‏یه روز، اندازه‌ی یه ماه حمله‌ی امنیتی

Gergely Orosz تو خبرنامه‌ی The Pragmatic Engineer می‌گه فقط تو سه‌شنبه و چهارشنبه‌ی یه هفته، اندازه‌ی یه ماه رخنه‌ی امنیتی دیده. فهرستش طولانیه: پچ‌های بحرانی برای PHP، GitLab و Node.js (که توش ۱۰ CVE بحرانی، یعنی آسیب‌پذیری ثبت‌شده، بسته شد)، نسخه‌ی جدید Go، و رخنه‌ی TiDB. تو اون آخری مهاجم از ۹ سپتامبر تا ۷ اکتبر به control plane شرکت PingCAP دسترسی داشت و ۱۰ ترابایت داده‌ی مشتری‌ها مثل Booking.com و Airbnb رو منتشر کرد.

عجیب‌ترینش ماجرای eMudhra هست، یه CA میانی (یعنی شرکتی که امضا می‌کنه این سرور واقعاً همون سایتیه که فکر می‌کنی). کلید خصوصیش باید یه عدد ۳۸۴ بیتی با ۱۱۶ رقم می‌بود، ولی یکیش عدد «۴» بود و بقیه هم عددهایی مثل 56 و 237. شرکت می‌گه یه اسکریپت تو مراسم ساخت کلید باگ داشته و چون اسم کلیدها شبیه هم بوده، کلیدهای ضعیف اشتباهی امضا شدن. این کلیدها ۳۰ آوریل ۲۰۲۵ ساخته شده بودن و ۱۸ ماه کسی متوجه نشد. حالا Chrome داره بررسی می‌کنه که اصلاً نگهش داره یا نه، و ارزش سهام شرکت تو دو روز ۴۰ درصد افت کرد.

تو PHP ماجرا برعکس بود: تیم Calif با مدل GPT‑5.6 Sol اول از مهاجم‌ها دو باگ اجرای کد از راه دور (RCE، یعنی مهاجم می‌تونه روی سرور تو کد دلخواهش رو اجرا کنه) پیدا کرد؛ CVE-2026-109618 و CVE-2026-109619. ولی نویسنده می‌گه همین که پچ منتشر بشه، خود کدش نشون می‌ده حمله از کجا شروع می‌شه. حدود ۷۰ درصد سایت‌ها روی PHP هستن و خیلی‌هاشون تا ماه‌ها آپدیت نمی‌کنن. AWS حتی چهار روز قبل از اعلام عمومی هم تلاش برای سوءاستفاده دیده بود و Cloudflare چند ساعت بعد از پچ، میلیون‌ها تلاش حمله ثبت کرد.

تو Railway متغیرهای محیطی مشتری‌ها (که توشون کلید API و رمز دیتابیس هست) لو رفت و بعضیاش رمزگشایی شد. Railway گفت همه‌ی کلیدها رو عوض کنید، ولی همزمان deploy رو هم متوقف کرده بود. یعنی اگه کلید رو عوض می‌کردی، اپت تا deploy بعدی از کار می‌افتاد. مشتری‌ها حدود ۲۰ ساعت بین خراب کردن سرویس و نادیده گرفتن امنیت گیر کرده بودن.

نویسنده معتقده هوش مصنوعی ترازو رو به نفع مهاجم‌ها کج کرده. قبلاً برای حمله باید کدنویس خوبی می‌بودی و چیزهایی مثل buffer overflow رو بلد بودی، ولی حالا یه آدم غیرفنی هم با چندتا agent می‌تونه سرورهای پچ‌نشده رو هدف بگیره. پیشنهادش اینه که پچ کردن خودکار بشه، فرض کنیم مهاجم باگ‌های zero-day داره، لاگ و مانیتورینگ خودکار حتماً باشه، تیم دفاع هم از AI استفاده کنه و قبول کنیم امنیت گرون‌تر می‌شه. بعد از انتشار اولیه هم باگ‌های تازه تو Brotli، یه RCE دیگه تو PHP و Pillow پایتون اومد.

نکات کلیدی:

• کلیدهای ECC شرکت eMudhra به جای عدد ۳۸۴ بیتی، عددهای کوچیکی مثل 4 و 56 بودن و ۱۸ ماه کسی نفهمید.
• دو باگ RCE تو PHP با شناسه‌های CVE-2026-109618 و CVE-2026-109619 با کمک GPT‑5.6 Sol پیدا شد.
• AWS از ۱۷ اکتبر، چهار روز قبل از اعلام عمومی، تلاش برای سوءاستفاده از باگ PHP دیده بود.
• Railway حدود ۲۰ ساعت deploy رو بست و مشتری‌ها نمی‌تونستن کلیدهاشون رو بی‌دردسر عوض کنن.
• مهاجم از ۹ سپتامبر تا ۷ اکتبر تو سیستم‌های PingCAP بود و ۱۰ ترابایت داده منتشر کرد.
• پیشنهاد نویسنده: پچ خودکار، مانیتورینگ دائمی و استفاده‌ی تیم دفاع از AI.