تیم توسعه PHP تنها دو روز پس از انتشار بهروزرسانیهای اضطراری برای رفع دو آسیبپذیری بحرانی، از شناسایی نقص امنیتی دیگری خبر داده است که در شرایط خاص امکان اجرای کد از راه دور روی سرور را فراهم میکند. هنوز وصلهای برای این آسیبپذیری منتشر نشده و توسعهدهندگان PHP راهکاری موقت برای جلوگیری از سوءاستفاده از آن ارائه کردهاند.
به گزارش پیوست، تیم توسعه PHP روز اول آبان ۱۴۰۵ در اطلاعیهای رسمی از شناسایی آسیبپذیری جدیدی با شناسه CVE-2026-115560 خبر داد. این نقص به نحوه مدیریت اطلاعات نشست کاربران (Session) در PHP مربوط میشود و در صورت وجود ترکیبی خاص از تنظیمات، ممکن است به مهاجم اجازه دهد کدهای دلخواه خود را روی سرور اجرا کند.
زبان برنامهنویسی PHP یکی از ابزارهای پرکاربرد در توسعه وبسایتها و خدمات اینترنتی است. اجرای کد از راه دور یا RCE از جمله آسیبپذیریهای امنیتی مهم به شمار میرود؛ زیرا در صورت بهرهبرداری موفق، مهاجم میتواند دستورهایی را روی سرور آسیبدیده اجرا کند.
نوشته های مشابه
- تعرفه خدمات الکترونیکی در سال ۱۴۰۵ مشخص شد؛ ثبتنام کارت هوشمند ملی ۳۰ هزار قِران دی 9, 1404
تعرفه خدمات الکترونیکی در سال ۱۴۰۵ مشخص شد؛ ثبتنام کارت هوشمند ملی ۳۰ هزار قِران دی 9, 1404
- سپتام؛ سامانه پایش تصویری اماکن چیست و چرا برای کسبوکارها الزامی است آذر 14, 1403
سپتام؛ سامانه پایش تصویری اماکن چیست و چرا برای کسبوکارها الزامی است آذر 14, 1403
بااینحال، توسعهدهندگان PHP تأکید کردهاند که آسیبپذیری جدید تنها در شرایطی خاص قابل بهرهبرداری است. برای وقوع این مشکل، برنامه باید از تنظیمات مشخصی برای ذخیره اطلاعات نشست کاربران استفاده کند، سپس این تنظیمات را هنگام اجرا تغییر دهد و همزمان قابلیت پیگیری پیشرفت بارگذاری فایل نیز فعال باشد. به گفته تیم PHP، چنین ترکیبی در برنامههای معمول چندان رایج نیست.
تیم توسعه PHP اعلام کرده است رفع این آسیبپذیری را در چرخه عادی انتشار نسخههای بعدی انجام میدهد. تا زمان انتشار نسخه اصلاحشده، به مدیران سرورها توصیه شده قابلیت session.upload_progress.enabled را غیرفعال کنند. افرادی که این قابلیت را در پی هشدارهای امنیتی قبلی غیرفعال کردهاند، برای مقابله با این مسیر حمله نیازی به اقدام مجدد ندارند.
شناسایی این نقص در حالی اعلام شده که روز ۲۹ مهر ۱۴۰۵ چهار نسخه امنیتی جدید از PHP برای رفع دو آسیبپذیری بحرانی با شناسههای CVE-2026-109618 و CVE-2026-109619 منتشر شد. این دو آسیبپذیری امکان اجرای کد از راه دور بدون احراز هویت را فراهم میکردند و شدت هرکدام در نظام امتیازدهی CVSS نسخه چهار، ۹.۲ از ۱۰ اعلام شده بود.
نسخههای ۸.۲.۳۵، ۸.۳.۳۶، ۸.۴.۲۷ و ۸.۵.۱۲ برای رفع آن دو نقص منتشر شدند؛ اما نقص تازه با شناسه CVE-2026-115560 در اطلاعیه اصلاحات قبلی برطرف نشده و رفع آن برای انتشار بعدی برنامهریزی شده است.
تیم PHP هنوز امتیاز شدت آسیبپذیری جدید و فهرست کامل نسخههای تحت تاثیر آن را منتشر نکرده است. همچنین در منابع رسمی بررسیشده گزارشی از بهرهبرداری عملی از این نقص ارائه نشده است.
منبع
کپی لینک لینک کپی شد