آسیب پذیری PHP2Shell و راهکار ایمن سازی سرور

شناسایی دو آسیب‌پذیری بحرانی RCE در هسته PHP با امتیاز CVSS 9.2؛ بررسی ابعاد فنی، نسخه‌های آسیب‌پذیر و دستورالعمل‌های ارتقای امنیتی رادکام.

کشف آسیب‌پذیری‌های خطرناک با شناسه‌های CVE-2026-109618 و CVE-2026-109619 موسوم به «PHP2Shell» در هسته زبان PHP، زنگ خطری جدی برای تمامی وب سایت‌ها، سرورها و پلتفرم های مبتنی بر این زبان اسکریپت نویسی به صدا درآورده است. این نقص‌های امنیتی به مهاجمان احراز هویت نشده اجازه می‌دهد از طریق ارسال درخواست‌های HTTP مخرب، اجرای کد از راه دور (RCE) را روی سرورهای میزبان پیاده‌سازی کنند. تیم فنی رادکام ضمن بررسی ابعاد فنی این تهدید، راهکارهای جامع ارتقا و ایمن سازی را تشریح می‌کند.

چرا امنیت زیرساخت سرور و هسته PHP اهمیت دارد؟

زبان برنامه‌نویسی PHP به عنوان یکی از ستون‌های اصلی وب جهان، وظیفه اجرای میلیون‌ها وب سایت، سامانه سازمانی، فروشگاه اینترنتی و سیستم مدیریت محتوا نظیر وردپرس، جوملا و دروپال را بر عهده دارد. پایداری، سرعت و انعطاف‌پذیری این زبان باعث شده است تا بخش بزرگی از زیرساخت‌های تجارت الکترونیک بر بستر آن بنا شوند. با این حال، وسعت دامنه نفوذ PHP بدان معناست که هرگونه نقص امنیتی در سطح هسته (Core Engine)، کل اکوسیستم وب را به طور همزمان تحت تأثیر قرار می‌دهد.

وقوع رخدادهای امنیتی سطح بالا در مؤلفه‌های زیرساختی سرور، لزوم هوشیاری مدیران سیستم، توسعه‌دهندگان و شرکت‌های ارائه‌دهنده خدمات هاستینگ و میزبانی را دوچندان می‌کند. انتشار گزارش‌های اخیر درباره آسیب‌پذیری بحرانی موسوم به «PHP2Shell»، بار دیگر اثبات کرد که اتکا به امنیت لایه‌های نرم‌افزاری و CMSها بدون پایش مستمر و به‌روزرسانی هسته سرور، ریسک جبران‌ناپذیری را متوجه دارایی‌های دیجیتال سازمان‌ها می‌سازد.

کالبدشکافی آسیب‌پذیری بحرانی PHP2Shell (CVE-2026-109618 و CVE-2026-109619)

اخیراً دو آسیب‌پذیری بسیار خطرناک در ساختار داخلی هسته زبان PHP کشف شده‌اند که به دلیل مکانیزم عملکردشان در سطح سیستم‌عامل و پردازش درخواست‌ها، تحت عنوان کلی «PHP2Shell» شناخته می‌شوند. این عیوب امنیتی با شناسه‌های رسمی CVE-2026-109618 و CVE-2026-109619 و با بالاترین سطح بحران یعنی CVSS v4.0 = 9.2 از 10 ارزیابی شده‌اند.

ریشه این آسیب‌پذیری‌ها به نحوه مدیریت حافظه دینامیک و کنترل وضعیت درخواست‌ها در هسته مربوط است:

شناسه CVE-2026-109618: هنگامی که پردازش PHP با کمبود حافظه مواجه می‌شود، مدیریت نامناسب وضعیت داخلی می‌تواند به خرابی ساختار حافظه (Memory Corruption) و در نهایت فراهم شدن بستر اجرای کدهای دلخواه مهاجم منجر گردد.
شناسه CVE-2026-109619: مشکل در پاک‌سازی صحیح متغیرها و وضعیت‌های سراسری (Global State) در چرخه حیات درخواست PHP، زمینه دسترسی به حافظه آزادشده (UAF) را ایجاد کرده که مهاجم با سوءاستفاده از آن می‌تواند کنترل جریان اجرای برنامه را به دست گیرد.

مکانیسم بهره‌برداری و سناریوی خطر در سرورهای میزبان

در صورت عدم اعمال پچ‌های اصلاحی، مهاجمان اینترنتی می‌توانند بدون نیاز به داشتن نام کاربری، کلمه عبور یا هرگونه سطح دسترسی قبلی، با ارسال درخواست‌های دستکاری‌شده HTTP به سمت سرور هدف، فرآیند بهره‌برداری (Exploitation) را آغاز کنند.

از آنجا که این نقص در لایه خودِ هسته PHP قرار دارد، فارغ از اینکه چه نوع قالب، افزونه یا CMS روی وب‌سایت نصب شده باشد، بستر اجرا آسیب‌پذیر خواهد بود. بسته به سطح دسترسی پروسه پردازشگر PHP و تنظیمات امنیتی وب‌سرور، اجرای موفق کد از راه دور (RCE) می‌تواند به مهاجم اجازه دهد به فایل‌های حساس سیستم دسترسی یابد، کدهای مخرب تزریق کند، داده‌های پایگاه داده را به سرقت ببرد یا از سرور آسیب‌پذیر به عنوان پایگاهی برای حملات بعدی به دیگر بخش‌های شبکه استفاده نماید.

چه نسخه‌ها و سیستم‌هایی در معرض خطر قرار دارند؟

برخلاف آسیب‌پذیری‌های معمولی که مختص یک افزونه خاص هستند، این مشکل تمامی محیط‌هایی را که از نسخه‌های قدیمی‌تر و اصلاح‌نشده PHP استفاده می‌کنند تهدید می‌نماید. نسخه‌های آسیب‌پذیری که توسط توسعه‌دهندگان هسته شناسایی شده‌اند عبارتند از:

شاخه PHP 8.5: تمامی نسخه‌های پیش از نسخه 8.5.12
شاخه PHP 8.4: تمامی نسخه‌های پیش از نسخه 8.4.27
شاخه PHP 8.3: تمامی نسخه‌های پیش از نسخه 8.3.36
شاخه PHP 8.2: تمامی نسخه‌های پیش از نسخه 8.2.35

نکته بسیار حائز اهمیت آن است که نسخه‌های قدیمی‌تر PHP (نظیر PHP 8.1 و پایین‌تر) نیز از نظر منطقی دارای این ساختار آسیب‌پذیر هستند، اما از آنجا که این نسخه‌ها مدت‌هاست از چرخه پشتیبانی رسمی و انتشار وصله‌های امنیتی خارج شده‌اند (End-of-Life)، هیچ‌گونه پچ رسمی برای آن‌ها ارائه نخواهد شد و تداوم استفاده از آن‌ها ریسک امنیتی بی‌سابقه‌ای را تحمیل می‌کند.

راهکارهای جامع مقابله، پچ و ایمن‌سازی سرور

برای مواجهه ساختاریافته با این تهدید بحرانی، مدیران سیستم، توسعه‌دهندگان و وبمسترها باید مجموعه‌ای از اقدامات فوری را در دستور کار قرار دهند:

ارتقای فوری نسخه PHP: حیاتی‌ترین و نخستین گام، به‌روزرسانی نسخه‌های PHP در تمام محیط‌های عملیاتی (توسعه، استیجینگ و پروداکشن) به نسخه‌های اصلاح‌شده و پشتیبانی‌شده ذکرشده است.
بررسی جامع تمام Handlerها و سرویس‌ها: اطمینان حاصل کنید که تمامی پردازشگرهای فعال در سرور نظیر PHP-FPM، CGI، Apache Handler و LiteSpeed به‌روز شده‌اند. نصب نسخه جدید در پکیج اصلی سیستم‌عامل کافی نیست اگر پروسه‌های وب‌سرور همچنان از باینری‌های قدیمی استفاده نمایند.
اعمال راهکارهای موقت کاهش ریسک: اگر به‌روزرسانی فوری به هر دلیلی مقدور نیست، تنظیمات کاهش ریسک توصیه شده در مستندات رسمی اعمال شود. برای نمونه، غیرفعال‌سازی قابلیت تنظیمات session.upload_progress تنها یکی از مسیرهای شناخته‌شده بهره‌برداری را مسدود می‌کند و به هیچ عنوان جایگزین نصب Patch اصلی نخواهد بود.
به‌روزرسانی قوانین فایروال وب (WAF) و مانیتورینگ: فعال‌سازی و به‌روزرسانی قواعد امنیتی WAF برای شناسایی الگوهای درخواست‌های مشکوک و پایش مداوم فایل‌های لاگ وب‌سرور برای کشف ترافیک‌های غیرعادی حیاتی است.
ممیزی امنیتی و بررسی نشانه‌های نفوذ پیشین: اگر سروری با نسخه آسیب‌پذیر مستقیماً در معرض اینترنت قرار داشته و پچ نشده است، صرفاً نصب وصله امنیتی کافی نیست؛ بررسی دقیق فایل‌های تغییریافته، پروسه‌های ناشناخته در پس‌زمینه و لاگ‌های دسترسی برای اطمینان از عدم وقوع نفوذ قبلی الزامی است.

نقش زیرساخت میزبانی امن در صیانت از کسب و کارها

تامین امنیت در لایه وب، زنجیره‌ای پیوسته است که از کیفیت هاستینگ، پایداری سرورهای مجازی و زیرساخت‌های ابری آغاز می‌شود. شرکت‌هایی که خدمات میزبانی وب را ارائه می‌دهند، مسئولیت خطیری در قبال پایش خودکار آسیب‌پذیری‌های هسته، ارائه نسخه‌های به‌روز PHP، پیکربندی ایمن پارامترهای سرور و پشتیبانی فنی از مدیران سایت‌ها بر عهده دارند. انتخاب یک ارائه‌دهنده خدمات هاستینگ معتبر که مجهز به سامانه‌های پایش مانیتورینگ پیشرفته و پشتیبانی فنی ۲۴ ساعته باشد، آسیب‌پذیری در برابر چنین بحران‌هایی را به حداقل می‌رساند.

خدمات و راهکارهای تخصصی شرکت رادکام

مجموعه رادکام به عنوان یکی از پیشگامان ارائه خدمات تخصصی دامنه، هاست لینوکس، هاست وردپرس، سرور مجازی و راهکارهای ابری در کشور، همواره امنیت، پایداری و حریم خصوصی داده‌های کاربران را در بالاترین اولویت کاری خود قرار داده است. تیم‌های فنی رادکام با رصد مستمر آخرین بولتن‌های امنیتی جهان، پایش دقیق آسیب‌پذیری‌ها و به‌روزرسانی ساختارهای سروری، بستر میزبانی امن و مطمئنی را برای وب‌سایت‌های ایرانی فراهم می‌آورند.

کاربران و مدیران وب‌سایت‌ها می‌توانند با بهره‌گیری از کنترل‌پنل‌های مستقل، پنل‌های مدیریت پیشرفته هاستینگ و مشاوره‌های تخصصی کارشناسان فنی رادکام، نسخه‌های PHP وب‌سایت خود را بهینه‌سازی کرده و با خیالی آسوده از پایداری و امنیت زیرساخت‌های دیجیتال خود اطمینان حاصل نمایند. رادکام با ارائه کنترل پنل‌های مستقل و تضمین مالکیت ۱۰۰٪ دامنه‌ها و خدمات، همراه مطمئن کسب‌وکارها در مسیر توسعه وب است.

23 آبان 1405

بازدید