مهاجمان سایبری با سرعتی نگران‌کننده به سراغ آسیب‌پذیری‌های بحرانی PHP2Shell رفته‌اند؛ رخنه‌هایی که حالا میلیون‌ها تلاش برای سوءاستفاده از آن‌ها گزارش شده است. نکته نگران‌کننده‌تر اینکه آمازون می‌گوید رد نخستین تلاش‌های شناسایی‌شده برای بهره‌برداری از این نقص‌ها به چهار روز پیش از انتشار عمومی جزئیات و وصله‌های امنیتی بازمی‌گردد؛ زمانی که هنوز بسیاری از مدیران سرور از خطر پیش رو خبر نداشتند.
گزارش تازه شرکت کلادفلر نشان می‌دهد موج حملات پس از افشای عمومی آسیب‌پذیری‌ها به‌سرعت گسترش یافته است. این شرکت ابتدا هزاران تلاش برای نفوذ را ثبت کرد، اما تنها ۴۵ دقیقه پس از انتشار جزئیات، شمار حملات به ده‌ها هزار مورد رسید. دو ساعت بعد، این رقم از صدها هزار تلاش عبور کرد و در ادامه به میلیون‌ها مورد افزایش یافت؛ آماری که نشان می‌دهد مهاجمان برای استفاده از فرصت‌های تازه، منتظر نمانده‌اند.
موضوع فقط افزایش تعداد درخواست‌های مخرب نیست. به گفته کلادفلر، مهاجمان در حال تغییر محتوای حملات خود هستند تا از سد فایروال‌های برنامه‌های وب (WAF) عبور کنند. ظاهراً برخی از آن‌ها با بررسی درخواست‌های مسدودشده، روش‌های تازه‌ای را امتحان می‌کنند تا احتمال موفقیت حمله را بالا ببرند. این روند کار سامانه‌های دفاعی مبتنی بر الگوهای ثابت را دشوارتر می‌کند و ضرورت به‌روزرسانی مداوم تجهیزات امنیتی را افزایش می‌دهد.
اما مهم‌ترین بخش ماجرا به گزارش آمازون بازمی‌گردد. تیم اطلاعات تهدید این شرکت اعلام کرده است که در تاریخ ۱۷ اکتبر ۲۰۲۶، تلاشی برای سوءاستفاده از PHP2Shell را در شبکه تله‌گذاری امنیتی MadPot شناسایی کرده؛ چهار روز پیش از انتشار وصله‌ها. این سامانه با استفاده از محیط‌های طعمه، فعالیت مهاجمان را ثبت می‌کند. با این حال، هنوز مشخص نیست عامل حمله چگونه پیش از افشای عمومی به اطلاعات آسیب‌پذیری دست پیدا کرده است.
آمازون همچنین در روز ۲۱ اکتبر، چندین نمونه از کدهای آزمایشی بهره‌برداری از این آسیب‌پذیری‌ها را شناسایی کرده است. این تلاش‌ها از زیرساخت‌های ناشناس مختلف انجام شده و محتوای درخواست‌ها نیز یکسان نبوده است؛ نشانه‌ای که احتمال فعالیت چند مهاجم مستقل را تقویت می‌کند. البته آمازون تأکید کرده که هنوز مشخص نیست این تلاش‌ها در برابر سامانه‌های واقعی تا چه اندازه موفق بوده‌اند.
خطر PHP2Shell از آن جهت گسترده است که با دو آسیب‌پذیری بحرانی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 سروکار داریم که در شرایط خاص می‌توانند امکان اجرای کد از راه دور را برای مهاجم بدون احراز هویت فراهم کنند. چون این نقص‌ها به خود محیط اجرایی PHP مربوط هستند، خطر به یک افزونه یا نرم‌افزار خاص محدود نمی‌شود و می‌تواند وب‌سایت‌های مختلفی را که از نسخه‌های آسیب‌پذیر PHP استفاده می‌کنند، تحت تأثیر قرار دهد.
پیام اصلی این هشدار برای مدیران وب‌سایت‌ها روشن است: نباید تاریخ انتشار عمومی یک آسیب‌پذیری را زمان شروع خطر فرض کرد. مدیران سرورها باید PHP را به نسخه اصلاح‌شده ارتقا دهند و گزارش‌های امنیتی و لاگ‌های سرور را دست‌کم از ۱۷ اکتبر به بعد بررسی کنند. جست‌وجوی درخواست‌های مشکوک، از جمله درخواست‌های مرتبط با PHP_SESSION_UPLOAD_PROGRESS، و بررسی اجرای غیرمنتظره فرایندها یا تغییر فایل‌ها می‌تواند به شناسایی نشانه‌های نفوذ کمک کند.
