تاریخ رویداد یا اطلاعیهٔ اصلی: · این مطلب در تاریخ انتشار بالا تهیه شده است.
آنچه باید بدانید
- نام کامل بستهٔ سازنده و اصلاح هر دو آسیب‌پذیری را بررسی کنید.
- پردازش فعال وب‌سایت باید از فایل اجرایی اصلاح‌شده استفاده کند.
- نتیجهٔ آزمایش ورود، سفارش و آپلود را پس از نگهداری ثبت کنید.
PHP چه چیزی اعلام کرد؟
پروژهٔ PHP در ۲۱ اکتبر ۲۰۲۶ رفع دو آسیب‌پذیری بحرانی اجرای کد از راه دور را اعلام کرد: CVE-2026-109618 و CVE-2026-109619. نسخه‌های اصلاح‌شده در همان اطلاعیه، 8.2.35 و 8.3.36 و 8.4.27 و 8.5.12 بودند. این اعداد نسخه‌های معرفی‌شده در آن تاریخ‌اند؛ برای آخرین تغییرات، اطلاعیهٔ اصلی PHP را بررسی کنید.
چرا خود PHP هاست اهمیت دارد؟
ایراد اول به پردازش نادرست وضعیت درخواست هنگام کمبود حافظه مربوط است. ایراد دوم زمانی رخ می‌دهد که اطلاعات داخلی یک درخواست پس از آزادشدن حافظه باقی بماند. شرایط سوءاستفاده به نوع اجرای PHP، افزونه‌ها و برنامه بستگی دارد. جزئیات در گزارش مدیریت حافظه و گزارش وضعیت باقی‌ماندهٔ درخواست توضیح داده شده است.
برای مدیر سایت، نتیجهٔ عملی این است که امنیت رمز و برنامه باید همراه با امنیت موتور اجرای سایت بررسی شود.
شمارهٔ نسخه به‌تنهایی کافی نیست
شرکت‌های میزبانی ممکن است وصله را روی شاخهٔ فعلی PHP اعمال کنند و شمارهٔ پایه تغییر نکند. نام کامل بسته و شمارهٔ انتشار آن را بپرسید و وجود اصلاح هر دو آسیب‌پذیری را در تغییرات بسته بررسی کنید. راهنمای cPanel و CloudLinux بسته‌های اصلاح‌شدهٔ این دو مسیر را جداگانه معرفی می‌کند.
PHP خط فرمان الزاماً همان PHP وب‌سایت نیست. در یک سرور، PHP-FPM یا LiteSpeed و انتخاب‌گر نسخهٔ حساب‌ها می‌توانند نصب‌های متفاوتی داشته باشند؛ باید مسیر واقعی اجرای هر دامنه مشخص شود.
چک‌لیست پس از به‌روزرسانی
- از برنامه و دیتابیس پشتیبان بگیرید و نسخه و افزونه‌های فعلی را ثبت کنید.
- بسته‌های امنیتی امضاشدهٔ سازنده را برای نصب‌های در معرض وب نصب کنید.
- طبق مستندات وب‌سرور، پردازش‌های قدیمی PHP را جایگزین یا بازخوانی کنید.
- بازشدن صفحه، ورود کاربر، سفارش و آپلود مورد نیاز سایت را آزمایش کنید.
- لاگ‌ها و تغییرات غیرمنتظرهٔ فایل‌ها را جداگانه بررسی کنید.
نصب موفق بسته باید با مدرک اجرای نسخهٔ اصلاح‌شده و سلامت عملکرد سایت همراه باشد. این سه مورد، گزارش نگهداری قابل اتکاتری می‌سازند.
از شرکت هاست چه بپرسیم؟
بپرسید: «کدام بسته دامنهٔ من را اجرا می‌کند، آیا هر دو آسیب‌پذیری اصلاح شده‌اند، پردازش‌ها چه زمانی جایگزین شده‌اند و چه آزمون‌هایی انجام شده است؟» برای چند سایت، پاسخ را به تفکیک دامنه بخواهید. طبق اعلام PHP، تنظیمات موقت جایگزین وصلهٔ کامل نیستند.
برای برنامه‌ریزی نگهداری، نیاز خود را با خدمات فناوری اطلاعات کیاوا مطرح کنید و چک‌لیست امنیت VPS لینوکس را هم بخوانید.
منابع و مطالعهٔ بیشتر
گزارش این مطلب بر پایهٔ منابع اصلی زیر است. توصیه‌های اجرایی، راهنمای عمومی کیاوا هستند و باید با شرایط پروژه تطبیق داده شوند.