چهارشنبه ۲۰ آبان ۱۴۰۵
# هشدار دربارهٔ آسیب‌پذیری PHP؛ وصلهٔ امنیتی را فوری نصب کنید
این خبر دربارهٔ آسیب‌پذیری PHP در خودِ زبان برنامه‌نویسی است؛ زبانی که بخش بزرگی از وب‌سایت‌ها، سامانه‌های مدیریت محتوا و برنامه‌های تحت وب با آن اجرا می‌شوند. برای آشنایی با خدمات طراحی و زیرساخت می‌توانید وب‌سایت Haftemehr را ببینید. اهمیت این موضوع فقط به یک نرم‌افزار خاص محدود نیست، چون ممکن است PHP در لایهٔ میزبانی، پنل مدیریت یا یکی از سرویس‌های جانبی یک وب‌سایت استفاده شده باشد.
دو نقص امنیتی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 در شاخه‌های پشتیبانی‌شدهٔ PHP گزارش شده‌اند. بر اساس اطلاعیهٔ رسمی ENISA و تیم‌های پاسخ‌گویی امنیتی، این نقص‌ها می‌توانند اجرای کد از راه دور و بدون احراز هویت را روی نسخه‌های آسیب‌پذیر ممکن کنند. در چنین سناریویی، مهاجم می‌تواند از یک درخواست مخصوص برای فعال‌کردن خطا استفاده کند و کنترل بخشی از پردازش سرور را به دست بگیرد.
شدت این آسیب‌پذیری PHP از آن جهت بالاست که سرویس وب معمولاً مستقیماً از اینترنت قابل دسترسی است. اگر نسخهٔ PHP یک سرور قدیمی باشد، یک برنامهٔ سالم هم ممکن است در معرض خطر قرار بگیرد؛ زیرا نقص در هستهٔ runtime رخ داده و لزوماً به کد همان برنامه مربوط نیست. به همین دلیل، به‌روزرسانی افزونه یا قالب به‌تنهایی راهکار کاملی محسوب نمی‌شود.
راهنمای CERT-In نسخه‌های اصلاح‌شده را برای شاخه‌های اصلی این‌گونه اعلام کرده است: PHP 8.5.12، PHP 8.4.27، PHP 8.3.36 و PHP 8.2.35. نصب نسخهٔ مناسب به سیستم‌عامل، پنل میزبانی و بسته‌ای که روی سرور استفاده می‌شود بستگی دارد؛ بنابراین مدیر فنی باید ابتدا نسخهٔ واقعی در حال اجرا را بررسی کند، نه فقط نسخه‌ای را که در مستندات قدیمی ثبت شده است.
نسخه‌های ۸.۱ و قدیمی‌تر دیگر از پشتیبانی عادی پروژهٔ PHP خارج شده‌اند. اگر یک وب‌سایت به چنین نسخه‌ای وابسته است، مسیر درست معمولاً ارتقا به شاخهٔ پشتیبانی‌شده و آزمایش سازگاری در محیط آزمایشی است. جایگزین‌کردن فوری نسخهٔ runtime روی سایت فعال، بدون بررسی افزونه‌ها و اتصال‌های قدیمی، می‌تواند خطاهای تازه ایجاد کند؛ پس فرایند ارتقا باید مرحله‌به‌مرحله باشد.
اول، فهرست همهٔ سرورها، حساب‌های میزبانی، پنل‌ها و برنامه‌هایی را که PHP اجرا می‌کنند تهیه کنید. در سرویس‌های اشتراکی، از شرکت میزبانی بپرسید نسخهٔ واقعی PHP و زمان اعمال وصله چه بوده است. دوم، نسخهٔ اصلاح‌شده را در محیط آزمایشی نصب کنید و ورود مدیر، فرم‌ها، اتصال پایگاه داده، صف‌های کاری و وظایف زمان‌بندی‌شده را بررسی کنید.
پس از نصب، نسخهٔ runtime را دوباره از خود سرور بخوانید و مطمئن شوید وب‌سرور همان نسخهٔ جدید را بارگذاری کرده است. فایل‌های پیکربندی، لاگ خطا و دسترسی‌های حساب‌های مدیریتی را هم بازبینی کنید. اگر به‌روزرسانی فوری ممکن نیست، کاهش موقت سطح دسترسی و محدودکردن سرویس عمومی تا زمان نصب وصله می‌تواند ریسک را کمتر کند؛ این تصمیم باید با توجه به معماری واقعی سرویس و امکان ارائهٔ آن گرفته شود.
در پایان، لاگ‌های وب‌سرور و برنامه را برای درخواست‌های غیرعادی، فایل‌های تازه، پردازش‌های ناشناخته و تغییرات غیرمنتظره بررسی کنید. وجود نشانهٔ مشکوک به معنی اثبات نفوذ نیست، اما باید باعث حفظ لاگ‌ها، تهیهٔ نسخهٔ پشتیبان قابل‌بازگردانی و بررسی تخصصی شود. نسخهٔ پشتیبان را پیش از ارتقا بگیرید و بازگردانی آن را هم آزمایش کنید؛ پشتیبان آزمایش‌نشده در زمان حادثه قابل اتکا نیست. این کنترل‌ها بخشی از پاسخ عملی به آسیب‌پذیری PHP هستند و نباید به بعد از مشاهدهٔ حادثه موکول شوند.
این آسیب‌پذیری PHP یک هشدار عملی برای همهٔ مدیران وب‌سایت‌هاست، نه صرفاً توسعه‌دهندگان PHP. اول نسخهٔ در حال اجرا را شناسایی کنید، سپس وصلهٔ مناسب را در محیط آزمایشی بررسی و در کوتاه‌ترین زمان روی سرویس‌های عمومی اعمال کنید. اگر نسخهٔ مورد استفاده خارج از چرخهٔ پشتیبانی است، ارتقای پایه‌ای را در برنامهٔ نگهداری قرار دهید و وضعیت واقعی سرور را پس از تغییر دوباره کنترل کنید.
منبع اصلی: آرشیو رسمی اطلاعیه‌های امنیتی PHP
منبع تکمیلی: راهنمای CERT-In دربارهٔ PHP2Shell
تمام حقوق برای پایگاه خبری ، تحلیلی هفت مهر محفوظ می باشد کپی برداری از مطالب با ذکر منبع بلامانع می باشد.
طراحی توسط فامو