به گزارش ایران نت، تیم امنیتی PHP از انتشار به‌روزرسانی‌های اضطراری برای رفع دو آسیب‌پذیری بحرانی خبر داده است؛ نقص‌هایی که براساس گزارش‌های منتشرشده ممکن است امکان اجرای کد از راه دور را در سامانه‌های آسیب‌پذیر فراهم کنند. این دو آسیب‌پذیری در نسخه ۴.۰ سیستم امتیازدهی آسیب‌پذیری‌های امنیتی (CVSS) امتیاز ۹.۲ از ۱۰ گرفته‌اند و به همین دلیل، از مدیران وب‌سایت‌ها و مسئولان زیرساخت‌های نرم‌افزاری خواسته شده است برای نصب فوری وصله‌های امنیتی آماده باشند.
اهمیت این هشدار به گستردگی استفاده از PHP در زیرساخت اینترنت بازمی‌گردد. بسیاری از وب‌سایت‌ها، فروشگاه‌های اینترنتی، سامانه‌های مدیریت محتوا و برنامه‌های تحت وب با این زبان برنامه‌نویسی توسعه یافته‌اند. به همین دلیل، وجود آسیب‌پذیری در لایه PHP می‌تواند طیف گسترده‌ای از سرویس‌های آنلاین را در معرض خطر قرار دهد؛ هرچند میزان واقعی تأثیر این دو نقص تا زمان انتشار جزئیات رسمی و مشخص شدن نسخه‌های آسیب‌پذیر، به‌طور کامل روشن نیست.
پچ‌های اضطراری PHP چه زمانی منتشر می‌شوند؟
تیم توسعه PHP در اطلاعیه‌ای که روز سه‌شنبه منتشر شد، اعلام کرد وصله‌های امنیتی مربوط به این دو آسیب‌پذیری روز چهارشنبه ۲۱ اکتبر ۲۰۲۶، ساعت ۱۴ به وقت هماهنگ جهانی (UTC) منتشر خواهند شد. این زمان برابر با ساعت ۱۷:۳۰ به وقت ایران است. از مدیران سامانه‌ها خواسته شده است پیش از انتشار به‌روزرسانی‌ها، مقدمات لازم را فراهم کنند تا بتوانند در کوتاه‌ترین زمان ممکن اصلاحیه‌ها را نصب کنند.
توصیه به آماده‌باش پیش از انتشار وصله‌ها از آن جهت اهمیت دارد که در آسیب‌پذیری‌های بحرانی، فاصله میان انتشار اصلاحیه و نصب آن روی سرورها می‌تواند فرصت مناسبی برای مهاجمان ایجاد کند. سازمان‌هایی که تعداد زیادی وب‌سایت یا سرویس مبتنی بر PHP را مدیریت می‌کنند، بهتر است از پیش مشخص کنند کدام سرورها به این زبان وابسته‌اند، چه کسی مسئول نصب وصله‌هاست و چگونه می‌توان پس از به‌روزرسانی، عملکرد صحیح سرویس‌ها را بررسی کرد.
دو آسیب‌پذیری بحرانی PHP چه خطراتی دارند؟
تا زمان انتشار گزارش اولیه، تیم توسعه PHP هنوز جزئیات فنی کامل این دو نقص، فهرست دقیق نسخه‌های تحت‌تأثیر، روش‌های سوءاستفاده و شماره نسخه‌های اصلاح‌شده را به‌صورت رسمی اعلام نکرده بود. بااین‌حال، پژوهشگران امنیتی شرکت واچ‌تاور (watchTowr) به رسانه‌های تخصصی حوزه امنیت گفته‌اند این آسیب‌پذیری‌ها با شناسه‌های CVE-2026-109618 و CVE-2026-109619 شناخته می‌شوند و از نوع اجرای کد از راه دور یا RCE هستند.
براساس اطلاعات منتشرشده از سوی این پژوهشگران، احتمال دارد نسخه‌های ۵، ۶، ۷ و ۸ PHP تحت‌تأثیر قرار گرفته باشند. بااین‌حال، این موضوع تا زمان انتشار فهرست رسمی نسخه‌های آسیب‌پذیر باید به‌عنوان گزارشی اولیه در نظر گرفته شود. مدیران فنی نباید صرفاً بر مبنای این فهرست احتمالی درباره ایمن بودن یا آسیب‌پذیری سامانه‌های خود تصمیم بگیرند.
اجرای کد از راه دور به چه معناست؟
اجرای کد از راه دور یکی از انواع جدی آسیب‌پذیری‌های امنیتی است. در چنین شرایطی، مهاجم ممکن است بتواند از طریق یک ورودی یا درخواست دست‌کاری‌شده، دستورهای دلخواه خود را روی سامانه هدف اجرا کند. اگر این حمله بدون احراز هویت امکان‌پذیر باشد، مهاجم برای آغاز سوءاستفاده لزوماً به حساب کاربری معتبر یا رمز عبور نیاز ندارد.
پیامدهای احتمالی چنین نقصی به نحوه پیکربندی سرور، سطح دسترسی پردازش PHP و سایر لایه‌های دفاعی بستگی دارد. در سناریوهای مختلف، اجرای کد مخرب می‌تواند به دسترسی غیرمجاز به اطلاعات، تغییر فایل‌ها، ایجاد اختلال در سرویس یا فراهم شدن زمینه برای حملات بعدی منجر شود. بااین‌حال، بدون جزئیات فنی تأییدشده نمی‌توان با قطعیت گفت هر یک از این پیامدها در مورد آسیب‌پذیری‌های مورد بحث امکان‌پذیر است.
گزارش بازتولید آسیب‌پذیری و نگرانی از افشای زودهنگام
پژوهشگران شرکت واچ‌تاور اعلام کرده‌اند که موفق شده‌اند آسیب‌پذیری CVE-2026-109618 را بازتولید کنند. آن‌ها در عین حال گفته‌اند تا زمان انتشار وصله‌های امنیتی، جزئیات فنی لازم برای سوءاستفاده از این نقص را منتشر نخواهند کرد. چنین رویکردی در مواردی که آسیب‌پذیری هنوز به‌طور گسترده اصلاح نشده است، می‌تواند به کاهش احتمال سوءاستفاده از اطلاعات فنی پیش از آماده شدن راهکار دفاعی کمک کند.
با وجود این احتیاط، گزارش‌هایی درباره افشای زودهنگام اطلاعات منتسب به این آسیب‌پذیری‌ها منتشر شده است. صحت تمام جزئیات این گزارش‌ها هنوز تأیید نشده و همین موضوع ارزیابی دقیق وضعیت تهدید را دشوار می‌کند. پژوهشگران همچنین گفته‌اند تاکنون شواهدی از سوءاستفاده عملی از این دو آسیب‌پذیری مشاهده نکرده‌اند؛ نکته‌ای که باید در کنار هشدارهای دیگر و بدون برداشت قطعی درباره نبود خطر در نظر گرفته شود.
در گزارش‌های منتشرشده، ویدیویی از ابزاری با نام PHP2Shell دیده می‌شود که ادعا شده است می‌تواند با اجرای کد روی وب‌سرورها، سامانه‌های مبتنی بر PHP را هدف قرار دهد. نمایش یک ابزار در ویدیو یا گزارش امنیتی، به‌تنهایی به معنای تأیید مستقل تمام ادعاهای مربوط به عملکرد آن نیست؛ بااین‌حال، انتشار چنین اطلاعاتی پیش از عرضه وصله‌ها می‌تواند نگرانی‌ها درباره احتمال افزایش تلاش‌های مهاجمان را بیشتر کند.
کدام سامانه‌ها ممکن است در معرض خطر باشند؟
در گزارش مربوط به ابزار PHP2Shell، نام چند نرم‌افزار و چارچوب شناخته‌شده مطرح شده است. از جمله این موارد می‌توان به وردپرس، مدیاویکی، phpBB، مجنتو، جوملا، لاراول، سیمفونی، دروپال و WHMCS اشاره کرد. نسخه‌هایی که در گزارش به آن‌ها اشاره شده، شامل وردپرس ۷.۱.۳، مدیاویکی ۱.۴۶.۲، phpBB ۳.۳.۱۷، مجنتو ۲.۴.۹، جوملا ۶.۲.۰، لاراول ۱۳.۳۶.۰ و ۸.۸۳.۲۹، سیمفونی ۸.۱.۹، دروپال ۱۱.۴.۱۰ و WHMCS ۹.۰.۹ است.
ذکر نام این محصولات به‌معنای تأیید آسیب‌پذیری مستقیم همه آن‌ها نیست. بسیاری از این نرم‌افزارها با PHP کار می‌کنند، اما آسیب‌پذیری در خود زبان، افزونه‌ها، کتابخانه‌ها یا نحوه پیکربندی سرور می‌تواند شرایط متفاوتی ایجاد کند. مدیران باید وضعیت هر محصول را براساس اطلاعیه رسمی توسعه‌دهنده آن و نسخه‌های مشخص‌شده در توصیه‌های امنیتی بررسی کنند.
برای مثال، مدیر یک فروشگاه اینترنتی باید علاوه بر بررسی نسخه PHP، وضعیت سامانه فروشگاه، افزونه‌ها، کتابخانه‌های مورد استفاده و تنظیمات سرور را نیز در نظر بگیرد. همین موضوع درباره وب‌سایت‌های مبتنی بر وردپرس یا سامانه‌های سازمانی مبتنی بر چارچوب‌هایی مانند لاراول و سیمفونی صدق می‌کند. صرف به‌روز بودن سیستم مدیریت محتوا، بدون بررسی نسخه PHP و اجزای وابسته، تضمین نمی‌کند که تمام سطح حمله پوشش داده شده باشد.
واکنش کلودفلر به تهدیدهای احتمالی
دین کنخت (Dane Knecht)، مدیر ارشد فناوری کلودفلر، اعلام کرده است که نشانه‌هایی از ظهور حملات مرتبط با این تهدید مشاهده می‌شود و این شرکت برای مقابله موقت با خطر، در حال به‌روزرسانی قوانین فایروال خود است. کلودفلر در زمینه امنیت وب و خدمات زیرساخت ابری فعالیت می‌کند و می‌تواند با اعمال قواعد حفاظتی در لایه شبکه، به شناسایی یا مسدود کردن برخی درخواست‌های مشکوک کمک کند.
بااین‌حال، استفاده از خدمات فایروال یا سامانه‌های محافظت در برابر حملات وب جایگزین نصب وصله امنیتی نیست. قواعد دفاعی ممکن است بخشی از درخواست‌های مخرب را شناسایی کنند، اما تضمینی وجود ندارد که تمام روش‌های احتمالی سوءاستفاده را پوشش دهند. بنابراین، سازمان‌ها باید اقدامات حفاظتی موقت را در کنار برنامه مشخص برای نصب به‌روزرسانی رسمی انجام دهند.
توصیه نهادهای امنیتی به مدیران سامانه‌ها
تیم واکنش اضطراری رایانه‌ای اتحادیه اروپا (CERT-EU) در اطلاعیه‌ای اعلام کرده است که امتیاز ۹.۲ از ۱۰ نشان‌دهنده سطح بالای خطر است و در ارزیابی گزارش‌شده، احتمال اجرای کد از راه دور بدون احراز هویت مطرح شده است. چنین شرایطی می‌تواند برای سازمان‌هایی که سرویس‌های PHP را مستقیماً در معرض اینترنت قرار داده‌اند، اهمیت ویژه‌ای داشته باشد.
مرکز امنیت سایبری استرالیا (ACSC) نیز توصیه کرده است سازمان‌ها سامانه‌های مبتنی بر PHP را در زیرساخت خود شناسایی کنند، برای نصب وصله‌های امنیتی آماده باشند و برنامه‌های کاربردی را از نظر نشانه‌های فعالیت مخرب زیر نظر بگیرند. این توصیه‌ها به‌ویژه برای سازمان‌هایی اهمیت دارد که چندین سرور، وب‌سایت یا سرویس وابسته به PHP را مدیریت می‌کنند و ممکن است تصویر کاملی از دارایی‌های نرم‌افزاری خود نداشته باشند.
مدیران وب‌سایت‌ها اکنون چه اقداماتی انجام دهند؟
تا زمان انتشار جزئیات رسمی، مدیران سامانه‌ها می‌توانند با انجام چند اقدام مقدماتی، آمادگی خود را برای واکنش سریع افزایش دهند. هدف این اقدامات، کاهش زمان شناسایی سامانه‌های در معرض خطر و فراهم کردن امکان نصب کنترل‌شده وصله‌هاست.
- شناسایی نسخه PHP: نسخه PHP مورد استفاده در تمام سرورها، محیط‌های میزبانی و سرویس‌های تحت وب را ثبت کنید.
- تهیه فهرست دارایی‌ها: وب‌سایت‌ها، برنامه‌ها، کانتینرها و سرویس‌هایی را که به PHP وابسته‌اند شناسایی کنید.
- پیگیری اطلاعیه رسمی: نسخه‌های آسیب‌پذیر و اصلاح‌شده را پس از انتشار اعلامیه رسمی تیم PHP بررسی کنید.
- آماده‌سازی نسخه پشتیبان: پیش از به‌روزرسانی، از اطلاعات و تنظیمات مهم نسخه پشتیبان تهیه کنید و امکان بازیابی آن را بسنجید.
- برنامه‌ریزی برای نصب سریع: مسئول نصب وصله‌ها و روند آزمایش اولیه پس از به‌روزرسانی را مشخص کنید.
- بررسی گزارش‌ها: گزارش‌های سرور، درخواست‌های غیرعادی و نشانه‌های احتمالی اجرای دستورهای مشکوک را زیر نظر بگیرید.
- کاهش سطح دسترسی: دسترسی پردازش PHP به فایل‌ها، اطلاعات حساس و سرویس‌های دیگر را تا حد امکان محدود کنید.
- استفاده از دفاع موقت: در صورت دسترسی به فایروال برنامه وب یا خدمات حفاظتی مشابه، توصیه‌های معتبر و قواعد مرتبط را بررسی کنید.
نصب وصله در محیط‌های سازمانی بهتر است با توجه به حساسیت سرویس و الزامات عملیاتی انجام شود. آزمایش اولیه در محیط آزمایشی می‌تواند از بروز ناسازگاری جلوگیری کند، اما در صورت تأیید خطر برای سامانه و وجود اصلاحیه رسمی، این مرحله نباید بهانه‌ای برای به تعویق انداختن نامحدود به‌روزرسانی باشد. پس از نصب نیز باید نسخه فعال PHP، سلامت برنامه و گزارش‌های امنیتی بررسی شوند.
جمع‌بندی؛ به‌روزرسانی PHP را به تعویق نیندازید
هشدار درباره دو آسیب‌پذیری بحرانی PHP با امتیاز ۹.۲ از ۱۰، ضرورت بررسی سریع زیرساخت‌های مبتنی بر این زبان را یادآوری می‌کند. احتمال اجرای کد از راه دور، گزارش بازتولید دست‌کم یکی از نقص‌ها و انتشار اطلاعاتی درباره ابزارهای مرتبط، از جمله عواملی هستند که توجه مدیران وب‌سایت‌ها و تیم‌های امنیتی را ضروری می‌کنند. در عین حال، تا زمان انتشار جزئیات رسمی، باید میان اطلاعات تأییدشده و ادعاهای اولیه تفاوت قائل شد.
مهم‌ترین اقدام در این مرحله، شناسایی سامانه‌های وابسته به PHP، پیگیری اطلاعیه‌های رسمی، آماده نگه داشتن فرایند به‌روزرسانی و بررسی نشانه‌های فعالیت غیرعادی است. پس از انتشار وصله‌ها، مدیران باید نسخه‌های اصلاح‌شده را با وضعیت واقعی زیرساخت خود تطبیق دهند و نصب به‌روزرسانی را در اولویت قرار دهند. برای دنبال کردن اخبار بیشتر، به ایران نت مراجعه کنید.
“`
