مدیران وب‌سایت‌ها و سرورها باید خود را برای یک به‌روزرسانی فوری آماده کنند. نگه‌دارندگان PHP اعلام کرده‌اند به‌زودی دو وصله امنیتی مهم منتشر خواهند کرد؛ وصله‌هایی که آسیب‌پذیری‌هایی با امتیاز شدت ۹.۲ از ۱۰ را برطرف می‌کنند.
PHP یکی از پرکاربردترین زبان‌های برنامه‌نویسی سمت سرور است و بخش بزرگی از وب‌سایت‌ها، فروشگاه‌های اینترنتی و سامانه‌های مدیریت محتوا به آن وابسته‌اند. به همین دلیل، وجود یک نقص بحرانی در این زبان می‌تواند طیف گسترده‌ای از سرورها و خدمات آنلاین را در معرض خطر قرار دهد.
درخواست PHP از مدیران سایت‌ها
تیم PHP روز دوشنبه اعلام کرد اصلاحیه‌های مربوط به این دو آسیب‌پذیری قرار است اندکی بیش از ۱۲ ساعت پس از انتشار هشدار در دسترس قرار بگیرند. از تمام کاربران نیز خواسته شده مقدمات لازم را فراهم کنند تا بلافاصله پس از عرضه نسخه اصلاح‌شده، به‌روزرسانی را انجام دهند.
در متن هشدار PHP آمده است که اگر جزئیات آسیب‌پذیری‌ها زودتر به‌صورت عمومی منتشر شود یا شواهدی از سوءاستفاده فعال مهاجمان مشاهده شود، امکان انتشار زودهنگام وصله‌ها وجود دارد.
ابزار ادعایی PHP2Shell چیست؟
این هشدار پس از انتشار گزارش‌هایی تأییدنشده درباره ابزاری با نام PHP2Shell منتشر شد. ویدیوی منتسب به این ابزار نشان می‌دهد که مهاجم می‌تواند روی وب‌سرورهای مجهز به تعدادی از محبوب‌ترین نرم‌افزارها و چارچوب‌های مبتنی بر PHP کد اجرا کند.
در گزارش افشاشده، نام نسخه‌هایی از محصولات و پروژه‌های زیر دیده می‌شود:
- WordPress 7.1.3
- MediaWiki 1.46.2
- phpBB 3.3.17
- Magento 2.4.9
- Joomla 6.2.0
- Laravel 13.36.0 و Laravel 8.83.29
- Symfony 8.1.9
- Drupal 11.4.10
- WHMCS 9.0.9
اصالت گزارش و جزئیات نمایش‌داده‌شده در ویدیو هنوز به‌طور کامل تأیید نشده است؛ بنابراین نمی‌توان با قطعیت درباره روش بهره‌برداری یا دامنه واقعی حمله اظهارنظر کرد. بااین‌حال، انتشار هشدار رسمی PHP نشان می‌دهد موضوع باید جدی گرفته شود.
آسیب‌پذیری‌ها چه نسخه‌هایی را تهدید می‌کنند؟
شرکت امنیتی watchTowr اعلام کرده گزارش افشاشده، تمام نسخه‌های PHP از PHP 5 به بعد را تحت تأثیر می‌داند. PHP 5 نخستین بار در سال ۲۰۰۴ منتشر شد و هنوز ممکن است روی برخی سرورهای قدیمی مورد استفاده قرار گیرد.
watchTowr همچنین گفته است واقعی بودن دو آسیب‌پذیری ثبت‌شده با شناسه‌های زیر را تأیید کرده است:
- CVE-2026-109618
- CVE-2026-109619
با وجود این تأیید، اطلاعات فنی کامل درباره نحوه سوءاستفاده از نقص‌ها و شرایط دقیق آسیب‌پذیر بودن سرورها هنوز منتشر نشده است.
مدیران سرور اکنون چه کاری انجام دهند؟
تا زمان انتشار وصله‌ها، بهتر است مدیران زیرساخت به‌جای منتظر ماندن، محیط خود را برای نصب سریع و کنترل‌شده نسخه اصلاحی آماده کنند.
اقدام‌های پیشنهادی
- نسخه PHP نصب‌شده روی تمام سرورها و سرویس‌ها را بررسی و ثبت کنید.
- از فایل‌ها، پایگاه داده و تنظیمات مهم نسخه پشتیبان قابل‌بازیابی تهیه کنید.
- سازگاری وب‌سایت، افزونه‌ها و قالب‌ها را در یک محیط آزمایشی بررسی کنید.
- اطلاعیه‌ها و کانال‌های رسمی پروژه PHP را برای دریافت نسخه اصلاح‌شده زیر نظر داشته باشید.
- گزارش‌های دسترسی، خطاهای PHP و رویدادهای امنیتی غیرعادی را با دقت بیشتری پایش کنید.
- دسترسی‌های مدیریتی و سرویس‌های غیرضروری را تا حد امکان محدود نگه دارید.
- پس از انتشار وصله، به‌روزرسانی را بدون تأخیر غیرضروری انجام دهید.
امتیاز ۹.۲ نشان می‌دهد با نقص‌هایی کم‌اهمیت روبه‌رو نیستیم. از سوی دیگر، ادعاهای مربوط به PHP2Shell هنوز به‌طور کامل راستی‌آزمایی نشده‌اند. منطقی‌ترین واکنش، پرهیز از گمانه‌زنی و آماده‌سازی فوری برای نصب وصله‌های رسمی PHP است.
نظر، سوال یا تجربه خود را درباره این مطلب با سایر کاربران اوکالا به اشتراک بگذارید.