به اطلاع مشتریان گرامی می‌رساند که تیم PHP امروز، ۲۹ مهر ۱۴۰۵، یک به‌روزرسانی امنیتی فوری برای رفع دو آسیب‌پذیری بحرانی منتشر کرده است:
- CVE-2026-109618
- CVE-2026-109619
هر دو آسیب‌پذیری امتیاز ۹٫۲ از ۱۰ (بحرانی) دارند و به مهاجم اجازه می‌دهند بدون نیاز به نام کاربری و رمز عبور، روی سروری که PHP را اجرا می‌کند کد دلخواه اجرا کند. تقریباً همهٔ نسخه‌های PHP، از ۵٫۴ تا ۸٫۵، آسیب‌پذیر هستند و فرقی نمی‌کند سایت شما وردپرس، جوملا، لاراول یا یک برنامهٔ اختصاصی باشد. گزارش‌هایی از سوءاستفادهٔ فعال از این آسیب‌پذیری‌ها نیز منتشر شده است، بنابراین به‌روزرسانی را به تعویق نیندازید.
نسخه‌های اصلاح‌شده
مشکل در نسخه‌های زیر و بالاتر رفع شده است:
| شاخهٔ PHP | نسخهٔ اصلاح‌شده |
|---|---|
| 8.5 | 8.5.12 |
| 8.4 | 8.4.27 |
| 8.3 | 8.3.36 |
| 8.2 | 8.2.35 |
نسخه‌های ۸٫۱ و قدیمی‌تر دیگر پشتیبانی رسمی ندارند و اصلاحیهٔ رسمی برای آن‌ها منتشر نمی‌شود.
مشتریان هاست تدبیر.نت
- به‌روزرسانی سرورها: تیم فنی تدبیر.نت به‌روزرسانی نسخه‌های PHP روی سرورهای اشتراکی را آغاز کرده است و نیازی نیست برای این بخش کاری انجام دهید.
- نسخهٔ PHP سایت خود را بررسی کنید: اگر سایت شما هنوز روی PHP ۸٫۱ یا قدیمی‌تر (مثلاً ۷٫۴ یا ۷٫۲) اجرا می‌شود، لطفاً از بخش انتخاب نسخهٔ PHP در کنترل‌پنل هاست، آن را به PHP ۸٫۲ یا بالاتر تغییر دهید. پیش از تغییر، از سایت نسخهٔ پشتیبان بگیرید و پس از تغییر، صفحات اصلی سایت را بررسی کنید.
- افزونه‌ها و قالب‌ها: برای اجرا روی نسخه‌های جدید PHP، هستهٔ وردپرس، افزونه‌ها و قالب‌های سایت خود را نیز به‌روز نگه دارید. وردپرس اعلام کرده است برای این آسیب‌پذیری به‌روزرسانی جداگانه‌ای لازم نیست؛ راه‌حل، به‌روزرسانی خود PHP است.
سرورهای مجازی، اختصاصی و هاست‌های دیگر
اگر سایت یا برنامه‌ای روی سرور مجازی (VPS)، سرور اختصاصی یا نزد شرکت میزبانی دیگری دارید، به‌روزرسانی بر عهدهٔ شما یا مدیر آن سرور است:
- بسته‌های PHP سرور را با مدیر بستهٔ سیستم‌عامل (مثلاً
aptیاdnf) یا از طریق کنترل‌پنل سرور (cPanel/WHM، DirectAdmin، Plesk) به یکی از نسخه‌های اصلاح‌شدهٔ جدول بالا ارتقا دهید. - پس از به‌روزرسانی، سرویس‌های مرتبط (PHP-FPM، Apache یا LiteSpeed) را راه‌اندازی مجدد کنید؛ در غیر این صورت ممکن است نسخهٔ قدیمی همچنان در حافظه در حال اجرا باشد.
- با دستور
php -vو همچنین از طریق خود سایت (مثلاً صفحهٔ phpinfo که پس از بررسی باید حذف شود) مطمئن شوید نسخهٔ جدید فعال است. - اگر به‌روزرسانی فوری ممکن نیست، به‌عنوان راه‌حل موقت مقدار
session.upload_progress.enabledرا در تنظیمات PHP روی0قرار دهید و PHP را راه‌اندازی مجدد کنید. این کار تنها یکی از مسیرهای حمله را می‌بندد و جایگزین به‌روزرسانی نیست.
نیاز به کمک دارید؟
اگر مطمئن نیستید سایت شما روی چه نسخه‌ای از PHP اجرا می‌شود یا برای تغییر نسخه به راهنمایی نیاز دارید، از طریق ناحیه کاربری تیکت ثبت کنید یا در واتس‌اپ پیام دهید. همکاران ما در بررسی و ارتقای نسخهٔ PHP همراه شما خواهند بود.
از همراهی و اعتماد شما سپاسگزاریم.