دو آسیب‌پذیری بحرانی PHP ؛ به‌روزرسانی فوری لازم است
تیم PHP نسخه های اصلاح شده را منتشر کرده است ؛ این نقص های امنیتی در شرایط مشخص می توانند امکان اجرای کد از راه دور و بدون ورود به حساب کاربری را فراهم کنند.
به گزارش ملاردی ها ، تیم توسعه PHP دو آسیب پذیری امنیتی بحرانی را اعلام کرده است که در صورت استفاده از نسخه های آسیب پذیر ، می توانند امنیت سرورهای میزبان وب سایت ها و برنامه های مبتنی بر این زبان را به خطر بیندازند. این آسیب پذیری ها با شناسه های CVE-۲۰۲۶-۱۰۹۶۱۸ و CVE-۲۰۲۶-۱۰۹۶۱۹ ثبت شده اند و نسخه های اصلاح شده برای شاخه های پشتیبانی شده PHP در ۲۱ اکتبر ۲۰۲۶ منتشر شده اند.
خطر اصلی این نقص ها ، امکان اجرای کد مخرب از راه دور بدون نیاز به احراز هویت در شرایط مشخص است. به این معنا که مهاجم در یک محیط آسیب پذیر ممکن است بتواند از راه دور عملیاتی را روی سرور اجرا کند. با این حال ، اعلام آسیب پذیری به معنای هک شدن همه وب سایت های مبتنی بر PHP نیست ؛ میزان خطر به نسخه نصب شده ، شیوه اجرای PHP و وضعیت اصلاحات امنیتی سرور بستگی دارد.
بر اساس اطلاعیه رسمی ، نسخه های اصلاح شده شامل PHP ۸.۵.۱۲ ، نسخه ۸.۴.۲۷ ، نسخه ۸.۳.۳۶ و نسخه ۸.۲.۳۵ هستند. مدیران سرورهایی که از شاخه های پشتیبانی شده استفاده می کنند باید نسخه خود را با نسخه اصلاح شده همان شاخه تطبیق دهند و در صورت قدیمی بودن ، به روزرسانی امنیتی را در اولویت قرار دهند. برای نسخه های قدیمی تر که دیگر از پشتیبانی رسمی برخوردار نیستند ، لازم است وضعیت پشتیبانی و راهکار اصلاحی از سوی ارائه دهنده سرور بررسی شود.
توصیه وردپرس نیز به مدیران وب سایت ها این است که نسخه PHP مورد استفاده خود را بررسی و با همکاری شرکت میزبانی ، به روزرسانی لازم را انجام دهند. در وردپرس می توان از مسیر «ابزارها» و سپس «سلامت سایت» به بخش «اطلاعات» و قسمت «سرور» مراجعه کرد و نسخه PHP را مشاهده کرد. در برخی سرویس های میزبانی نیز این اطلاعات در پنل مدیریت هاست قابل مشاهده است.
مدیران سایت ها نباید صرفا به بروزرسانی افزونه ها و قالب وردپرس اکتفا کنند ؛ این آسیب پذیری ها به خود PHP مربوط اند و اصلاح آنها به نسخه و تنظیمات محیط اجرای PHP وابسته است. به همین دلیل ، اگر امکان تغییر نسخه از پنل هاست وجود ندارد یا درباره سازگاری سایت با نسخه جدید اطمینان ندارند ، باید از پشتیبانی شرکت میزبانی درخواست کنند وضعیت سرور را بررسی و اصلاحات امنیتی را با رعایت سازگاری سایت اجرا کند.
پس از به روزرسانی نیز بررسی گزارش های امنیتی سرور ، خطاهای برنامه و فعالیت های غیرعادی اهمیت دارد. نصب نسخه اصلاح شده اقدام اصلی برای رفع این نقص هاست ؛ اما اگر شواهدی از نفوذ قبلی وجود داشته باشد ، به روزرسانی به تنهایی جایگزین بررسی رخداد امنیتی و تغییر امن اطلاعات دسترسی نخواهد بود.
هشدارهای امنیتی منتشر شده بر ضرورت اقدام سریع تأکید دارند. مدیران وب سایت ها باید نسخه PHP را بررسی کنند ، اصلاحات مربوط به شاخه مورد استفاده را نصب کنند و در صورت استفاده از نسخه های منقضی شده ، برای مهاجرت به نسخه پشتیبانی شده برنامه ریزی داشته باشند.
انتهای پیام/
