتی برداشت. مشخص شد که گروه توسعه‌دهنده از دو سال پیش از وجود این رفتار در ساختار مدیریت خطای حافظه آگاه بودند. با این حال، به دلیل نگرانی از ازبین‌رفتن سازگاری با افزونه‌ها و بسته‌های جانبی، اصلاح آن بارها به تعویق افتاد و خطری جدی تلقی نشد.
تیم توسعه پذیرفت که در اولویت‌بندی این مسئله، چندین اشتباه مدیریتی رخ داده است؛ اما ساختار سازمانی آن‌ها نیز در بروز این کاستی‌ها نقش داشته است. زیرساختی که فعالیت نزدیک به سه‌چهارم وب به آن وابسته است، تنها با یک کارمند تمام‌وقت و ۱۴ پیمانکار پاره‌وقت مدیریت می‌شد. این وضعیت بازتابی از معضل نرم‌افزارهای متن‌باز حیاتی در دنیای امروز است؛ نرم‌افزارهایی که ستون‌های اقتصاد دیجیتال جهان به آن‌ها وابسته‌اند، اما توسعه و نگهداری‌شان بر دوش چند برنامه‌نویس با حداقل امکانات و دستمزد قرار دارد.
با ورود عامل‌های پیشرفته هوش مصنوعی که قادر بودند کدهای چند دهه گذشته را به‌دقت بررسی کنند، فرصت واکنش تدریجی و سنتی از جامعه امنیت سایبری گرفته شد. پیش از این، مهلت ۹۰روزه افشای آسیب‌پذیری‌ها فرصتی برای بررسی نقص‌ها و انتشار بی‌سروصدای وصله‌های امنیتی فراهم می‌کرد؛ اما ابزارهای مبتنی‌بر مدل‌های زبانی بزرگ با سرعت بالایی نقص‌ها را شناسایی می‌کنند و به این ترتیب، سازوکار زمان‌بندی سنتی برای رسیدگی به آسیب‌پذیری‌ها را بی‌اثر کرده‌اند.
راهکارهای فنی، وصله‌های دیرهنگام و ابزارهای کاهنده خطر
پس از اعلام عمومی، فرآیند ارتقا برای مدیرانی که از نسخه‌های فعال یعنی ۸.۱ تا ۸.۵ استفاده می‌کردند با یک به‌روزرسانی ساده قابل حل بود، اما صاحبان میلیون‌ها وب‌سایت قدیمی در تنگنا قرار گرفتند. با توجه به اینکه بنیاد PHP پچ‌های مبدا را تا نسخه ۷.۴ ارائه داد، موجی از تلاش‌های مستقل شکل گرفت. توسعه‌دهندگانی نظیر Ondřej Surý بسته‌های پچ‌شده اصلاحی را برای شاخه‌های Debian و Ubuntu در نسخه‌های ۶.۵ تا ۸.۱ منتشر کردند. همچنین شرکت‌های فعال در حوزه سرور مانند CloudLinux و AlmaLinux به‌روزرسانی‌های اختصاصی خود را عرضه نمودند.
برای سامانه‌های قدیمی‌تر که مالکان آن‌ها حاضر به بازنویسی کد نبودند، شرکت‌های تجاری با خدمات پشتیبانی گسترده مانند Ubuntu Pro و Zend پچ‌هایی تا نسخه ۵.۵ طراحی کردند. با این همه، کارشناسان تأکید دارند که این اصلاحات تنها مسکنی مقطعی است، چرا که سامانه‌های مبتنی‌بر کدهای قدیمی مستعد ده‌ها آسیب‌پذیری ساختاری دیگر هستند.
در کنار پچ مستقیم، ابزارهای میانی محافظتی نقش مهمی در کنترل انتشار حملات ایفا کردند:
- فایروال‌های برنامه وب مانند Immunify360 ترافیک مخرب را شناسایی و پیش از رسیدن به موتور پردازشی سرورها مسدود کردند.
- شبکه‌های توزیع محتوا مانند Cloudflare و Fastly الگوهای حمله اختصاصی PHP2Shell را شناسایی کردند و به دیواره‌های دفاعی خود افزودند.
- پلتفرم‌های امنیتی سطح سرور نظیر سامانه‌های CrowdStrike توانستند فرایندهای غیرعادی ناشی از باینری‌های آلوده را در مرحله اجرا ردیابی و متوقف سازند.
ردپای حملات پیچیده و چشم‌انداز کنونی شبکه
پیامدهای این نقص امنیتی به اهداف تجاری کوچک محدود نماند. در یکی از نگران‌کننده‌ترین موارد ثبت‌شده، گروه‌های نفوذ توانستند با زنجیره‌سازی آسیب‌پذیری PHP و رخنه‌ای موسوم به Fragnesia، مجوزهای دسترسی خود را تا سطح هسته لینوکس ارتقا دهند. این کارزار سایبری به نفوذ در ۲۵ سرور با دسترسی‌های عمیق منجر شد که منابع امنیتی ارتباط آن‌ها با سامانه‌های دولتی ایالات متحده را تایید کرده‌اند.
شرکت نظارتی BitSight در گزارش‌های خود ثبت کرد که هزاران مورد تلاش برای نفوذ از نقاط گوناگون جغرافیایی با هدف اجرای PHP2Shell ردیابی شده است. اگرچه در نخستین روزها ابزار جامع همه‌کاره برای حمله عمومی شکل نگرفته بود و نفوذها به صورت هدفمند انجام می‌شد، اما توسعه سناریوهای حمله یکپارچه نگرانی‌های شدیدی ایجاد کرد.
برای مقابله با این بحران، خیل عظیمی از مدیران شبکه اقدام به غیرفعال‌سازی نمایش شماره نسخه PHP سرورهای خود کردند تا ابزارهای پویش خودکار موفق به شناسایی نسخه دقیق نرم‌افزار نشوند. بر اساس ارزیابی‌های سامانه‌های پایش، بیش از ۶۲ درصد از سرورهای مورد بررسی از اعلام شماره نگارش خودداری می‌کنند که این مسئله تخمین دقیق سیستم‌های سالم را بسیار دشوار ساخته است.
طبق گزارش تامز هاردور، پایش لحظه‌ای سامانه‌ها توسط شرکت Censys نشان داد که از میان ۱۱۹ میلیون سامانه تحت نظارت، در ابتدا ۴۵٫۷ میلیون سرور به‌طور قطعی آسیب‌پذیر بودند. این تعداد پس از اقدامات گسترده برای رفع آسیب‌پذیری، به حدود ۲۹ میلیون سرور وصله‌نشده کاهش یافت. این روند نشان می‌دهد که روزانه حدود یک میلیون سرور به‌روزرسانی شده‌اند.
با وجود این پیشرفت، باقی ماندن ده‌ها میلیون سامانه آسیب‌پذیر در سطح وب نشان می‌دهد که پیامدهای این بحران امنیتی تا ماه‌ها ادامه خواهد داشت و تقابل ابزارهای خودکار کشف آسیب‌پذیری با روش‌های سنتی نگهداری سامانه‌ها وارد مرحله تازه‌ای شده است.