باگ PHP2Shell چهار روز قبل از افشا مورد حمله بود
پیاچپیخلاصهٔ کامل‌تر
تیم Amazon Threat Intelligence تو داده‌های MadPot (شبکهٔ هانی‌پات آمازون، یعنی سرورهای طعمه‌ای که برای شکار حمله‌ها گذاشته شدن) یه تلاش برای سوءاستفاده از PHP2Shell پیدا کرده که مال ۱۷ اکتبر ۲۰۲۶ بوده. این یعنی چهار روز قبل از افشای عمومی دو آسیب‌پذیری CVE-2026-109618 و CVE-2026-109619 در PHP. حمله از یه IP متعلق به یه شبکهٔ ناشناس‌ساز تجاری اومده بود. آمازون می‌گه هدف گرفتن یه هانی‌پات از IP ناشناس نشون می‌ده کار یه مهاجم بوده، ولی معلوم نیست چطور قبل از افشا به اطلاعات باگ رسیده.
قرار بود embargo (یعنی دوره‌ای که جزئیات باگ تا آماده شدن پچ مخفی می‌مونه) ساعت ۱۴:۰۰ UTC روز ۲۱ اکتبر برداشته بشه. ولی از حدود ساعت ۰۲:۰۰ UTC همون روز چند proof of concept منتشر شد و تا ساعت ۰۸:۰۰ تلاش‌های بیشتری از زیرساخت‌های ناشناس دیگه به MadPot رسید. payloadها و شبکه‌های ناشناس‌ساز فرق داشتن، پس احتمالاً کار چند گروه مختلف بوده. بعد از انتشار پچ هم ظرف چند ساعت اکسپلویت‌های تازه اومد و الان PHP2Shell به‌طور گسترده مورد حمله‌ست. تحلیل فنی هنوز ادامه داره.
آمازون از این ماجرا دو درس می‌گیره. اول اینکه embargo فقط تا وقتی از مدافع‌ها محافظت می‌کنه که کس دیگه‌ای همون باگ رو پیدا نکرده باشه. افشای هماهنگ هنوز روش درستیه، ولی نباید فرض کرد حمله‌ها از روز اعلام شروع می‌شن. دوم اینکه فاصلهٔ پچ تا اکسپلویت به دلایل ساختاری داره کم میشه. قبلاً چند مهاجم توانا اکسپلویت می‌ساختن و بقیه منتظرشون می‌موندن. حالا تحلیل با کمک هوش مصنوعی تبدیل diff یه پچ یا یه advisory به اکسپلویت رو ارزون کرده و گروه‌های بیشتری ظرف چند ساعت یا حتی چند دقیقه دست به کار می‌شن.
به گفتهٔ آمازون، این برای مدیرهای امنیت سه تا فرض رو عوض می‌کنه. برای باگ‌های حیاتی تو سیستم‌های رو به اینترنت، زمان پچ رو باید به ساعت حساب کرد؛ SLA هفت یا سی روزه یعنی فرض یه فرصتی که دیگه وجود نداره. بررسی‌ها باید از اولین زمان شناخته‌شدهٔ حمله شروع بشه، که برای PHP2Shell حداقل ۱۷ اکتبره. و باید روی تشخیص‌هایی سرمایه‌گذاری کرد که به امضای یه CVE خاص وابسته نیستن، چون اولین حمله معمولاً قبل از ساخته شدن اون امضاها اتفاق می‌افته.
تنها راه کامل برطرف کردن هر دو باگ، ارتقا به نسخه‌های اصلاح‌شدهٔ PHP هست و هیچ تنظیماتی به‌تنهایی کامل جلوشون رو نمی‌گیره. اگه نمی‌تونید فوری پچ کنید، آمازون پیشنهاد می‌ده آپلود فایل multi-part رو مسدود کنید، البته بعد از اینکه تأثیرش روی اپلیکیشن رو سنجیدید. برای شکار هم دنبال درخواست‌های POST بگردید که رشتهٔ PHP_SESSION_UPLOAD_PROGRESS تو فرم آپلودشون هست، لاگ‌های وب‌سرور رو بررسی کنید و اجرای پروسس یا تغییر فایل غیرمنتظره روی سرورها رو چک کنید. آمازون شش IP رو هم به‌عنوان نشانهٔ نفوذ منتشر کرده، ولی چون زیرساخت ناشناس‌ساز مشترکه، می‌گه به جای مسدود کردن، بررسیشون کنید.
نکات کلیدی:
- اولین تلاش برای حمله به PHP2Shell تو MadPot مال ۱۷ اکتبر ۲۰۲۶ بوده، چهار روز قبل از افشا.
- آسیب‌پذیری‌ها: CVE-2026-109618 و CVE-2026-109619 در PHP.
- embargo ساعت ۱۴:۰۰ UTC روز ۲۱ اکتبر برداشته شد، ولی PoCها از حدود ۰۲:۰۰ UTC همون روز پیدا شدن.
- تنها راه‌حل کامل ارتقای PHP هست؛ مسدود کردن آپلود multi-part فقط یه راه موقته.
- آمازون می‌گه باگ‌های حیاتی رو باید تو چند ساعت پچ کرد، نه با SLA هفت یا سی روزه.
- شش IP منتشرشده مال زیرساخت ناشناس‌ساز مشترکه و باید بررسی بشن، نه مسدود.
