بنیاد PHP در اطلاعیه ۲۱ اکتبر ۲۰۲۶ انتشار نسخه‌های اصلاح‌شده برای دو آسیب‌پذیری بحرانی را تأیید کرد. برای وب‌سایت شرکتی، قدم اول شناسایی نسخه واقعاً در حال استفاده و وضعیت اصلاحیه میزبان است؛ صرف به‌روزبودن وردپرس پاسخ این پرسش نیست.
کدام نسخه‌ها منتشر شده‌اند؟
طبق اطلاعیه بنیاد، PHP 8.5.12، 8.4.27، 8.3.36 و 8.2.35 برای رفع این دو مشکل منتشر شده‌اند. بنیاد توضیح می‌دهد که در شرایط لازم، این ضعف‌ها می‌توانند به اجرای کد روی سرور توسط مهاجم بدون احراز هویت منجر شوند. ارزیابی دقیق هر سامانه باید با اطلاعیه رسمی و بسته ارائه‌دهنده آن انجام شود.
خبر دیجیاتو درباره پیامدهای این مسئله در ۳۰ مهر ۱۴۰۵ منتشر شد؛ تاریخ انتشار پچ در منبع اولیه ۲۱ اکتبر است. بنابراین اکنون صحبت از آماده‌شدن برای پچی در آینده نیست؛ باید وضعیت نصب اصلاحیه بررسی شود. این گزارش ادعایی درباره آلوده‌بودن سایت شما یا همه نصب‌های PHP ندارد.
تحلیل ITNC: نسخه وب را با نسخه خط فرمان اشتباه نگیرید
در میزبانی چندسایتی، ممکن است هر دامنه از نسخه متفاوتی استفاده کند. همچنین خروجی PHP خط فرمان لزوماً نسخه‌ای نیست که درخواست بازدیدکننده را پردازش می‌کند. مسئول نگهداری باید نسخه مؤثر دامنه، شاخه پشتیبانی‌شده و وضعیت بسته امنیتی میزبان را مستند کند. در توزیع‌هایی که اصلاحیه را به بسته قبلی منتقل می‌کنند، اطلاعیه همان توزیع نیز باید بررسی شود.
بالابردن شماره نسخه بدون آزمون سازگاری می‌تواند فرم تماس یا افزونه‌های قدیمی را مختل کند. از طرف دیگر، به‌تعویق‌انداختن نامحدود اصلاحیه به‌دلیل همین نگرانی راه‌حل مناسبی نیست. یک پنجره نگهداری مشخص، بکاپ قابل‌بازیابی و آزمون مسیرهای اصلی سایت، تصمیم را قابل‌کنترل‌تر می‌کند.
چک‌لیست اقدام برای مدیر سایت
- از میزبان، نسخه مؤثر PHP دامنه و تأیید نصب اصلاحیه را دریافت کنید.
- پیش از تغییر، نسخه پشتیبان و روش بازگشت را بررسی کنید.
- پس از به‌روزرسانی، صفحه اصلی، ورود مجاز مدیر، فرم تماس و خطاهای سرور را کنترل کنید.
- نتیجه و زمان اصلاح را ثبت کنید؛ نصب پچ به‌تنهایی اثبات نمی‌کند که پیش‌تر نفوذی رخ نداده است.
برای هماهنگی نگهداری سامانه‌ها، پشتیبانی IT شرکت‌ها و برای ارزیابی دسترسی‌ها، خدمات امنیت شبکه را ببینید. خدمات حضوری ITNC در تهران و کرج و ریموت در سراسر ایران است.
منابع خبر
منبع اولیه: اطلاعیه بنیاد PHP، ۲۱ اکتبر ۲۰۲۶. منبع کشف موضوع: گزارش دیجیاتو، ۳۰ مهر ۱۴۰۵. توصیه‌های اجرایی این مطلب تحلیل مستقل ITNC هستند.