توسعهدهندگان PHP برای رفع دو آسیبپذیری بحرانی با شدت ۹.۲ از ۱۰، وصلههای اضطراری منتشر کردهاند. این نقصها میتوانند در شرایط مشخص به مهاجمان اجازه دهند بدون احراز هویت، کد دلخواه خود را روی سرور اجرا کنند. با شناسایی تلاشهایی برای سوءاستفاده از آسیبپذیریها، مدیران وبسایتها باید وضعیت PHP سرورهای خود را بهطور فوری بررسی کنند.
بهگزارش پیوست، تیم توسعه PHP روز چهارشنبه ۲۹ مهر ۱۴۰۵، چهار نسخه امنیتی جدید برای رفع آسیبپذیریهای CVE-2026-109618 و CVE-2026-109619 منتشر کرد. این دو نقص در نظام امتیازدهی CVSS شدت ۹.۲ از ۱۰ دریافت کردهاند و در برخی پیکربندیها امکان اجرای کد از راه دور را بدون نیاز به نام کاربری یا رمز عبور فراهم میکنند.
اهمیت این هشدار به گستردگی استفاده از PHP بازمیگردد. براساس دادههای W3Techs، حدود ۶۹.۳ درصد وبسایتهایی که زبان برنامهنویسی سمت سرور آنها قابل شناسایی است، از PHP استفاده میکنند. سامانههایی مانند وردپرس، دروپال، جوملا و مجنتو نیز بر این زبان متکی هستند. البته استفاده از PHP بهتنهایی به معنی آسیبپذیربودن یک وبسایت نیست و نسخه و پیکربندی سرور در تعیین میزان خطر نقش دارند.
نوشته های مشابه
- تعرفه خدمات الکترونیکی در سال ۱۴۰۵ مشخص شد؛ ثبتنام کارت هوشمند ملی ۳۰ هزار قِران دی 9, 1404
تعرفه خدمات الکترونیکی در سال ۱۴۰۵ مشخص شد؛ ثبتنام کارت هوشمند ملی ۳۰ هزار قِران دی 9, 1404
- سپتام؛ سامانه پایش تصویری اماکن چیست و چرا برای کسبوکارها الزامی است آذر 14, 1403
سپتام؛ سامانه پایش تصویری اماکن چیست و چرا برای کسبوکارها الزامی است آذر 14, 1403
مدیران وبسایتها چه اقدامی باید انجام دهند؟
مهمترین اقدام، بررسی نسخه PHP و نصب فوری وصله امنیتی متناسب با شاخه مورد استفاده است. نسخههای اصلاحشده به شرح زیر منتشر شدهاند:
شاخه PHP نسخه اصلاحشده PHP 8.5 8.5.12 PHP 8.4 8.4.27 PHP 8.3 8.3.36 PHP 8.2 8.2.35
نسخههای قدیمیتر هر یک از این شاخهها به اصلاح امنیتی نیاز دارند. PHP 8.1 و نسخههای قدیمیتر نیز از چرخه پشتیبانی رسمی خارج شدهاند. هرچند اصلاحاتی برای برخی نسخههای قدیمی در سطح کد منبع منتشر شده و توزیعهای لینوکس ممکن است وصلهها را به بستههای قبلی منتقل کنند، استفاده از نسخههای بدون پشتیبانی خطر امنیتی بیشتری دارد.
مدیران سرورهای اختصاصی و مجازی باید بستههای امنیتی را از منابع معتبر سیستمعامل یا PHP نصب کنند. کاربران هاست اشتراکی نیز باید از شرکت میزبان درباره نسخه PHP و وضعیت اعمال وصلهها استعلام بگیرند. در سیستمهایی که اصلاحات امنیتی به نسخههای قدیمی منتقل شدهاند، صرفا شماره نسخه برای تشخیص آسیبپذیری کافی نیست و باید وضعیت بسته نصبشده بررسی شود.
بهروزرسانی وردپرس، پوستهها و افزونهها جایگزین اصلاح PHP نیست. این آسیبپذیریها در محیط اجرای زبان قرار دارند و حتی وبسایتی که آخرین نسخه وردپرس را نصب کرده است، در صورت استفاده از PHP آسیبپذیر ممکن است در معرض خطر باشد.
پس از نصب وصلهها، بررسی گزارشهای سرور برای شناسایی درخواستهای مشکوک و نشانههای احتمالی سوءاستفاده نیز ضروری است. در مواردی که امکان اصلاح فوری وجود ندارد، محدودکردن موقت دسترسی عمومی به سامانه آسیبپذیر میتواند خطر را کاهش دهد.
تعطیلی وبسایتهای دولتی در چند کشور
هشدار امنیتی PHP به اقدامهای پیشگیرانه در چند کشور اروپایی منجر شده است. به گزارش رویترز، شماری از وبسایتهای دولتی هلند، از جمله خدمات مرتبط با بندر روتردام و مرکز ملی امنیت سایبری این کشور، موقتا از دسترس خارج شدند. وزارت کشور فرانسه نیز وبسایتهای خود را به حالت تعمیر و نگهداری منتقل کرد و در فنلاند و دانمارک هم برخی خدمات عمومی تحت تأثیر اقدامات احتیاطی قرار گرفتند.
همزمان، شرکت امنیتی watchTowr از مشاهده تلاشهایی برای بهرهبرداری از هر دو آسیبپذیری خبر داده است. کلادفلر نیز اعلام کرده ترافیک حمله علیه مشتریان خود و تلاش مهاجمان برای عبور از سازوکارهای دفاعی را شناسایی کرده است. این فعالیتها ضرورت اصلاح سریع را نشان میدهند، هرچند شواهد منتشرشده به معنی تأیید نفوذ موفق و گسترده به وبسایتها نیستند.
روش نفوذ دو آسیبپذیری
نقص اول، CVE-2026-109618، به مدیریت حافظه هنگام پایان غیرعادی پردازش درخواست مربوط است. زمانی که PHP با کمبود حافظه روبهرو میشود، ممکن است فرایند پاکسازی به دادههای داخلی که هنوز بهدرستی مقداردهی نشدهاند دسترسی پیدا کند. مهاجم در برخی پیکربندیها میتواند با ارسال درخواستهای HTTP دستکاریشده این وضعیت را ایجاد کند و به اجرای کد دلخواه برسد.
آسیبپذیری دوم، CVE-2026-109619، ناشی از باقیماندن ارجاع به حافظه آزادشده است. در این وضعیت، اطلاعات داخلی یک درخواست پس از آزادشدن حافظه همچنان در فرایند PHP باقی میماند و درخواست بعدی ممکن است از آن استفاده کند. پیامد این نقص میتواند افشای اطلاعات حافظه، اختلال در پردازش یا اجرای کد از راه دور باشد.
تیم PHP اعلام کرده خطر در پیکربندی Apache با ماژول mod_php بیشتر است، زیرا اجرای حمله در یکی از سناریوهای تأییدشده حتی پیش از اجرای کد برنامه وب امکانپذیر است. بااینحال، محیطهایی مانند PHP-FPM، php-cgi، FrankenPHP و LiteSpeed نیز در دامنه هشدار قرار دارند. میزان موفقیت و پیشنیازهای حمله در این محیطها یکسان نیست.
منبع
کپی لینک لینک کپی شد