تیم توسعه PHP در تاریخ ۲۱ اکتبر ۲۰۲۶(۲۹ مهر ۱۴۰۵)، به‌روزرسانی‌های امنیتی جدیدی برای این زبان برنامه‌نویسی منتشر کرد. این به‌روزرسانی‌ها دو آسیب‌پذیری بحرانی را برطرف می‌کنند که می‌توانند به مهاجمان اجازه دهند بدون نیاز به ورود به حساب کاربری، کدهای مخرب را از راه دور روی سرور اجرا کنند. به همین دلیل، مدیران سایت‌ها و شرکت‌های هاستینگ باید در سریع‌ترین زمان ممکن وضعیت نسخه PHP سرورهای خود را بررسی کنند.
این هشدار فقط به سایت‌های وردپرسی محدود نمی‌شود و تمام برنامه‌هایی را که از نسخه‌های آسیب‌پذیر PHP استفاده می‌کنند، در بر می‌گیرد.
آسیب‌پذیری امنیتی PHP چه خطری دارد؟
PHP یکی از زبان‌های برنامه‌نویسی پرکاربرد در توسعه وب است و بخش مهمی از عملکرد وردپرس، ووکامرس و بسیاری از سیستم‌های مدیریت محتوا به آن وابسته است. این زبان در سمت سرور اجرا می‌شود و وظایفی مانند پردازش درخواست‌ها، ارتباط با پایگاه داده و تولید محتوای صفحات را بر عهده دارد.
وجود یک آسیب‌پذیری بحرانی در PHP می‌تواند امنیت تمام برنامه‌هایی را که روی سرور آسیب‌پذیر اجرا می‌شوند، تحت تأثیر قرار دهد.
بر اساس اطلاعیه رسمی تیم PHP، دو آسیب‌پذیری با شناسه‌های CVE-۲۰۲۶-۱۰۹۶۱۸ و CVE-۲۰۲۶-۱۰۹۶۱۹ در این به‌روزرسانی‌ها برطرف شده‌اند. این نقص‌ها می‌توانند زمینه اجرای کد از راه دور بدون احراز هویت را فراهم کنند؛ یعنی مهاجم در شرایط آسیب‌پذیر ممکن است بدون داشتن نام کاربری و رمز عبور، کد مخرب خود را روی سرور اجرا کند.
در صورت سوءاستفاده موفق، پیامدهای احتمالی بسته به شرایط سرور و سطح دسترسی برنامه می‌تواند شامل موارد زیر باشد:
- دسترسی غیرمجاز به اطلاعات و فایل‌های سایت
- تغییر محتوای صفحات یا تزریق کدهای مخرب
- انتشار بدافزار یا ایجاد صفحات اسپم
- اختلال در عملکرد سایت و سرویس‌های میزبانی
- به خطر افتادن اطلاعات کاربران و مشتریان
این موارد پیامدهای احتمالی چنین حملاتی هستند و به معنای هک شدن تمام سایت‌هایی نیستند که از PHP استفاده می‌کنند.
کدام نسخه‌های PHP به‌روزرسانی امنیتی دریافت کرده‌اند؟
تیم PHP برای شاخه‌های مختلف این زبان، نسخه‌های امنیتی جدید منتشر کرده است. نسخه‌های اصلاح‌شده اعلام‌شده عبارت‌اند از:
| شاخه PHP | نسخه امنیتی |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
اگر سایت شما از یکی از این شاخه‌ها استفاده می‌کند، نسخه نصب‌شده را با نسخه اصلاح‌شده همان شاخه مقایسه کنید. صرفاً استفاده از PHP ۸ به معنای ایمن بودن سرور نیست؛ شماره نسخه دقیق اهمیت دارد.
همچنین نسخه‌های PHP قدیمی‌تر از ۸.۲ دیگر به‌روزرسانی امنیتی رسمی دریافت نمی‌کنند. اگر سایت شما همچنان روی چنین نسخه‌ای اجرا می‌شود، باید برای مهاجرت به یک نسخه پشتیبانی‌شده برنامه‌ریزی کنید.
چگونه نسخه PHP سایت وردپرسی را بررسی کنیم؟
برای بررسی نسخه PHP در وردپرس، لازم نیست افزونه جدیدی نصب کنید. کافی است مراحل زیر را انجام دهید:
- وارد پیشخوان وردپرس شوید.
- از منوی مدیریت، بخش «ابزارها» و سپس «سلامت سایت» را باز کنید.
- به تب «اطلاعات» بروید.
- بخش «سرور» را باز کنید و مقدار نسخه PHP را مشاهده کنید.
همچنین می‌توانید نسخه PHP را از پنل مدیریت هاست بررسی کنید. اگر امکان تغییر نسخه در پنل وجود ندارد، با پشتیبانی شرکت میزبانی تماس بگیرید.
برای رفع آسیب‌پذیری PHP چه کاری باید انجام دهیم؟
مهم‌ترین اقدام، نصب نسخه اصلاح‌شده PHP است. تیم توسعه این زبان اعلام کرده است که راهکار جایگزین کاملی برای رفع این آسیب‌پذیری‌ها وجود ندارد و به‌روزرسانی نسخه، راهکار ایمن توصیه‌شده است.
برای مدیران سایت‌های وردپرسی، اقدامات زیر پیشنهاد می‌شود:
۱. با شرکت هاستینگ تماس بگیرید.
از پشتیبانی بخواهید بررسی کند که آیا نسخه PHP سرور به نسخه اصلاح‌شده ارتقا یافته است یا خیر. شرکت‌های میزبانی ممکن است به‌روزرسانی را در سطح سرور انجام دهند، اما بهتر است وضعیت را مستقیماً تأیید کنید.
۲. پیش از تغییر نسخه، از سایت نسخه پشتیبان بگیرید.
از فایل‌ها و پایگاه داده بکاپ تهیه کنید. این کار به شما امکان می‌دهد در صورت بروز مشکل سازگاری، سایت را بازیابی کنید.
۳. سازگاری قالب و افزونه‌ها را بررسی کنید.
اگر قصد ارتقای PHP را دارید، سازگاری قالب، افزونه‌های نصب‌شده و کدهای اختصاصی سایت را بررسی کنید. در سایت‌های فروشگاهی، عملکرد سبد خرید، پرداخت و ثبت سفارش را نیز آزمایش کنید.
۴. پس از به‌روزرسانی، سایت را آزمایش کنید.
صفحات اصلی، پیشخوان، فرم‌ها و امکانات مهم سایت را بررسی کنید. همچنین لاگ خطاهای PHP را زیر نظر بگیرید تا مشکلات احتمالی مشخص شوند.
۵. اگر از نسخه‌های قدیمی و بدون پشتیبانی استفاده می‌کنید، موضوع را فوری پیگیری کنید.
مرکز ملی امنیت سایبری بریتانیا (NCSC) توصیه کرده است که سازمان‌ها سیستم‌های آسیب‌پذیر را شناسایی کنند، به‌روزرسانی‌های امنیتی را در سریع‌ترین زمان ممکن اعمال کنند و در صورت امکان رفع فوری آسیب‌پذیری، خاموش کردن موقت سیستم را تا زمان رفع کامل مشکل در نظر بگیرند.
آیا برای رفع این مشکل به‌روزرسانی وردپرس لازم است؟
خیر. این آسیب‌پذیری‌ها مربوط به خود PHP هستند، نه هسته وردپرس. بنابراین برای رفع مستقیم این مشکل، نیازی به انتشار نسخه جدید وردپرس نیست و اقدام اصلی باید در سطح سرور و نسخه PHP انجام شود.
البته این موضوع به معنای بی‌اهمیت بودن به‌روزرسانی وردپرس، قالب‌ها و افزونه‌ها نیست. به‌روزرسانی منظم تمام اجزای سایت همچنان یکی از اصول مهم حفظ امنیت وب‌سایت محسوب می‌شود.
آیا این آسیب‌پذیری می‌تواند روی سئو سایت تأثیر بگذارد؟
خودِ وجود این آسیب‌پذیری لزوماً باعث افت رتبه سایت در گوگل نمی‌شود. با این حال، اگر مهاجم از آن سوءاستفاده کند، ممکن است محتوای سایت تغییر کند، صفحات اسپم ایجاد شوند، بدافزار روی سایت قرار بگیرد یا وب‌سایت برای مدتی از دسترس خارج شود.
چنین اتفاقاتی می‌توانند تجربه کاربران، اعتبار سایت و در صورت تداوم، عملکرد سئوی آن را تحت تأثیر قرار دهند. به همین دلیل، امنیت زیرساخت یکی از بخش‌های مهم نگهداری حرفه‌ای سایت است.
جمع‌بندی
انتشار نسخه‌های امنیتی جدید PHP در ۲۹ مهر ۱۴۰۵، هشداری جدی برای مدیران سایت‌ها و شرکت‌های میزبانی وب است. دو آسیب‌پذیری بحرانی شناسایی‌شده می‌توانند اجرای کد از راه دور را بدون احراز هویت ممکن کنند؛ بنابراین بررسی نسخه PHP و نصب نسخه اصلاح‌شده باید در اولویت قرار گیرد.
اگر سایت وردپرسی شما روی هاست اشتراکی قرار دارد، ابتدا از شرکت میزبانی درباره وضعیت به‌روزرسانی PHP سؤال کنید. اگر مدیریت سرور بر عهده خودتان است، نسخه دقیق PHP را بررسی کنید و برای رفع آسیب‌پذیری اقدام کنید.
