برای صاحب یک فروشگاه اینترنتی، دیدن خبر امنیتی تازه درست بعد از نصب اصلاحیه، می‌تواند نگران‌کننده باشد. اما همه هشدارها یک معنا ندارند: گاهی یک خطر گسترده مطرح است و گاهی ترکیبی خاص از تنظیمات، نیاز به بررسی بیشتری دارد. اطلاعیه امروز PHP از نوع دوم است؛ موضوعی که نباید با بی‌اثر بودن همه آپدیت‌های قبلی اشتباه گرفته شود.
به گزارش آسیانیوز ایران، تیم PHP در جمعه ۱ آبان ۱۴۰۵، برابر با ۲۳ اکتبر ۲۰۲۶، درباره مسیر کم‌احتمالی برای اجرای کد از راه دور اطلاع‌رسانی کرده است. این نکته تازه، پس از اصلاحیه‌های دو روز قبل مطرح شده و برای مدیران فنی وب‌سایت‌ها اهمیت دارد؛ نه اینکه هر بازدیدکننده اینترنت باید تنظیمات گوشی خود را تغییر دهد.
اطلاعیه اول آبان چه می‌گوید؟
طبق توضیح PHP، مشکل تازه به ترکیب غیرمعمولی از تنظیمات و کد برنامه مربوط می‌شود: تغییر شیوه ذخیره‌سازی نشست در زمان اجرای برنامه، در حالی که قابلیت نمایش پیشرفت بارگذاری فایل روشن است. تیم توسعه پیشنهاد کرده این قابلیت تا اصلاحیه معمول بعدی غیرفعال بماند. اگر مدیر سامانه این اقدام را بر اساس راهنمای ۲۹ مهر انجام داده، باید آن را حفظ کند.
PHP تصریح کرده برنامه‌هایی که آن تنظیم نشست را هنگام اجرا تغییر نمی‌دهند، می‌توانند قابلیت را فعال نگه دارند. شناسه موضوع تازه CVE-2026-115560 است و اطلاعیه کامل آن همراه انتشار بعدی ارائه خواهد شد. بنابراین، هنوز نباید نسخه‌ای را «اصلاحیه منتشرشده این مورد تازه» نامید یا از این توضیح محدود، هک‌شدن همه سایت‌ها را نتیجه گرفت.
این خبر با PHP2Shell چه تفاوتی دارد؟
PHP زبان برنامه‌نویسیِ سمت سرور است؛ یعنی بخشی از پردازش وب‌سایت، پیش از رسیدن صفحه به مرورگر، با آن انجام می‌شود. اطلاعیه ۲۹ مهر، برابر با ۲۱ اکتبر، به دو آسیب‌پذیری بحرانی CVE-2026-109618 و CVE-2026-109619 مربوط بود. نسخه‌های اصلاح‌شده اعلام‌شده برای آن دو مورد عبارت‌اند از:
- شاخه ۸.۵: نسخه 8.5.12
- شاخه ۸.۴: نسخه 8.4.27
- شاخه ۸.۳: نسخه 8.3.36
- شاخه ۸.۲: نسخه 8.2.35
هشدار امروز مجوز عقب‌انداختن نصب آن اصلاحیه‌ها نیست. آژانس امنیت ملی آمریکا، NSA، در راهنمای جداگانه خود بر شناسایی سرویس‌های وابسته به PHP و دریافت وصله‌های ارائه‌دهندگان تأکید کرده است. این نهاد توضیح می‌دهد که ضعف در لایه سرور می‌تواند به سرقت داده، اختلال خدمات یا گسترش دسترسی مهاجم منجر شود. اینها پیامدهای احتمالی آسیب‌پذیری‌اند، نه گواه وقوع حمله به یک وب‌سایت مشخص.
صاحبان سایت‌های ایرانی چه چیزی از پشتیبانی بخواهند؟
پاسخ کلیِ «سایت بالا می‌آید» برای اطمینان از اصلاح امنیتی کافی نیست. برای روشن‌شدن وضعیت، می‌توان این درخواست‌های مشخص را با شرکت میزبان یا مسئول فنی مطرح کرد:
- نسخه PHP فعال برای همین وب‌سایت و وضعیت نصب اصلاحیه‌های ۲۹ مهر را اعلام کنند؛ نه فقط نسخه‌ای که در بخشی دیگر از سرور نصب است.
- اطلاعیه اول آبان و تنظیمات مرتبط با نشست و پیشرفت بارگذاری را بررسی کنند و نتیجه را توضیح دهند.
- پس از هر تغییر مجاز، عملکرد ورود کاربران، بارگذاری فایل و بخش‌های ضروری سایت را کنترل و زمان تکمیل کار را ثبت کنند.
این یک فهرست پرسش برای پیگیری فنی است، نه دستور اجرای تغییرات سرور توسط کاربران غیرمتخصص. NSA همچنین بررسی ثبت رخدادها و جایگزینی سرویس‌های خارج از پشتیبانی را توصیه کرده است. اگر اصلاح فوری ممکن نباشد، این نهاد خارج‌کردن سامانه آسیب‌پذیر از دسترس تا ایمن‌سازی را مطرح می‌کند؛ تصمیم عملی باید با مسئول فنی و با توجه به وضعیت واقعی همان سرویس گرفته شود.
کاربر عادی لازم نیست «فایل رفع هک» نصب کند
به‌روزرسانی سرور را شرکت میزبان یا مدیر آن انجام می‌دهد. نصب یک برنامه ناشناس روی گوشی یا کامپیوتر، جای اصلاح PHP وب‌سایت را نمی‌گیرد. از طرف دیگر، امنیت مرورگر وظیفه جداگانه‌ای است؛ راهنمای بررسی آپدیت امنیتی کروم درباره همان بخش توضیح می‌دهد، نه برطرف‌کردن نقص سرور.
در منابع بررسی‌شده این گزارش، شواهدی برای نسبت‌دادن مشکل تازه به یک وب‌سایت ایرانی مشخص ارائه نشده است. معیار مفید، پاسخ مستند پشتیبانی و اجرای اصلاحات متناسب است؛ نه وعده «امنیت صددرصدی» و نه ترس از اینکه هر خطای بارگذاری، نشانه حمله باشد. اگر صاحب سایت هستید، پشتیبانی شما وضعیت نسخه و اصلاحیه را روشن توضیح داده است؟ اطلاعات ورود یا جزئیات محرمانه سرور را در بخش نظرات منتشر نکنید.