انتشار نسخه‌های اصلاحی PHP؛ رفع دو آسیب‌پذیری بحرانی RCE — PHP 8.5.12, 8.4.27, 8.3.36 and 8.2.35 out
خلاصه
تیم توسعه PHP نسخه‌های جدید اصلاحی را برای رفع دو آسیب‌پذیری خطرناک RCE منتشر کرد. این حفره‌های امنیتی به مهاجمان اجازه می‌دهند بدون احراز هویت کدهای مخرب خود را اجرا کنند و تمامی کاربران باید سریعاً سیستم‌های خود را به‌روزرسانی کنند.
تیم توسعه PHP با انتشار نسخه‌های جدید ۸.۵.۱۲، ۸.۴.۲۷، ۸.۳.۳۶ و ۸.۲.۳۵، دو آسیب‌پذیری بحرانی از نوع اجرای کد از راه دور (RCE) را برطرف کرده است. این نسخه‌ها به تمام توسعه‌دهندگان و مدیران سرور توصیه می‌کنند که سیستم‌های خود را بلافاصله ارتقا دهند؛ چرا که خطر حمله برای تمامی پوسته‌های سرویس‌دهنده وب نظیر PHP-FPM، آپاچی با mod_php، پی‌اچ‌پی-سی‌جی‌آی، فرانکن‌پی‌اچ‌پی و لایت‌اسپید وجود دارد.
جزئیات فنی آسیب‌پذیری‌ها
این به‌روزرسانی امنیتی دو مشکل عمده را هدف قرار داده است:
- حفره امنیتی RCE از طریق خرابی حافظه یا OOM (شناسه CVE-2026-109618): در این حالت، مدیریت کمبود حافظه (Out-of-Memory) ممکن است اجرای PHP را در حالی متوقف کند که داده‌های داخلی درخواست تنها به شکل ناقص مقداردهی اولیه شده‌اند. در زمان پاکسازی درخواست، داده‌های نامعتبر ممکن است به اشتباه معتبر فرض شوند.
- حفره امنیتی RCE از طریق وضعیت گلوبال قدیمی (شناسه CVE-2026-109619): وضعیت داخلی متعلق به یک درخواست، حتی پس از آزاد شدن حافظه زیربنایی آن همچنان باقی می‌ماند. درخواست بعدی که توسط همان کارگر (Worker) پردازش می‌شود ممکن است پیش از راه‌اندازی مجدد و استاندارد، از این حالت قدیمی استفاده کند.
وضعیت نسخه‌های قدیمی و بسته‌های توزیع
نسخه‌های قدیمی‌تر از PHP 8.1 دیگر به طور رسمی توسط تیم PHP پشتیبانی نمی‌شوند و به‌روزرسانی دریافت نمی‌کنند، اما برای کسانی که ناچار به ساخت از روی سورس هستند، پچ‌های حداقلی منتشر شده است. توزیع‌های مختلف لینوکس و فروشندگان بسته‌های LTS (مانند دبیان و گنتو) از قبل پچ‌ها را دریافت کرده‌اند و کاربران می‌توانند از طریق مدیر بسته سیستم‌عامل خود اقدام به ارتقا کنند.
راهکارهای موقت در صورت عدم امکان به‌روزرسانی فوری
اگرچه تنها راه حل کامل ارتقای نسخه است، اما برای کاهش ریسک در برابر مسیرهای حمله می‌توان اقداماتی انجام داد:
- تنظیم
memory_limit=-1در سطح پیکربندی (مانندphp_admin_valueدر تنظیمات FPM یا آپاچی) برای جلوگیری از خطاهای قابل کنترل حافظه. - تنظیم مقدار
post_max_sizeروی مقادیر پایین (مانند ۸ یا ۳۲ مگابایت) و اعمال محدودیت‌های سخت‌گیرانه در سطح وب‌سرویس یا پراکسی. - غیرفعال کردن
session.upload_progress.enabledو راه‌اندازی مجدد تمام کارگرها. - تنظیم
fatal_error_backtraces=0در نسخه PHP 8.5.
حواشی و دیدگاه‌های جامعه برنامه‌نویسان در هکرنیوز
بحث‌های پیرامون این انتشار در هکرنیوز نشان می‌دهد که کاربران درباره زمان‌بندی انتشار تصاویر رسمی داکر (Docker images) و سرعت انتشار بسته‌ها در توزیع‌های مختلف لینوکس مانند اوبونتو و دبیان دغدغه‌هایی دارند. برخی توسعه‌دهندگان نیز پرسش‌هایی درباره کارایی گزینه‌های کاهش اثرات مخرب (Mitigation) مطرح کرده‌اند.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل