این هفته یکی از جدی‌ترین خبرهای امنیتی سال برای هر کسی که سایت وردپرسی دارد منتشر شد. پژوهشگران امنیتی با کمک مدل‌های پیشرفته هوش مصنوعی دو آسیب‌پذیری بحرانی در خود زبان PHP پیدا کردند؛ همان زبانی که وردپرس، جوملا و دروپال روی آن اجرا می‌شوند. نام این مجموعه آسیب‌پذیری PHP2Shell است و تیم PHP در تاریخ ۲۱ اکتبر ۲۰۲۶ (۲۹ مهر ۱۴۰۵) نسخه‌های اصلاح‌شده را منتشر کرد.

در این مقاله به زبان ساده توضیح می‌دهیم PHP2Shell چیست، چرا نقش هوش مصنوعی در کشف آن این‌قدر خبرساز شده، چه اثری روی سایت شما دارد و همین امروز چه کارهایی باید انجام دهید.

PHP2Shell چیست؟

PHP2Shell نامی است که تیم تحقیقاتی Wiz برای زنجیره‌ای از باگ‌های حافظه در هسته PHP انتخاب کرده است. این باگ‌ها زیر دو شناسه CVE-2026-109618 و CVE-2026-109619 ثبت شده‌اند و Wiz شدت آن‌ها را بحرانی و با امتیاز CVSS نسخه ۴ برابر ۹٫۲ اعلام کرده است.

ریشه مشکل در نحوه مدیریت خطاهای مرگبار در PHP است، به‌ویژه وقتی یک درخواست به سقف حافظه (memory_limit) می‌رسد. در این حالت ممکن است بخشی از داده‌های داخلی PHP نیمه‌کاره باقی بماند و درخواست بعدی همان پردازش، از آن حافظه آزادشده استفاده کند. نتیجه این خطا می‌تواند اجرای کد از راه دور بدون نیاز به ورود (RCE) یا افشای محتوای حافظه سرور باشد.

چرا برای وردپرس مهم است؟

نکته کلیدی این است که مشکل در خود PHP است، نه در کد وردپرس یا افزونه‌ها. به گفته Wiz، حتی یک برنامه ساده «Hello World» روی نسخه آسیب‌پذیر PHP هم می‌تواند در معرض خطر باشد. این تیم نشان داده که با یک اسکریپت واحد می‌تواند روی آخرین نسخه‌های رسمی کانتینری وردپرس، دروپال و جوملا بدون احراز هویت کد اجرا کند. همچنین نشان داده‌اند که مهاجم می‌تواند بخشی از حافظه پردازش PHP را بخواند؛ حافظه‌ای که ممکن است شامل رمزها، توکن‌ها و کلیدهای API باشد.

طبق گزارش Wiz، هر نسخه‌ای از PHP که در حدود یک دهه اخیر منتشر شده، تا نسخه ۵٫۴، دست‌کم به یکی از این مشکلات آلوده است.

چرا PHP2Shell یک خبر داغ هوش مصنوعی است؟

باگ‌های حافظه همیشه وجود داشته‌اند. آنچه این مورد را متفاوت کرده، نقش هوش مصنوعی در تبدیل یک ضعف قدیمی به یک حمله واقعی است. طبق توضیح Wiz، ساختن این اکسپلویت نیازمند زنجیره کردن چند باگ و تطبیق دادن آن با چیدمان حافظه هر سرور بود؛ کاری که پیش از این در مرز توان پژوهشگران انسانی قرار داشت. این تیم از ابزار Wiz Atlas و مدل‌های Gemini 4 Argon و GPT-5.6 Sol استفاده کرده و می‌گوید مدل‌های پیشرفته این فرایند را عملی کردند.

این کشف فقط کار یک تیم نبود. بنیاد PHP در اطلاعیه رسمی خود توضیح داده که شرکت امنیتی Calif و خود OpenAI هم به‌طور مستقل همین ریشه مشکل را گزارش کرده‌اند و بنیاد PHP پیش‌تر برای اسکن کد PHP از ابزارهای هوش مصنوعی دیگری هم کمک گرفته بود. به همین دلیل این خبر هم‌زمان در رسانه‌های امنیتی، رسانه‌های فناوری و خبرنامه‌های هوش مصنوعی پوشش داده شد.

پیام اصلی برای ما روشن است: هوش مصنوعی هزینه پیدا کردن و بهره‌برداری از آسیب‌پذیری‌ها را پایین آورده است. این هم به نفع مدافعان است و هم به نفع مهاجمان. پیش از این هم درباره اینکه ایجنت‌های هوش مصنوعی چطور کارهای چندمرحله‌ای را خودکار می‌کنند نوشته بودیم؛ PHP2Shell نمونه‌ای از همین توانایی در دنیای امنیت است.

اثر عملی PHP2Shell روی سایت‌ها

اگر سایت شما روی هاست اشتراکی، سرور مجازی یا سرور اختصاصی با PHP اجرا می‌شود، احتمالاً جزو دامنه این خبر هستید. چند نکته عملی:

به‌روزرسانی وردپرس کافی نیست. چون مشکل در PHP است، باید نسخه PHP سرور به‌روز شود. نسخه‌های اصلاح‌شده عبارت‌اند از PHP 8.5.12، 8.4.27، 8.3.36 و 8.2.35.
نسخه‌های قدیمی‌تر وصله رسمی ندارند. اگر سایت شما هنوز روی PHP 7 یا نسخه‌های خارج از پشتیبانی اجرا می‌شود، وقت مهاجرت به یکی از شاخه‌های پشتیبانی‌شده رسیده است.
فایروال‌های ابری کمک می‌کنند، اما جایگزین وصله نیستند. شرکت‌هایی مانند Cloudflare، Fastly، Akamai و سرویس‌های ابری بزرگ پیش از افشای عمومی، قوانین محافظتی آماده کرده‌اند. با این حال Wiz تأکید می‌کند تنها راه کامل، نصب به‌روزرسانی PHP است.
سرور مدیریت‌شده یعنی سؤال از هاستینگ. در هاست اشتراکی معمولاً خودتان PHP را نصب نمی‌کنید؛ پس باید از شرکت میزبان بپرسید وصله را نصب کرده یا نه. معیارهای انتخاب میزبان مطمئن را در مقاله ویژگی‌های یک هاست خوب مرور کرده‌ایم.

نشانه‌هایی که باید در لاگ‌ها دنبال کنید

Wiz توضیح داده که این حمله پایین‌تر از لایه برنامه اتفاق می‌افتد و لاگ‌های وردپرس ممکن است اطلاعات زیادی نشان ندهند. تا زمان نصب وصله، این نشانه‌ها ارزش بررسی دارند: درخواست‌های multipart غیرعادی که بعد از آن‌ها خطای سقف حافظه یا خطاهای مکرر ۵۰۰ ثبت شده، کوکی PHPSESSID بسیار بزرگ یا نامعمول در پاسخ سرور، و ری‌استارت شدن‌های بی‌دلیل پردازش‌های PHP.

PHP2Shell از نگاه سئو و دیجیتال مارکتینگ

امنیت معمولاً در برنامه سئو جایی ندارد، اما باید داشته باشد. سایتی که هک شود ممکن است صفحات اسپم، ریدایرکت‌های مخرب یا کد آلوده بگیرد. نتیجه می‌تواند هشدار امنیتی در مرورگر و نتایج جستجو، افت اعتماد کاربر و از دست رفتن زحمت چندساله تولید محتوا باشد.

از طرف دیگر، افشای حافظه سرور می‌تواند کلیدهای API سرویس‌های بازاریابی، درگاه‌ها یا ابزارهای ایمیل را لو بدهد. اگر تیم مارکتینگ شما با ابزارهای متعدد کار می‌کند، فهرست این کلیدها را داشته باشید تا در صورت نیاز سریع آن‌ها را عوض کنید. ما در مقاله بازاریابی با هوش مصنوعی هم گفته بودیم که هر ابزار تازه یک نقطه دسترسی تازه هم هست.

ریسک‌ها و محدودیت‌ها

جزئیات فنی این آسیب‌پذیری‌ها اکنون عمومی شده است و طبیعی است که تلاش برای سوءاستفاده از سرورهای وصله‌نشده بیشتر شود.
برخی منابع غیرفعال کردن قابلیت upload progress در تنظیمات PHP را به‌عنوان راه موقت مطرح کرده‌اند، اما همان منابع می‌گویند ممکن است همه مسیرهای حمله را پوشش ندهد. پس آن را راه‌حل نهایی ندانید.
Wiz اعلام کرده که گونه‌های دیگری از همین الگو در کد PHP وجود دارد، اما به گفته همین تیم، وصله رسمی ریشه مشکل را برطرف می‌کند.
هوش مصنوعی ابزار دوطرفه است. همان توانایی که به پژوهشگران کمک کرد، می‌تواند در دست مهاجمان هم باشد؛ بنابراین فاصله زمانی بین انتشار وصله و نصب آن اهمیت بیشتری پیدا کرده است.

چک‌لیست سریع برای صاحبان سایت

نسخه PHP سایت را از پیشخوان وردپرس، بخش «سلامت سایت» یا از کنترل پنل هاست بررسی کنید.
اگر نسخه شما پایین‌تر از نسخه‌های اصلاح‌شده است، PHP را به‌روز کنید یا از هاستینگ بخواهید این کار را انجام دهد.
پیش از هر تغییر، از فایل‌ها و دیتابیس نسخه پشتیبان بگیرید.
وردپرس، قالب و افزونه‌ها را هم به‌روز نگه دارید؛ راهنمای کامل آن را در مقاله بروزرسانی سایت وردپرسی نوشته‌ایم.
اگر از فایروال ابری استفاده می‌کنید، مطمئن شوید قوانین مدیریت‌شده آن فعال است.
لاگ‌های سرور را برای نشانه‌های بالا مرور کنید و در صورت شک، رمزها و کلیدهای API را عوض کنید.

سؤالات متداول

آیا سایت وردپرسی من حتماً هک شده است؟

خیر. وجود آسیب‌پذیری به معنی هک شدن قطعی نیست. اما چون مشکل در خود PHP است، تا زمانی که نسخه PHP سرور به‌روز نشده، سایت در معرض خطر باقی می‌ماند. اولویت اول، به‌روزرسانی است.

آیا با یک افزونه امنیتی وردپرس مشکل حل می‌شود؟

خیر. افزونه‌های امنیتی در لایه وردپرس کار می‌کنند، در حالی که این حمله می‌تواند پیش از اجرای کد وردپرس اتفاق بیفتد. افزونه امنیتی مفید است، اما جایگزین به‌روزرسانی PHP نیست.

نقش هوش مصنوعی در PHP2Shell دقیقاً چه بود؟

طبق گزارش Wiz، مدل‌های پیشرفته هوش مصنوعی در پیدا کردن باگ، ساختن و تطبیق اکسپلویت با نسخه‌ها و تنظیمات مختلف، شناسایی حمله و اعتبارسنجی وصله به پژوهشگران کمک کردند. یعنی کاری که پیش‌تر به تیمی بزرگ و ماه‌ها زمان نیاز داشت، بسیار سریع‌تر انجام شد.

جمع‌بندی

PHP2Shell نشان می‌دهد هوش مصنوعی فقط در تولید محتوا و بازاریابی تحول ایجاد نکرده، بلکه قواعد امنیت وب را هم تغییر داده است. ضعف‌هایی که سال‌ها پنهان یا غیرعملی به نظر می‌رسیدند، حالا سریع‌تر پیدا و بهره‌برداری می‌شوند. برای صاحبان سایت، معنای عملی این خبر ساده است: به‌روزرسانی منظم PHP و وردپرس دیگر یک کار جانبی نیست و باید بخشی ثابت از نگهداری سایت باشد.

اگر مطمئن نیستید سایت شما روی چه نسخه‌ای از PHP اجرا می‌شود یا نمی‌دانید به‌روزرسانی را از کجا شروع کنید، تیم کیاهاست می‌تواند در بررسی و نگهداری امن سایت وردپرسی کنار شما باشد.