هشدار امنیتی فوری؛ مدیران سرورها PHP را به‌روزرسانی کنند

به‌گزارش پیوست، تیم توسعه PHP روز چهارشنبه ۲۹ مهر ۱۴۰۵، چهار نسخه امنیتی جدید برای رفع آسیب‌پذیری‌های CVE-2026-109618 و CVE-2026-109619 منتشر کرد. این دو نقص در نظام امتیازدهی CVSS شدت ۹.۲ از ۱۰ دریافت کرده‌اند و در برخی پیکربندی‌ها امکان اجرای کد از راه دور را بدون نیاز به نام کاربری یا رمز عبور فراهم می‌کنند.

اهمیت این هشدار به گستردگی استفاده از PHP بازمی‌گردد. براساس داده‌های W3Techs، حدود ۶۹.۳ درصد وب‌سایت‌هایی که زبان برنامه‌نویسی سمت سرور آن‌ها قابل شناسایی است، از PHP استفاده می‌کنند. سامانه‌هایی مانند وردپرس، دروپال، جوملا و مجنتو نیز بر این زبان متکی هستند. البته استفاده از PHP به‌تنهایی به معنی آسیب‌پذیربودن یک وب‌سایت نیست و نسخه و پیکربندی سرور در تعیین میزان خطر نقش دارند.

مدیران وب‌سایت‌ها چه اقدامی باید انجام دهند؟

مهم‌ترین اقدام، بررسی نسخه PHP و نصب فوری وصله امنیتی متناسب با شاخه مورد استفاده است. نسخه‌های اصلاح‌شده به شرح زیر منتشر شده‌اند:

نسخه‌های قدیمی‌تر هر یک از این شاخه‌ها به اصلاح امنیتی نیاز دارند. PHP 8.1 و نسخه‌های قدیمی‌تر نیز از چرخه پشتیبانی رسمی خارج شده‌اند. هرچند اصلاحاتی برای برخی نسخه‌های قدیمی در سطح کد منبع منتشر شده و توزیع‌های لینوکس ممکن است وصله‌ها را به بسته‌های قبلی منتقل کنند، استفاده از نسخه‌های بدون پشتیبانی خطر امنیتی بیشتری دارد.

مدیران سرورهای اختصاصی و مجازی باید بسته‌های امنیتی را از منابع معتبر سیستم‌عامل یا PHP نصب کنند. کاربران هاست اشتراکی نیز باید از شرکت میزبان درباره نسخه PHP و وضعیت اعمال وصله‌ها استعلام بگیرند. در سیستم‌هایی که اصلاحات امنیتی به نسخه‌های قدیمی منتقل شده‌اند، صرفا شماره نسخه برای تشخیص آسیب‌پذیری کافی نیست و باید وضعیت بسته نصب‌شده بررسی شود.

به‌روزرسانی وردپرس، پوسته‌ها و افزونه‌ها جایگزین اصلاح PHP نیست. این آسیب‌پذیری‌ها در محیط اجرای زبان قرار دارند و حتی وب‌سایتی که آخرین نسخه وردپرس را نصب کرده است، در صورت استفاده از PHP آسیب‌پذیر ممکن است در معرض خطر باشد.

پس از نصب وصله‌ها، بررسی گزارش‌های سرور برای شناسایی درخواست‌های مشکوک و نشانه‌های احتمالی سوءاستفاده نیز ضروری است. در مواردی که امکان اصلاح فوری وجود ندارد، محدودکردن موقت دسترسی عمومی به سامانه آسیب‌پذیر می‌تواند خطر را کاهش دهد.

تعطیلی وب‌سایت‌های دولتی در چند کشور

هشدار امنیتی PHP به اقدام‌های پیشگیرانه در چند کشور اروپایی منجر شده است. به گزارش رویترز، شماری از وب‌سایت‌های دولتی هلند، از جمله خدمات مرتبط با بندر روتردام و مرکز ملی امنیت سایبری این کشور، موقتا از دسترس خارج شدند. وزارت کشور فرانسه نیز وب‌سایت‌های خود را به حالت تعمیر و نگهداری منتقل کرد و در فنلاند و دانمارک هم برخی خدمات عمومی تحت تأثیر اقدامات احتیاطی قرار گرفتند.

هم‌زمان، شرکت امنیتی watchTowr از مشاهده تلاش‌هایی برای بهره‌برداری از هر دو آسیب‌پذیری خبر داده است. کلادفلر نیز اعلام کرده ترافیک حمله علیه مشتریان خود و تلاش مهاجمان برای عبور از سازوکارهای دفاعی را شناسایی کرده است. این فعالیت‌ها ضرورت اصلاح سریع را نشان می‌دهند، هرچند شواهد منتشرشده به معنی تأیید نفوذ موفق و گسترده به وب‌سایت‌ها نیستند.

روش نفوذ دو آسیب‌پذیری

نقص اول، CVE-2026-109618، به مدیریت حافظه هنگام پایان غیرعادی پردازش درخواست مربوط است. زمانی که PHP با کمبود حافظه روبه‌رو می‌شود، ممکن است فرایند پاک‌سازی به داده‌های داخلی که هنوز به‌درستی مقداردهی نشده‌اند دسترسی پیدا کند. مهاجم در برخی پیکربندی‌ها می‌تواند با ارسال درخواست‌های HTTP دست‌کاری‌شده این وضعیت را ایجاد کند و به اجرای کد دلخواه برسد.

آسیب‌پذیری دوم، CVE-2026-109619، ناشی از باقی‌ماندن ارجاع به حافظه آزادشده است. در این وضعیت، اطلاعات داخلی یک درخواست پس از آزادشدن حافظه همچنان در فرایند PHP باقی می‌ماند و درخواست بعدی ممکن است از آن استفاده کند. پیامد این نقص می‌تواند افشای اطلاعات حافظه، اختلال در پردازش یا اجرای کد از راه دور باشد.