دو روز پس از آن‌که PHP پچ‌های اضطراری برای آسیب‌پذیری‌های PHP2Shell منتشر کرد، عاملان تهدید تلاش کرده‌اند از این نقص‌ها برای گسترش یک بات‌نت Mirai سوءاستفاده کنند. یک شرکت امنیتی همچنین اکسپلویتی ساخته است که از یک سازوکار کلیدی محافظت از حافظه عبور می‌کند و یک سرور مهاجمِ افشاشده ابزارهای سفارشی را آشکار کرده است.
با این حال، تاکنون هیچ نفوذ موفق در حملات فعال تأیید نشده است.
این تهدید باعث شد بسیاری از سازمان‌ها به‌صورت پیشگیرانه سیستم‌ها را از دسترس خارج کنند. چند وب‌سایت دولتی، آموزشی و بیمارستانی در اروپا در 21 اکتبر از دسترس خارج شدند، و دولت بریتانیا اعلام کرد 32 مورد از خدماتش در دسترس نبوده و چهار مورد نیز به‌صورت جزئی در دسترس نبودند؛ عمدتاً به‌دلیل اقدامات پیشگیرانه‌ای که هنگام اعمال پچ‌ها انجام شده است.
PHP2Shell نامی است که به CVE-2026-109618 و CVE-2026-109619 داده شده است؛ دو باگ بحرانی در موتور PHP که برای اجرای کد از راه دور بدون احراز هویت قابل سوءاستفاده است. برای هر یک امتیاز CVSS v4.0 برابر با 9.2 ثبت شده است.
شرکت Wiz، شرکت OpenAI و شرکت Calif این مسائل را در اوت پیدا کردند. پروژه PHP در 21 اکتبر با نسخه‌های 8.5.12، 8.4.27، 8.3.36 و 8.2.35 آن‌ها را پچ کرد، یک روز زودتر از برنامه، پس از آن‌که شناسه‌های CVE به‌صورت آنلاین افشا شد.
شرکت Amazon نخستین تلاش برای بهره‌برداری را در 17 اکتبر مشاهده کرد، و فعالیت حملات پس از انتشار پچ‌ها افزایش یافت. فروشندگان، شرکت‌های امنیتی و نهادهای دولتی از آن زمان اطلاعیه‌های امنیتی، قواعد شناسایی و راهنمای اعمال پچ را منتشر کرده‌اند.
ارتباط بات‌نت Mirai با تلاش‌ها برای بهره‌برداری
شرکت Sophos می‌گوید عاملان تهدید کوشیده‌اند با سوءاستفاده از PHP2Shell، نصب Potassium را انجام دهند؛ به باور این شرکت، Potassium گونه‌ای از بات‌نت Mirai است. تلاشی که این شرکت تحلیل کرده است متوقف شد؛ در نتیجه بدافزار هرگز به سامانه هدف نرسید.
شرکت Sophos این نمونه را نسخه به‌روزشده، با قابلیت‌های بیشتر، از یک شاخه مشتق‌شده از Mirai توصیف می‌کند که نخستین بار در اوایل 2026 شناسایی شد. این بدافزار می‌تواند بدافزارهای دیگری دانلود کند و حملات DDoS را اجرا کند.
آخرین تحلیل شرکت Sophos یک به‌روزرسانی قبلی از همین شرکت را اصلاح کرد که در آن از بهره‌برداری موفق گزارش شده بود.
شرکت Arctic Wolf دو باینری Potassium را به سرورهایی که میزبان payload های PHP2Shell بودند مرتبط دانست. با این حال، اعلام کرد داده‌هایش نشان نمی‌دهد درخواست‌های PHP2Shell این بدافزار را دریافت یا اجرا کرده باشند.
شرکت Hunt.io ترافیک PHP2Shell مشاهده‌شده را به یک بات‌نت جاافتاده با سبک Mirai نسبت داد که دست‌کم از مه 2026 فعال بوده است و به‌تازگی این نقص‌ها را به روش‌های انتشار خود افزوده است.
شرکت Sophos معتقد است مهاجمان با این نقص‌ها به‌سختی پیش می‌روند. به گفته این شرکت، «نبود اکسپلویت موفق در حملات فعال نشان می‌دهد عوامل تهدید نیز در تنگنا هستند». تیم پژوهش مهاجمان این شرکت دریافته است ساخت یک اکسپلویت عملیاتی حتی با کمک AI نیز دشوار است.
شرکت‌های دیگر تصویر مشابهی ترسیم می‌کنند. شرکت Hunt.io می‌گوید تلاش برای بهره‌برداری و آماده‌سازی ابزار از سوی مهاجمان دیده شده است، اما نفوذ تأییدشده‌ای مشاهده نشده و هیچ فروشنده‌ای نیز چنین موردی را گزارش نکرده است. شرکت Wordfence نیز می‌گوید حملات ادامه دارد بدون آن‌که مورد شناخته‌شده‌ای از نفوذ رخ داده باشد.
شرکت Sansec که پیش‌تر پیش‌بینی کرده بود ظرف 15 دقیقه پس از انتشار پچ، بهره‌برداری گسترده آغاز می‌شود، این نظر را اصلاح کرده است. در به‌روزرسانی 22 اکتبر، این شرکت گفت مهاجمان برای موفقیت به آگاهی دقیق از سرور و برقرار بودن شرایط خاص روی آن نیاز دارند، و اکسپلویت‌های عمومی موجود در برابر نصب‌های PHP با تنظیمات پیش‌فرض ناکام می‌مانند.
اکسپلویت، ASLR را در پیکربندی‌های تولیدی دور می‌زند
پژوهشگران تصادفی‌سازی آرایش فضای آدرس (ASLR) را که محل قرارگیری کد و داده را در حافظه تصادفی می‌کند، مانعی جدی برای دستیابی به اجرای کد دانسته‌اند. شرکت VulnCheck می‌گوید راهی برای دور زدن آن یافته است.
اکسپلویت این شرکت برای CVE-2026-109618 بر یک نشت حافظه تکیه دارد تا روی سیستم‌های x86-64 با ASLR فعال و با غیرفعال بودن نمایش خطاهای PHP ــ که پیکربندی توصیه‌شده برای محیط تولید است ــ به اجرای کد برسد. این اکسپلویت برای مشتریان سرویس Initial Access Intelligence شرکت VulnCheck در دسترس است.
شرکت VulnCheck گفت: «از هیچ اکسپلویت عمومی یا تجاری دیگری که بتواند در پیکربندی‌های تولیدی، اجرای کد از راه دور را روی چندین نسخه از PHP محقق کند اطلاع نداریم؛ هرچند انتظار داریم با توسعه تدریجی حملات پیچیده‌تر از سوی مهاجمان، این وضعیت تغییر کند.»
این شرکت همچنین اشاره کرد که با وجود ظهور صدها مخزن PoC در پلتفرم GitHub، تنها تعداد اندکی از آن‌ها اکسپلویت‌های معتبر دارند.
سرور مهاجم جعبه‌ابزار PHP2Shell را افشا کرد
شرکت SOCRadar مهاجمی را شناسایی کرد که هدفی مشابه را دنبال می‌کرد. این شرکت جعبه‌ابزار PHP2Shell را روی سروری تحت کنترل مهاجم یافت که فایل‌های کاری آن به‌صورت عمومی قابل مرور رها شده بود.
این فایل‌ها شامل یک زنجیره اکسپلویت برای نسخه 8.4.26 از PHP روی Apache mod_php بود که گرداننده آن را در محیط آزمایشگاهی امتحان کرده و به‌عنوان یک اکسپلویت «one-click» معرفی کرده بود. اسکریپت‌های همراه بررسی می‌کردند آیا وب‌سایت‌های واقعی پیکربندی لازم برای اجرای این اکسپلویت را دارند یا خیر.
این پیکربندی نادر است. به گفته شرکت SOCRadar، این زنجیره تنها روی سرورهایی کار می‌کند که بیشتر شبیه سامانه‌های آزمایشی پیکربندی شده‌اند تا محیط‌های تولیدیِ سخت‌سازی‌شده.
گرداننده حدود 20 وب‌سایت را در کشورهایی از جمله ایالات متحده، بریتانیا، کانادا، فرانسه، فنلاند، لهستان و چین فینگرپرینت کرد و 11 مورد از آن‌ها را با جزئیات بیشتری آزمود. هیچ‌کدام با پیش‌نیازهای اکسپلویت مطابقت نداشتند.
«گرداننده مهارت بالایی در توسعه اکسپلویت نشان می‌دهد، اما تا 22 اکتبر 2026 هیچ شواهدی از دسترسی shell روی هیچ‌یک از وب‌سایت‌های غربال‌شده ندیده‌ایم»، شرکت SOCRadar گفت.
پلتفرم Hunt.io نیز این سرور را تحلیل کرد. یافته‌ها نشان می‌دهد گرداننده 10 دور حمله اجرا کرده و فهرست اهداف را به 123 سرورِ میزبانی‌شده نزد ارائه‌دهندگان ابر، شرکت‌های میزبانی اشتراکی و ارائه‌دهندگان خدمات اینترنت (ISP) گسترش داده است. حدود 57 سرور PHP اجرا می‌کردند، 10 سرور درخواست‌ها را رد کردند و هیچ‌کدام با موفقیت مورد سوءاستفاده قرار نگرفتند.
شرکت Qualys که داده‌های ناشناس 12,000 مشتری خود را تحلیل کرده است، می‌گوید فقط 199,000 نمونه PHP در 12 ساعت نخست پس از افشا پچ شدند.
به‌گفته این شرکت، حدود 110 میلیون نمونه، معادل 71%، نسخه‌های 5.4 تا 8.1 از PHP را اجرا می‌کنند که به پایان عمر رسیده‌اند و بیشترِ آن‌ها هرگز پچ رسمی از سوی فروشنده دریافت نخواهند کرد. همچنین 44 میلیون نمونه، شاخه‌های پشتیبانی‌شده PHP را اجرا می‌کنند که برای آن‌ها پچ منتشر شده است اما اعمال نشده بود.
تا صبح 23 اکتبر، سازمان CISA هیچ‌یک از این آسیب‌پذیری‌ها را به فهرست Known Exploited Vulnerabilities (KEV) اضافه نکرده بود.
شرکت Censys در یک داشبورد عمومی، پیشرفت پچ کردن PHP2Shell را به‌صورت لحظه‌ای رصد می‌کند؛ این صفحه نشان می‌دهد چه تعداد سرویس PHP در معرض اینترنت همچنان نسخه آسیب‌پذیر را اجرا می‌کنند.
