با سلام و احترام،
به اطلاع مشتریان گرامی میرساند، تیم توسعهٔ PHP از وجود دو آسیب‌پذیری امنیتی بحرانی با شناسه‌های CVE-2026-109618 و CVE-2026-109619 خبر داده است. این آسیب‌پذیری‌ها در صورت بهره‌برداری موفق می‌توانند امکان اجرای کد از راه دور بدون نیاز به احراز هویت را فراهم کنند. هر دو مورد در مقیاس CVSS نسخهٔ ۴ امتیاز ۹٫۲ از ۱۰ دریافت کرده‌اند. (اطلاعیهٔ رسمی امنیتی)
طبق اعلام پروژهٔ PHP، خطر به یک نوع وب‌سرور یا روش اجرای PHP محدود نیست و نصب‌هایی را که درخواست‌های وب را پردازش می‌کنند، از جمله PHP-FPM، Apache، php-cgi و LiteSpeed دربرمی‌گیرد. بنابراین استفاده از LiteSpeed، فایروال یا ابزارهای امنیتی دیگر جایگزین نصب نسخهٔ اصلاح‌شدهٔ PHP نیست.
شرح آسیب‌پذیری‌ها
- CVE-2026-109618: نقصی در مدیریت شرایط کمبود حافظه (Out-of-Memory) که می‌تواند باعث شود داده‌های داخلیِ ناقص هنگام پردازش یک درخواست به‌درستی مدیریت نشوند.
- CVE-2026-109619: باقی‌ماندن وضعیت داخلی مربوط به یک درخواست پس از آزاد شدن حافظهٔ آن؛ در شرایط خاص، درخواست بعدی ممکن است از این وضعیتِ باقی‌مانده استفاده کند.
نسخه‌های اصلاح‌شده
نسخه‌های منتشرشدهٔ PHP که این دو آسیب‌پذیری را برطرف می‌کنند عبارت‌اند از:
- PHP 8.2.35
- PHP 8.3.36
- PHP 8.4.27
- PHP 8.5.12
صرف انتخاب شاخه‌ای مانند PHP 8.3 در cPanel به‌تنهایی تضمین نمی‌کند که نسخهٔ اصلاح‌شدهٔ PHP روی سرور نصب شده باشد؛ مدیر سرور باید بستهٔ PHP را نیز به نسخهٔ اصلاح‌شده به‌روزرسانی کند. تیم PHP اعلام کرده است که نصب به‌روزرسانی، راهکار کامل برای رفع این آسیب‌پذیری‌هاست. برخی تنظیمات موقت ممکن است مسیرهای مشخصی از حمله را محدود کنند، اما جایگزین نصب وصله نیستند.
اقدام نویان و مشتریان
فرایند به‌روزرسانی امنیتی سرورهای هاست اشتراکی نویان در حال انجام است. از مشتریان این سرویس درخواست می‌شود نسخهٔ PHP انتخاب‌شده برای تمام دامنه‌ها و زیردامنه‌های حساب خود را در cPanel بررسی کنند:
- وارد cPanel شوید.
- به بخش Software → MultiPHP Manager بروید؛ در بعضی پنل‌ها این گزینه با نام Select PHP Version نمایش داده می‌شود.
- برای هر دامنه، PHP 8.2 یا بالاتر را انتخاب کنید. نسخهٔ 8.3 یا بالاتر پیشنهاد می‌شود.
- پیش از تغییر نسخه، از وب‌سایت خود پشتیبان بگیرید و سازگاری سیستم مدیریت محتوا، قالب و افزونه‌ها را بررسی کنید.
PHP 8.1 و نسخه‌های قدیمی‌تر دیگر از سوی پروژهٔ PHP به‌روزرسانی نمی‌شوند؛ هرچند بعضی توزیع‌های لینوکس یا ارائه‌دهندگان پشتیبانی بلندمدت ممکن است وصله‌هایی را جداگانه ارائه کنند. همچنین پشتیبانی امنیتی PHP 8.2 در ۳۱ دسامبر ۲۰۲۶ پایان می‌یابد؛ بنابراین برای استفادهٔ بلندمدت، ارتقا به PHP 8.3 یا نسخه‌های جدیدترِ سازگار توصیه می‌شود. (جدول رسمی نسخه‌های پشتیبانی‌شده)
اگر نسخهٔ PHP موردنیاز در پنل شما در دسترس نیست، پس از تغییر نسخه با خطا یا اختلال روبه‌رو شدید، یا از سرور اختصاصی/سرور مجازی استفاده می‌کنید، برای راهنمایی با پشتیبانی نویان تماس بگیرید. در سرویس‌های مدیریت‌نشده، نصب به‌روزرسانی‌های PHP باید توسط مدیر سرور انجام شود.
