به گزارش شهرآرانیوز ، کشف دو آسیب‌پذیری بحرانی در زبان برنامه‌نویسی PHP موجی از نگرانی‌های امنیتی را در میان مدیران وب‌سایت‌ها و سازمان‌های دولتی به راه انداخته است. توسعه‌دهندگان PHP روز چهارشنبه ۲۱ اکتبر ۲۰۲۶ (۲۹ مهر ۱۴۰۵) نسخه‌های اصلاح‌شده این زبان را منتشر کردند و از کاربران خواستند در سریع‌ترین زمان ممکن سامانه‌های خود را به‌روزرسانی کنند.
بر اساس گزارش رویترز ، برخی سازمان‌های دولتی در اروپا برای کاهش خطر حملات سایبری، دسترسی عمومی به وب‌سایت‌های خود را موقتاً متوقف کردند.
دو آسیب‌پذیری بحرانی در PHP چه خطری دارند؟
این دو آسیب‌پذیری با شناسه‌های CVE-۲۰۲۶-۱۰۹۶۱۸ و CVE-۲۰۲۶-۱۰۹۶۱۹ ثبت شده‌اند و بر اساس هشدار مرکز امنیت سایبری اتحادیه اروپا (CERT-EU)، امتیاز شدت آنها در مقیاس CVSS نسخه ۴ برابر با ۹.۲ از ۱۰ است.
مهم‌ترین نگرانی درباره این حفره‌ها، امکان اجرای کد از راه دور (RCE) بدون نیاز به احراز هویت است. در چنین شرایطی، مهاجم بالقوه می‌تواند از طریق درخواست‌های ارسالی به یک سامانه آسیب‌پذیر، اجرای کد مخرب را روی سرور هدف ممکن کند؛ البته موفقیت حمله به شرایط فنی سامانه و نحوه اجرای PHP بستگی دارد.
جزئیات فنی منتشرشده از سوی تیم PHP دو مسیر آسیب‌پذیری را توضیح می‌دهد: نخست، خطا در مدیریت حافظه هنگام بروز وضعیت کمبود حافظه و دوم، باقی‌ماندن وضعیت داخلی قدیمی پس از آزادشدن حافظه مربوط به یک درخواست. این مشکلات می‌توانند در شرایط مشخص، مسیر اجرای کد مخرب را فراهم کنند.
چرا وب‌سایت‌های دولتی اروپا از دسترس خارج شدند؟
پس از انتشار هشدار اولیه، شماری از سازمان‌ها برای جلوگیری از سوءاستفاده احتمالی، پیش از آماده‌شدن یا نصب وصله‌های امنیتی، دسترسی عمومی به سامانه‌های خود را محدود کردند.
در هلند، وب‌سایت مرکز ملی امنیت سایبری این کشور و شماری از خدمات عمومی موقتاً از دسترس خارج شدند. در فنلاند نیز ارائه‌دهنده خدمات فناوری اطلاعات دولتی، برخی خدمات شبکه عمومی دولت را به‌صورت پیشگیرانه متوقف کرد. گزارش‌ها همچنین از اقدامات احتیاطی در برخی سازمان‌ها و وب‌سایت‌های دیگر اروپایی حکایت دارند.
مرکز ملی امنیت سایبری هلند در اطلاعیه خود اعلام کرد که یک کد اثبات مفهوم (PoC) عمومی برای این آسیب‌پذیری‌ها وجود دارد؛ با این حال، این مرکز در زمان انتشار اطلاعیه اولیه خود، سوءاستفاده فعال از این حفره‌ها را در سامانه‌های تحت نظارتش تأیید نکرده بود.
این تمایز اهمیت دارد: وجود کد اثبات مفهوم به‌معنای نفوذ موفق به همه سامانه‌های آسیب‌پذیر نیست، اما می‌تواند احتمال تلاش مهاجمان برای بهره‌برداری از حفره‌ها را افزایش دهد.
کدام نسخه‌های PHP آسیب‌پذیر هستند؟
بر اساس هشدار اولیه CERT-EU، احتمال تأثیرپذیری نسخه‌های PHP از شاخه ۵ به بعد مطرح شده است. تیم توسعه PHP در ۲۱ اکتبر نسخه‌های امنیتی جدیدی را برای شاخه‌های پشتیبانی‌شده منتشر کرد:
این نسخه‌ها دو آسیب‌پذیری یادشده را برطرف می‌کنند و تیم PHP نصب فوری آنها را توصیه کرده است.
نسخه‌های قدیمی‌تر، از جمله PHP ۸.۱ و پایین‌تر، دیگر از سوی پروژه اصلی PHP به‌روزرسانی امنیتی دریافت نمی‌کنند؛ هرچند برخی توزیع‌های لینوکس و ارائه‌دهندگان پشتیبانی بلندمدت ممکن است وصله‌های اختصاصی ارائه دهند. مدیران این سامانه‌ها باید وضعیت پشتیبانی و به‌روزرسانی را از ارائه‌دهنده خود پیگیری کنند.
آیا وردپرس و دیگر وب‌سایت‌ها هم در معرض خطر هستند؟
PHP یکی از زبان‌های پرکاربرد برای توسعه سمت سرور وب‌سایت‌هاست و در سامانه‌های مدیریت محتوا و فروشگاه‌های اینترنتی متعددی استفاده می‌شود. وردپرس، دروپال، جوملا و مجنتو از جمله سامانه‌هایی هستند که ممکن است روی زیرساخت‌های مبتنی بر PHP اجرا شوند.
به همین دلیل، این رخداد فقط به وب‌سایت‌های دولتی محدود نمی‌شود. وب‌سایت‌های خبری، فروشگاه‌های اینترنتی، سامانه‌های سازمانی و دیگر خدمات آنلاین نیز باید بررسی کنند که آیا نسخه آسیب‌پذیر PHP در زیرساخت آنها فعال است یا خیر.
با این حال، استفاده از وردپرس یا یکی دیگر از این سامانه‌ها به‌تنهایی به معنای آسیب‌پذیربودن قطعی وب‌سایت نیست؛ نسخه PHP، شیوه اجرای آن، وضعیت وصله‌ها و پیکربندی سرور در تعیین میزان خطر نقش دارند.
مدیران وب‌سایت‌ها چه کاری باید انجام دهند؟
توصیه اصلی تیم توسعه PHP، نصب نسخه اصلاح‌شده متناسب با شاخه مورد استفاده است. اگر به‌روزرسانی فوری امکان‌پذیر نیست، سازمان‌ها باید با ارزیابی خطر، دسترسی سامانه آسیب‌پذیر از اینترنت را محدود کنند یا در صورت لزوم آن را موقتاً از دسترس خارج سازند.
مدیران فنی همچنین باید نسخه PHP سرور‌های خود را بررسی کنند، به‌روزرسانی‌های ارائه‌شده از سوی شرکت میزبان یا توزیع لینوکس را نصب کنند و گزارش‌های امنیتی را برای شناسایی درخواست‌ها و فعالیت‌های مشکوک زیر نظر بگیرند.
تیم PHP تأکید کرده است که اقدامات موقت کاهش خطر، جایگزین کامل نصب وصله امنیتی نیستند. بنابراین، به‌روزرسانی به نسخه اصلاح‌شده همچنان مهم‌ترین اقدام برای رفع این آسیب‌پذیری‌ها محسوب می‌شود.
نظرات کاربران