فروم بچه های تولز

در ۲۱ اکتبر ۲۰۲۶، تیم توسعه PHP از وجود دو رخنه امنیتی خطرناک پرده برداشت. این آسیب‌پذیری‌ها به هکرها اجازه می‌دهند بدون داشتن رمز عبور یا حساب کاربری، کدهای مخرب خود را از راه دور روی سرور شما اجرا کنند. به همین دلیل، خطر فقط در کمین سایت‌های وردپرسی نیست، بلکه هر وب‌سایتی که با زبان PHP کار می‌کند در معرض این تهدید جدی قرار دارد.

در پارس‌پک، پچ‌های امنیتی و اقداماتی برای نزول ریسک روی سرویس‌های هاست اعمال شده است. با این حال، مدیران سایت‌ها باید نسخه جدید PHP فعال را ارزیابی کنند و درباره دریافت ویرایش اصلاح‌شده یا وضعیت پچ روی سرویس خود مطمئن شوند. اما دقت کنید که این تنظیمات امنیتی در سطح سرور، به هیچ‌وجه جایگزین آپدیت اصلی نیستند و شما همچنان باید ادیشن PHP هاست خود را ارتقا دهید. در ادامه این مطلب از بخش آموزش سرویس‌های میزبانی در بلاگ پارس‌پک با ما همراه باشید که این محور را دقیق‌تر تحلیل کنیم.

این دو نقص امنیتی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 کشف شده‌اند و در سیستم ارزیابی امنیتی، امتیاز خطرناک ۹.۲ از ۱۰ را دریافت کرده‌اند که حاکی از آن است شدت آن‌ها بسیار زیاد است و در صورت سوءاستفاده، می‌توانند امنیت سایت یا سرور را به‌طور جدی تهدید کنند.

طبق اطلاعیه رسمی PHP، نصب‌هایی که درخواست‌های وب را پردازش می‌کنند در معرض این دو نقص هستند؛ از جمله PHP-FPM، Apache با mod_php، php-cgi، FrankenPHP و LiteSpeed. تیم PHP خطر را برای پیکربندی Apache با mod_php بالاتر ارزیابی کرده است.

شرکت امنیتی Palo Alto Networks نیز در گزارش Unit 42 از شناسایی میلیون‌ها نمونه بالقوه آسیب‌پذیر در داده‌های تله‌متری خود خبر داده است. این عدد به معنی هک‌شدن همه آن نمونه‌ها نیست، اما گستردگی استفاده از PHP و ضرورت تحلیل سریع‌تر نسخه جدید‌ها را حاکی از آن است.

ویرایش‌های زیر، نسخه جدید‌های اصلاح‌شده رسمی هستند:

در PHP 8.1 و ویرایش‌های قدیمی‌تر، وضعیت پشتیبانی به توزیع لینوکس یا ارائه‌دهنده سرویس بستگی دارد. بعضی توزیع‌ها ممکن است ادیشن‌های پشتیبان ارائه کنند، اما این مسئله را نباید بدون مرور قطعی فرض کرد. در صورت قابلیت، مهاجرت به یک شاخه پشتیبانی‌شده را در برنامه قرار دهید.

PHP 8.2 تا ۳۱ دسامبر ۲۰۲۶ فقط ارتقا‌های امنیتی دریافت می‌کند. پس از آن، پشتیبانی امنیتی این شاخه نیز به اتمام می‌رسد؛ بنابراین استفاده‌کنندگان از PHP 8.2 بهتر است برای مهاجرت به شاخه نوینتر برنامه‌ریزی کنند.

تغییر نسخه جدید PHP ممکن است با بعضی افزونه‌ها، قالب‌ها یا کدهای اختصاصی سازگار نباشد. پیش از تغییر، این موارد را انجام دهید:

بر پایه راهنمای تغییر نسخه جدید PHP، تغییر ویرایش از پنل کاربری انجام می‌شود:

وارد حساب کاربری پارس‌پک شوید.

به بخش مدیریت هاست بروید.

گزینه تنظیمات PHP را باز کنید.

ویرایش موردنظر را از فهرست ویرایش‌های قابل انتخاب انتخاب کنید.

روی ثبت اصلاحات کلیک کنید.

پس از اعمال تغییر، سایت را تحلیل کنید تا مطمئن شوید صفحه‌ها و قابلیت‌های اصلی آن درست کار می‌کنند.

می‌توان نسخه جدید PHP موردنظر را برای دامنه‌ها و زیردامنه‌ها نیز جداگانه انتخاب کرد و برای تغییر ادیشن آن‌ها محدودیتی ذکر نشده است.

خیر. PHP و CERT-EU تأکید کرده‌اند که اقدامات موقت فقط می‌توانند مواجهه با بعضی مسیرهای حمله را افت دهند و نصب نسخه جدید اصلاح‌شده راهکار جامع است. تغییر تنظیمات حساس PHP بدون اطلاع از اثر آن‌ها ممکن است به اختلال سایت یا محدود شدن قابلیت‌هایی مانند بارگذاری فایل منجر شود. این تنظیمات را خودسرانه تغییر ندهید و برای ارزیابی آن‌ها از مدیر سرور یا پشتیبانی هاست کمک بگیرید.

در ارتقا ۲۳ اکتبر CERT-EU در ادامه به یک مورد دیگر با شناسه CVE-2026-115560 اشاره کرده است. طبق همان هشدار، شرحات دقیق آن در آن زمان منتشر نشده بود و این مورد را باید از دو آسیب‌پذیری اصلی و ویرایش‌های اصلاح‌شده بالا جدا در نظر گرفت.

اگر سایت شما PHP را برای پردازش درخواست‌های وب به کار می‌گیرد، ویرایش فعال و وضعیت ارتقا آن را تحلیل کنید. برای شاخه‌های ۸.۲ تا ۸.۵، ادیشن‌های اصلاح‌شده به‌ترتیب 8.2.35، 8.3.36، 8.4.27 و 8.5.12 هستند. در هاست پارس‌پک می‌توانید از مسیر مدیریت هاست > تنظیمات PHP نسخه جدید قابل انتخاب را تغییر دهید؛ اما برای اطمینان از فعال‌بودن وصله جزئی، به‌ویژه در شاخه ۸.۲، وضعیت ویرایش را از پشتیبانی پارس‌پک تأیید کنید.