خبر کامل
هشدار امنیتی بحرانی برای PHP؛ انتشار پچ‌های اضطراری جهت رفع آسیب‌پذیری RCE
تیم توسعه زبان برنامه‌نویسی PHP با انتشار هشداری فوری، مدیران وب‌سایت‌ها و توسعه‌دهندگان را به آماده‌باش برای نصب به‌روزرسانی‌های امنیتی اضطراری فراخواندند. این اقدامات در پی کشف دو رخنه امنیتی بسیار حساس انجام می‌شود که می‌تواند امنیت زیرساخت‌های وب در سراسر جهان را به مخاطره بیندازد.
جزئیات آسیب‌پذیری‌های بحرانی PHP
بر اساس گزارش‌های منتشر شده، این دو آسیب‌پذیری با شناسه‌های CVE-2026-109618 و CVE-2026-109619 شناخته می‌شوند. هر دو مورد دارای امتیاز بسیار بالای ۹.۲ از ۱۰ در سیستم امتیازدهی آسیب‌پذیری‌های امنیتی (CVSS) هستند که نشان‌دهنده شدت بالای خطر است.
این حفره‌های امنیتی از نوع اجرای کد از راه دور (RCE) می‌باشند؛ به این معنا که مهاجمان ممکن است بتوانند بدون نیاز به داشتن نام کاربری یا رمز عبور، کدهای مخرب خود را مستقیماً روی سرور هدف اجرا کنند.
| ویژگی امنیتی | مقدار/توضیح |
|---|---|
| امتیاز CVSS | 9.2 (بحرانی) |
| نوع حمله | Remote Code Execution (RCE) |
| نسخه‌های هدف | PHP 5, 6, 7, 8 |
خطر ابزارهای اکسپلویت و تأثیر بر پلتفرم‌ها
پژوهشگران امنیتی اعلام کرده‌اند که ابزاری تحت عنوان PHP2Shell برای سوءاستفاده از این حفره‌ها مشاهده شده است. این ابزار می‌تواند سامانه‌های مبتنی بر PHP را که از سیستم‌های مدیریت محتوا یا فریم‌ورک‌های مختلف استفاده می‌کنند، هدف قرار دهد.
برخی از پلتفرم‌ها و نرم‌افزارهای که احتمالاً تحت تأثیر این تهدید قرار می‌گیرند عبارتند از:
- سیستم مدیریت محتوای وردپرس (WordPress)
- فریم‌ورک‌های لاراول (Laravel) و سیمفونی (Symfony)
- سیستم‌های تجارت الکترونیک مانند مجنتو (Magento)
- پلتفرم‌های جوملا (Joomla) و دروپال (Drupal)
واکنش نهادهای بین‌المللی و توصیه‌های امنیتی
«حملات در حال ظهور هستند و ما در حال به‌روزرسانی قوانین فایروال خود برای مقابله موقت با این تهدید هستیم.»
شرکت کلادفلر با اعمال تغییرات در قوانین فایروال خود سعی در کاهش خطر دارد. همچنین تیم واکنش اضطراری اتحادیه اروپا (CERT-EU) و مرکز امنیت سایبری استرالیا (ACSC) نیز به شدت بر لزوم شناسایی سامانه‌های آسیب‌پذیر و نصب سریع وصله‌های امنیتی تأکید کرده‌اند.
تیم توسعه PHP اعلام کرده است که به‌روزرسانی‌های اصلاحی در تاریخ ۲۱ اکتبر ساعت ۱۷:۳۰ به وقت ایران منتشر خواهد شد. توصیه می‌شود مدیران وب‌سایت‌ها بلافاصله پس از انتشار، سیستم‌های خود را به‌روزرسانی کنند.
در نهایت، با توجه به ماهیت بحرانی این آسیب‌پذیری‌ها، تأخیر در به‌روزرسانی می‌تواند منجر به نفوذ کامل به سرورها و سرقت اطلاعات حساس شود. هوشیاری و سرعت عمل در نصب پچ‌های امنیتی، تنها راه مقابله با این تهدیدات سایبری است.
درباره هوش‌مصنوعی دست‌اول:
تمامی اخبار دست‌اول توسط دستیار هوش مصنوعی «هوشنگ» پردازش، صحت‌سنجی، خلاصه و بازنویسی شده است. هوشنگ هر روز با داده‌های جدید آموزش داده می‌شود و با نظارت دقیق انسانی و سردبیری دست‌اول در حال بهتر شدن است.
شما می‌توانید از چت‌بات و سایر ابزارهای هوشنگ به صورت رایگان استفاده کنید.
زمان انتشار:
۰۶:۱۶ - ۱۴۰۵/۰۷/۲۹