حملات DDoS مرتبط با PHP2Shell
شرکت سوفوس (Sophos) اعلام کرد که بررسی نمونه بدافزار Potassium نشان می‌دهد این بدافزار، واریانتی توسعه‌یافته از بات‌نت Mirai است که نخستین بار در اوایل سال 2026 شناسایی شد. به گفته این شرکت، Potassium علاوه بر دانلود فایل‌های مخرب، قابلیت ایجاد اختلال در شبکه را نیز دارد.
بدافزار Potassium ابتدا آدرس رمزگذاری‌شده و ازپیش‌تعیین‌شده سرور فرماندهی و کنترل (C2) را استخراج کرده و سپس از طریق پروتکل TCP با سرور 134.199.154[.]64ارتباط برقرار می‌کند. در ادامه، بدافزار درخواستی را از طریق HTTP ارسال کرده و کد وضعیت پاسخ را بررسی می‌کند تا از دریافت پاسخ موفق با کد 200 مطمئن شود. همچنین، بدافزار بررسی می‌کند که محتوای دریافتی با امضای ELF، یعنی 7F 45 4C 46آغاز شود. این بررسی نشان می‌دهد که پیلود دریافتی احتمالاً یک باینری لینوکس با قالب ELF است.
سوفوس توضیح داد که این بدافزار از تابعی برای تبدیل نام میزبان به آدرس IPv4 استفاده می‌کند. در صورت نیاز، این تابع می‌تواند به سرورهای DNS عمومی و ازپیش‌تعیین‌شده‌ای مانند 8.8.8.8، 1.1.1.1 و 1.0.0.1 متکی باشد. به گفته این شرکت، Potassium مانند واریانت‌های پیشین Mirai، قابلیت اجرای حملات انکار سرویس توزیع‌شده (DDoS) را نیز دارد.
بررسی‌ها نشان داده‌اند که حملات از سه آدرس IP زیر آغاز شده‌اند:
- 11.167[.]243
- 60.242[.]76
- 198.224[.]169
این مبدأهای حمله برای دریافت لودر با سرور 92.118.112[.]100 ارتباط برقرار می‌کنند. این لودر وظیفه نصب و اجرای واریانت بات‌نت Mirai را بر عهده دارد.
بررسی دقیق‌تر این نمونه در محیط سندباکس ایزوله از شبکه (Network-Contained Sandbox) نشان داد که بات‌نت ابتدا یک درخواست DNS برای دامنه thunder.godofthunder[.]st ارسال می‌کند. پس از تبدیل نام دامنه به آدرس IP معادل آن، یعنی 134.199.154[.]64، بدافزار از طریق پورت TCP شماره 50792 به سرور فرماندهی و کنترل (C2) متصل می‌شود.
هدف نهایی این عملیات، اجرای حملات فلود (Flood Attacks) با حجم بالای ترافیک به‌صورت مستمر علیه دو میزبان مجاور در یک شبکه اوکراینی است:
- 88.138[.]0
- 88.138[.]44
سوفوس اعلام کرد که تاکنون هیچ موردی از سوءاستفاده موفق از آسیب‌پذیری PHP2Shell در حملات واقعی شناسایی نشده است. این موضوع نشان می‌دهد که عاملان تهدید همچنان برای توسعه اکسپلویت‌های قابل‌اتکا با چالش‌هایی روبه‌رو هستند.
قابلیت‌ها و ساختار فنی بات‌نت Potassium
پلتفرم ردیابی بات‌نت Synthient نخستین بار در مارس 2026، بدافزار Potassium را شناسایی کرد. در بررسی‌های بعدی، پژوهشگران نوکیا دیپ‌فیلد (Nokia Deepfield) اعلام کردند که این بدافزار بر پایه Mirai توسعه یافته و از چند سازوکار فنی ویژه استفاده می‌کند.
پژوهشگران توضیح دادند که Potassium برای رمزگذاری جدول پیکربندی ایستا از الگوریتم ChaCha20 استفاده می‌کند؛ روشی که پیش از این در هیچ واریانت دیگری از Mirai مشاهده نشده بود. همچنین، این بدافزار در تمام ارتباطات شبکه‌ای از یک بایت ثابت با مقدار 0xED استفاده می‌کند.
از دیگر ویژگی‌های Potassium می‌توان به پروتکل شل معکوس (Reverse Shell) با دستورهای SHELL و SHOUT اشاره کرد. این پروتکل از همان کانالی استفاده می‌کند که از طریق آن دستورهای حمله ارسال می‌شوند. علاوه بر این، بدافزار پیش از برقراری اتصال، با جابه‌جایی دو بخش 16بیتی آدرس IP موجود در هر رکورد DNS از نوع A، پاسخ دریافتی را تغییر می‌دهد.
شرکت آرتیک ولف (Arctic Wolf) نیز در گزارش خود درباره همین تلاش برای سوءاستفاده از آسیب‌پذیری PHP2Shell اعلام کرد که این بات‌نت از 24 دستور برای اجرای حملات فلود با استفاده از پروتکل‌های ICMP، TCP، UDP و OpenVPN پشتیبانی می‌کند.
هر دو نسخه بدافزار که برای معماری‌های ARM و x86 طراحی شده‌اند، حاوی تنظیماتی برای شناسایی زیرساخت سرور فرماندهی و کنترل (C2) از طریق سرویس نام اتریوم (Ethereum Name Service یا ENS) هستند.
شرکت آرتیک ولف اعلام کرد که قابلیت استفاده از ENS برای شناسایی زیرساخت C2 در هر دو نمونه بدافزار غیرفعال بوده است؛ یعنی این قابلیت در کد بدافزار وجود داشته، اما در نمونه‌های بررسی‌شده فعال نبوده است.
به گفته این شرکت، فعال‌شدن این قابلیت در واریانت‌های بعدی می‌تواند مختل‌کردن زیرساخت مهاجمان را دشوارتر کند؛ زیرا در این صورت، مهاجمان وابستگی کمتری به شرکت‌های ثبت دامنه و سرویس‌های DNS خواهند داشت. در چنین شرایطی، مقابله با این تهدید مستلزم مسدودسازی نام‌های ENS، زیرساخت‌های RPC و آدرس‌های IP مرتبط با سرورهای C2 است.
شناسایی ابزارهای اکسپلویت PHP2Shell در زیرساخت مهاجمان
شرکت امنیت سایبری سوکرادار اعلام کرد ابزارهای اکسپلویت PHP2Shell را که برای نسخه PHP 8.4.26 طراحی شده‌اند، روی سروری تحت کنترل مهاجم و در دسترس عموم، به آدرس 206.188.197[.]105:9999 شناسایی کرده است. در کنار این ابزارها، سه اسکریپت نیز وجود داشت که وب‌سایت‌های فعال را بررسی می‌کردند تا مشخص شود آیا پیش‌نیازهای لازم برای اجرای این زنجیره حمله را دارند یا خیر.
به گزارش سوکرادار، این اسکریپت‌ها حدود 20 وب‌سایت عمومی را از نظر نسخه PHP، پیکربندی سرور و تنظیمات نشست بررسی کرده‌اند؛ عواملی که برای اجرای موفق اکسپلویت ضروری هستند. این وب‌سایت‌ها در کانادا، چین، فنلاند، فرانسه، لهستان، بریتانیا و ایالات متحده قرار داشتند.
سوکرادار اعلام کرد فایل اصلی این مجموعه یک اکسپلویت نوشته‌شده با زبان پایتون با نام aslr_exploit.py است. اپراتور این ابزار را اکسپلویت تک‌کلیکی (One-Click) در نسخه PHP 8.4.26 و محیط Apache mod_php معرفی کرده است.
این ابزار تمام مراحل حمله را از طریق درخواست‌های عادی HTTP انجام می‌دهد و برای اجرای دستور روی سامانه هدف، سه مرحله اصلی را طی می‌کند:
- استفاده مجدد از پردازه ورکر PHP: اکسپلویت مجدداً پردازه ورکر PHP (PHP Worker) را در سامانه هدف به کار می‌گیرد.
- افشای آدرس‌های حافظه و دور زدن ASLR: ابزار از طریق کوکی نشست، آدرس‌های حافظه را افشا می‌کند تا سازوکار تصادفی‌سازی چیدمان فضای آدرس (ASLR)را دور بزند.
- اجرای دستور شل (Shell Command): در مرحله پایانی، اکسپلویت از نحوه مدیریت قابلیت نمایش پیشرفت آپلود نشست در PHP (Session Upload Progress) سوءاستفاده می‌کند تا دستوری را در شل سیستم اجرا کند.
تصادفی‌سازی چیدمان فضای آدرس (ASLR) محل بارگذاری فایل‌های سیستمی و برنامه‌ها در حافظه را به‌صورت تصادفی تعیین می‌کند. در نتیجه، مهاجمان نمی‌توانند به‌راحتی محل قرارگیری کد در حافظه را پیش‌بینی کنند. ASLR یکی از سازوکارهای دفاعی در برابر حملات مبتنی بر حافظه، از جمله سرریز بافر (Buffer Overflow) است.
سه اسکریپت دیگر این مجموعه نیز برای بررسی و شناسایی اهداف احتمالی به کار می‌روند:
- py: نسخه PHP و پیکربندی سرور را در حدود 20 وب‌سایت بررسی می‌کند.
- py: پیکربندی و وضعیت امنیتی 11 وب‌سایت را از نظر وجود خطاهای قابل‌مشاهده، صفحات phpinfo، آسیب‌پذیری‌های درج فایل (File Inclusion) و امکان تزریق نشست بررسی می‌کند تا مشخص شود آیا این وب‌سایت‌ها پیش‌نیازهای لازم برای اجرای اکسپلویت را دارند یا خیر.
- py: پنج وب‌سایت مبتنی بر وردپرس را بررسی می‌کند تا کاربران ثبت‌شده و پلاگین‌های نصب‌شده روی این وب‌سایت‌ها را شناسایی کند.
بااین‌حال، تا 22 اکتبر 2026، هیچ شواهدی از دسترسی به شل در هیچ‌یک از وب‌سایت‌های بررسی‌شده به دست نیامده بود. این موضوع نشان می‌دهد که مهاجمان نتوانسته‌اند از طریق این حملات، دستورهای دلخواه خود را اجرا کنند و وب‌سایت‌های بررسی‌شده دست‌کم برخی از پیش‌نیازهای لازم برای اجرای موفق اکسپلویت را نداشته‌اند.
بررسی‌ها نشان می‌دهد که این مجموعه ابزار بخشی از یک عملیات گسترده‌تر است. در این عملیات، مهاجم ابتدا کلیدهای API و آدرس‌های سرورهای بک‌اند (Backend URLs) را از کدهای جاوااسکریپت سمت کاربر استخراج می‌کند. سپس، مسیرهای وب و API را به‌طور نظام‌مند بررسی می‌کند تا نقاطی را بیابد که بدون احراز هویت قابل دسترسی هستند. همچنین مهاجم با استفاده از پروکسی‌های چرخشی (Rotating Proxies)، ترافیک را میان مبدأهای مختلف توزیع می‌کند تا محدودیت نرخ درخواست (Rate Limiting) و سازوکارهای مسدودسازی را دور بزند.
سوکرادار به آثار دیگری در این سرور اشاره کرد که نشان می‌دهند مهاجم از آرشیوهای وب برای جمع‌آوری اطلاعات درباره اهداف خود و از ابزارهای خودکار برای عبور از کپچا (CAPTCHA) استفاده می‌کند. به گفته این شرکت، شواهد موجود حاکی از آن است که این عملیات با انگیزه مالی انجام می‌شود و بر اهداف مرتبط با رمزارزها و وب 3 (Web3) متمرکز است.
شرکت هوش تهدید Hunt.io نیز سرور 206.188.197[.]105 را شناسایی کرده است؛ همان سروری که ابزارهای اکسپلویت روی آن میزبانی می‌شدند. طبق گزارش این شرکت، عامل تهدید در این عملیات، 123 سرور را در زیرساخت‌های ابری، بسترهای میزبانی اشتراکی و شبکه‌های اپراتورهای اینترنت (ISP) شناسایی و بررسی کرده است.
گزارش Hunt.io نشان می‌دهد که حدود 57 سرور از سرورهای شناسایی‌شده از PHP استفاده می‌کنند و بسیاری از آن‌ها همچنان نسخه‌های قدیمی و فاقد پشتیبانی PHP، از سری 5.xتا 7.x را اجرا می‌کنند. از سوی دیگر، 10 سرور در برابر درخواست‌های مهاجم مقاوم بودند و مانع از ادامه تلاش‌های او شدند. سه مورد از این سرورها در میان پنج سروری قرار داشتند که از زیرساخت کلودفلر (Cloudflare) استفاده می‌کردند. با وجود این تلاش‌ها، مهاجم نتوانست در هیچ‌یک از سرورهای بررسی‌شده با موفقیت نفوذ کند.
ابزارهای مرتبط با PHP2Shell در چندین سرور شناسایی شده‌اند که فایل‌های موجود در آن‌ها بدون محدودیت قابل مشاهده و دسترسی بوده است. آدرس IP این سرورها عبارتند از:
- 206.188.197[.]105
- 102.210.149[.]166
- 122.10.110[.]72, 122.10.17[.]49
- 58.221.60[.]160:8000
- 41.223.30[.]7, 157.230.117[.]70
- 104.219.251[.]31
- 107.150.31[.]151
- 217.160.132[.]82
- 47.100.125[.]108, 54.169.109[.]7, 139.162.165[.]136
دورزدن سازوکار حفاظتی ASLR
هم‌زمان با انتشار جزئیات این آسیب‌پذیری‌ها، اکسپلویتی برای PHP2Shell توسعه یافته است که حتی با فعال بودن ASLR و استفاده از تنظیمات امنیتی پیشنهادی PHP برای محیط عملیاتی امکان اجرای کد از راه دور (RCE) را در سامانه‌های مبتنی بر معماری x86-64 فراهم می‌کند.
به گفته مدیر بخش توسعه اکسپلویت شرکت VulnCheck، یکی از مهم‌ترین موانع سوءاستفاده از این آسیب‌پذیری‌ها، تصادفی‌سازی چیدمان فضای آدرس (ASLR) است؛ سازوکاری امنیتی که با تصادفی‌کردن آدرس‌های حافظه، سوءاستفاده از آسیب‌پذیری‌های خرابی حافظه (Memory Corruption) را دشوارتر می‌کند.
تیم VulnCheck با توسعه روشی جدید، دو آسیب‌پذیری را به یکدیگر زنجیره کرده و با استفاده از افشای حافظه (Memory Leak) سازوکار ASLR را دور زده است. این روش امکان اجرای کد از راه دور را در سامانه‌های x86-64 فراهم می‌کند؛ حتی زمانی که نمایش خطاهای PHP مطابق تنظیمات پیشنهادی برای محیط عملیاتی غیرفعال باشد.
شرکت VulnCheck اعلام کرد که تا آن زمان، هیچ اکسپلویت عمومی یا تجاری دیگری با چنین قابلیتی در شرایط مشابه شناسایی نشده بود. این شرکت تأکید کرد که توسعه این روش فرآیندی پیچیده بوده، اما نشان می‌دهد که می‌توان بر یکی از موانع اصلی اجرای موفق اکسپلویت در سامانه‌های عملیاتی غلبه کرد.
این شرکت هشدار داد که سوءاستفاده موفق از این آسیب‌پذیری‌ها می‌تواند پیامدهای جدی به دنبال داشته باشد. مهاجم با اجرای کد دلخواه در سطح دسترسی وب اپلیکیشن، می‌تواند به کلیدهای API، اطلاعات اتصال به پایگاه داده و سایر سرویس‌های داخلی مورد استفاده اپلیکیشن دسترسی پیدا کند.
مهاجم برای واردکردن خسارت جدی، لزوماً به دسترسی ادمین یا دسترسی Root نیاز ندارد. نفوذ به یک وب‌اپلیکیشن آسیب‌پذیر نیز می‌تواند نقطه شروعی برای نفوذ به بخش‌های دیگر زیرساخت سازمان باشد.
تلاش‌های گسترده برای سوءاستفاده
این یافته‌ها با گزارش‌هایی هم‌خوانی دارند که از موج گسترده تلاش‌ها برای سوءاستفاده از این آسیب‌پذیری‌ها خبر می‌دهند. در یکی از این موارد، یک آدرس IP متعلق به چین تلاش کرده است با استفاده از فایل نشست سمت سرور، یک وب‌شل (Web Shell) روی سامانه هدف بارگذاری کند.
شرکت کلودفلر گزارش داد که تنها 45 دقیقه پس از انتشار عمومی جزئیات آسیب‌پذیری‌ها، ده‌ها هزار تلاش برای سوءاستفاده از آن‌ها شناسایی شد. این تعداد طی دو ساعت به صدها هزار مورد رسید و تا اوایل روز 22 اکتبر 2026، از چند میلیون تلاش فراتر رفت.
تیم سیسکو تالوس (Cisco Talos) اعلام کرد که بیشتر فعالیت‌های شناسایی‌شده تاکنون به اسکن سامانه‌ها محدود بوده است؛ هرچند تلاش‌هایی برای ارسال پیلودهای مختلف نیز مشاهده شده است. به گفته این تیم، چنین الگویی طبیعی است؛ زیرا اسکن سامانه‌ها یا اجرای ساده کدهای عمومی اثبات مفهوم (PoC) به‌مراتب آسان‌تر از ادغام اکسپلویت در ابزارهای اختصاصی مهاجم است.
داده‌های تله‌متری شرکت پریویدیان (Previdian) صدها تلاش برای سوءاستفاده از آسیب‌پذیری CVE-2026-109618 را ثبت کرده‌اند که از ده‌ها آدرس IP مختلف صورت گرفته‌اند. تلاش‌ها برای سوءاستفاده از آسیب‌پذیری CVE-2026-109619 به‌مراتب کمتر بوده‌اند. نخستین تلاش ثبت‌شده برای سوءاستفاده از CVE-2026-109618 نیز در ساعت 13:05 روز 21 اکتبر 2026 به وقت هماهنگ جهانی (UTC) رخ داده است.
شرکت پریویدیان اعلام کرد که در هانی‌پات‌های خود، موارد متعددی از بررسی و تلاش برای سوءاستفاده از PHP2Shell را مشاهده کرده است. بااین‌حال، تا زمان نگارش گزارش، هیچ موردی از اجرای موفق کد از راه دور (RCE) یا بارگذاری فایل PHP شناسایی نشده بود. همچنین این شرکت خاطرنشان کرد که دستیابی به اجرای کد از راه دورِ قابل‌اتکا ممکن است دشوارتر از برآوردهای اولیه باشد.
شرکت‌های بیلزبو (Beelzebub)، دیتامینر (Dataminr) و وردفنس (Wordfence) نیز ارزیابی مشابهی ارائه کرده‌اند. بر اساس گزارش این شرکت‌ها، فعالیت‌های مشاهده‌شده تاکنون عمدتاً شامل اسکن و شناسایی مشخصات سامانه‌ها بوده است. همچنین مهاجمان تلاش کرده‌اند امکان اجرای دستور را تأیید کنند، اعتبارنامه‌ها و اطلاعات محرمانه را از متغیرهای محیطی استخراج نمایند، دسترسی پایدار به سامانه‌ها به دست آورند و پیلود مرحله دوم را دریافت و اجرا کنند.
وردفنس تعدادی از آدرس‌های IP مرتبط با تلاش‌های سوءاستفاده از این آسیب‌پذیری‌ها را شناسایی کرده است:
- 87.121.84[.]174
- 181.215.186[.]252
- 185.196.220[.]132
- 185.161.210[.]29
- 152.233.51[.]69
- 45.134.225[.]16
- 107.189.14[.]87
- 193.47.62[.]24
- 2409:40d2:204e:4be:2a1f:f9c9:a055:e00b
- 103.147.220[.]17
نگرانی‌ها درباره شدت این آسیب‌پذیری‌ها باعث شده است شماری از وب‌سایت‌های دولتی، مدارس و بیمارستان‌ها در آسیا، اروپا و آمریکای شمالی، به‌طور موقت از دسترس خارج شوند. دولت بریتانیا نیز تأیید کرده است که 32 سرویس دیجیتال در این کشور از دسترس خارج شده‌اند و چهار سرویس دیگر با اختلال جزئی روبه‌رو هستند. بیشتر این موارد ناشی از تعطیلی‌های پیشگیرانه‌ای است که با هدف نصب پچ‌های امنیتی و اجرای اقدامات کاهش ریسک انجام شده‌اند.
مرکز ملی امنیت سایبری بریتانیا (NCSC) نیز حدود 50 هزار هشدار برای کسب‌وکارها و سایر سازمان‌ها صادر کرده است.
تیم پژوهشی Sysdig اعلام کرد که این ضعف امنیتی ریشه در موتور PHP دارد و سابقه آن به نسخه PHP 5.4، منتشرشده در سال 2012 بازمی‌گردد. بنابراین، وب‌سایت‌های مبتنی بر وردپرس، دروپال (Drupal) و جوملا (Joomla) نیز، حتی اگر کد اپلیکیشن آن‌ها سالم باشد، همچنان در معرض این تهدید قرار دارند.
از آنجا که برای نسخه‌های قدیمی PHP پچ امنیتی ارائه نمی‌شود، آسیب‌پذیری PHP2Shell ممکن است برای مدت طولانی همچنان قابل سوءاستفاده باشد؛ وضعیتی مشابه Log4Shell. برآوردهای VirusTotal نشان می‌دهد حدود 272 هزار میزبان از نسخه‌های تحت پشتیبانی PHP، یعنی نسخه‌های 8.2 تا 8.5، استفاده می‌کنند. به سازمان‌هایی که هنوز از PHP 7.4، 8.0 یا 8.1 استفاده می‌کنند، توصیه شده است از نسخه‌های تحت پشتیبانی استفاده کرده یا بک‌پورت‌های امنیتی (Security Backports) ارائه‌شده از سوی توزیع‌کنندگان سیستم‌عامل و نرم‌افزار را نصب کنند.
پلتفرم مدیریت سطح حمله سایبری Censys اعلام کرد که بیش از 3.08 میلیون میزبان و 56.6 میلیون دارایی وب مبتنی بر PHP را شناسایی کرده است. طبق ارزیابی این پلتفرم در 23 اکتبر 2026، بیش از 34.4 میلیون سرویس PHP همچنان در معرض سوءاستفاده از این آسیب‌پذیری‌ها قرار داشته‌اند.
شرکت دیتامینر در پایان هشدار داد که بسیاری از اپلیکیشن‌های مبتنی بر وب‌سرورها و سامانه‌های مشابه، تا زمان انتشار پچ از سوی شرکت‌های توسعه‌دهنده، همچنان در معرض سوءاستفاده خواهند بود. همچنین این شرکت تأکید کرد که حتی پس از انتشار پچ‌های امنیتی، ممکن است سازمان‌ها همچنان با پیامدهای این آسیب‌پذیری‌ها مواجه باشند؛ به‌ویژه اگر پچ‌ها را روی اپلیکیشن‌ها و سامانه‌های خود نصب نکنند.
