انتشار بسته امنیتی اضطراری PHP و پشت پرده چالش‌های آسیب‌پذیری‌های RCE — Today's PHP security release, and how we're strengthening security
خلاصه
تیم PHP نسخه‌های جدیدی برای رفع دو آسیب‌پذیری بحرانی اجرای کد از راه دور (RCE) منتشر کرده است. این مقاله به نحوه کشف این اشکالات ساختاری، مشکلات فرآیندی گذشته و تلاش‌های بنیاد PHP برای تقویت امنیت با کمک ابزارهای هوش مصنوعی و ممیزی‌های تخصصی می‌پردازد.
تیم توسعه PHP با انتشار نسخه‌های امنیتی جدید، دو آسیب‌پذیری بحرانی اجرای کد از راه دور (RCE) را برطرف کرد که به مهاجمان احرازویت‌نشده اجازه می‌داد تحت شرایطی خاص روی سرورهای میزبان PHP کد اجرا کنند. این مشکلات در لایه‌های حیاتی مدیریت حافظه و مدیریت خطا قرار دارند و تمامی نسخه‌های فعال را تحت تأثیر قرار داده‌اند.
جزئیات فنی آسیب‌پذیری‌ها
این دو حفره امنیتی ریشه در بخش‌های بنیادین موتور PHP دارند که تقریباً در پردازش هر درخواست نقش دارند:
- حفره حافظه یا OOM corruption (شناسه CVE-2026-109618): اگر در یک درخواست دقیقاً در بدترین لحظه به حد نصاب حافظه یا
memory_limitبرخورد شود، PHP داده‌های داخلی را به‌صورت ناقص رها می‌کند و بعدها آن‌ها را معتبر در نظر می‌گیرد. این مسئله باعث خرابی حافظه می‌شود. روی سرورهای آپاچی با ماژولmod_php، یک درخواست بدون نیاز به احراز هویت می‌تواند این وضعیت را پیش از اجرای کد برنامه فعال کند. - حالت کهنه یا Stale State (شناسه CVE-2026-109619): بروز یک خطای مهلک (Fatal Error) در نقطه حساس، وضعیت داخلی موتور را به حافظه مربوط به درخواست قبلی پیوند می‌زند. درخواست‌های بعدی توسط همان کارگر (Worker) می‌توانند از این حافظه آزادشده استفاده کنند که منجر به حوادث Use-After-Free و از کار افتادن سرویس می‌شود.
پس‌زمینه و مشکلات ساختاری در رفع باگ
ریشه مشکل حافظه اولین بار طی ممیزی امنیتی سال ۲۰۲۴ که توسط شرکت Quarkslab و با بودجه Sovereign Tech Agency انجام شد، شناسایی شد. با این حال، تیم امنیتی PHP برای رفع آن با چالش‌های بزرگی روبه‌رو بود:
- پیچیدگی‌های سازگاری رو به عقب (Backward Compatibility)
- خطر ایجاد آسیب‌پذیری‌های جدید انکار سرویس (DoS)
- نیاز به هماهنگی تغییرات در انبوهی از اکستنشن‌های شخص ثالث
این موانع در کنار کمبود نیروی انسانی متخصص در هسته PHP باعث شد فرآیند تصمیم‌گیری ماه‌ها متوقف شود. بنیاد PHP از آن زمان تاکنون با ایجاد تیم امنیت اکوسیستم، استخدام مهندسان جدید و به‌کارگیری ابزارهای پیشرفته مبتنی بر هوش مصنوعی (مانند مدل‌های Anthropic و OpenAI) برای اعتبارسنجی گزارش‌ها، ساختار خود را حرفه‌ای‌تر کرده است.
حواشی افشا و شکستن زمان‌بندی انتشار
روند هماهنگ‌سازی انتشار وصله‌ها با چالش‌هایی روبه‌رو شد:
- در روزهای منتهی به انتشار، شناسه آسیب‌پذیری‌ها به همراه امتیاز نادرست در فضای مجازی لو رفت.
- یکی از شرکت‌های امنیتی مشارکت‌کننده به‌اشتباه ویدیوی اثبات مفهومی (PoC) خود را زودتر منتشر کرد.
- شرکت Chainguard پیش از موعد مقرر قانونی توافق‌نامه افشای هماهنگ (Embargo)، ایمیج‌های حاوی وصله را منتشر کرد که باعث شد مهاجمان پیش از دسترسی عمومی کاربران به پچ‌ها، بهینه‌سازی‌ها را تحلیل معکوس کنند.
چرا این موضوع برای مهندسان اهمیت دارد؟
بسیاری از سرویس‌های حیاتی وب، فروشگاه‌ها و بانک‌ها روی PHP اجرا می‌شوند. با وجود پیشرفت ابزارهای خودکار در کشف سریع‌تر باگ‌ها، تصمیم‌گیری درباره نحوه رفع معایب معماری قدیمی و ارزیابی توازن‌های کارایی و سازگاری همچنان نیازمند مهندسان باتجربه‌ای است که کدبیس PHP را به عمق بشناسند. بنیاد PHP برای پایداری امنیتی این اکوسیستم به حمایت مالی سازمان‌ها و شرکت‌های وابسته نیاز دارد.
این مطلب به‌صورت کاملاً خودکار و با هوش مصنوعی از مقالهٔ اصلی و بحث هکرنیوز تهیه شده و ممکن است خطا داشته باشد. حقوق مطلب اصلی متعلق به نویسندهٔ آن است. قوانین و گزارش مشکل