PHP2Shell ва дарсе, ки мудирони вебсервер набояд фаромӯш кунанд: амнияти сайт танҳо ба коди худатон вобаста нест

Аксари гурӯҳҳо ҳангоми суҳбат дар бораи амнияти сайт пеш аз ҳама ба плагинҳо, формаҳо ва коде фикр мекунанд, ки худашон навиштаанд. Ҳодисаи PHP2Shell дар ин ҳафта ёдрас кард, ки муҳаррики иҷрокунандаи ҳамаи инҳо низ метавонад нуқтаи вуруди ҳамлагар бошад.

Чӣ рӯй дод?

Гурӯҳи амнияти PHP рӯзи 21 октябри соли 2026 версияҳои 8.5.12, 8.4.27, 8.3.36 ва 8.2.35-ро ба таври изтирорӣ нашр кард. Ин версияҳо ду осебпазирӣ — CVE-2026-109618 ва CVE-2026-109619-ро — бартараф мекунанд. Ҳар ду аз рӯйи низоми CVSS 4.0 баҳои 9.2 доранд.

Осебпазирии якум ба идоракунии норасоии хотира вобаста аст. Дуюм ба ҳолати дохилие марбут аст, ки баъди озод кардани хотира боқӣ мемонад ва дархости навбатӣ аз он истифода мекунад. Натиҷаи ҳар ду — имкони иҷрои код дар вебсервер бе тасдиқи ҳувият мебошад.

Хатари бештар ба Apache бо mod_php таҳдид мекунад: дар ин муҳит ҳамла пеш аз иҷро шудани коди барнома оғоз меёбад. PHP-FPM, php-cgi, FrankenPHP ва LiteSpeed низ дар рӯйхати муҳитҳои осебпазир ҳастанд.

Чанд соат пас аз нашри ислоҳот, Cloudflare ва watchTowr аз кӯшишҳои сӯиистифода хабар доданд. Барои шохаи 8.1 ва версияҳои кӯҳнатар версияи нави расмӣ нашр намешавад; танҳо ислоҳоти ҳадди ақал барои коди манбаъ пешниҳод шудааст.

Панҷ иқдоми амалӣ

• Рӯйхати пурраи муҳитҳои PHP-ро тартиб диҳед: ҳамаи серверҳо, контейнерҳо ва хостингҳоеро, ки PHP иҷро мекунанд, муайян кунед.
• Ба версияи ислоҳшуда навсозӣ кунед: ҳамаи равандҳои PHP-ро аз нав оғоз намоед ва имиҷҳои контейнерҳоро низ аз нав созед.
• Агар бастаи дистрибутиви Linux-ро истифода баред, дар рӯйхати тағйирот — changelog — шиносаи CVE-ро ҷустуҷӯ кунед; танҳо ба рақами версия такя накунед.
• То насби ислоҳот, танзими session.upload_progress-ро хомӯш карда, андозаи дархостҳоро дар вебсервер ё прокси маҳдуд намоед.
• Сабтҳои рӯйдодҳоро санҷед: кукиҳои калонҳаҷми PHPSESSID, хатоҳои расидан ба ҳадди хотира ва ҷавобҳои пайдарпайи 500-ро ҷустуҷӯ кунед.

Нуктаи асосӣ

Навсозии WordPress ё ҳар фреймворки дигар, PHP-и зери онро нав намекунад. Ташкилоте, ки рӯйхати дақиқи версияҳои PHP-и худро надорад, рӯзи нашри ислоҳот вақти худро барои ёфтани серверҳо сарф мекунад.

Танзимоти муваққатӣ ва қоидаҳои WAF — девори оташи барномаҳои веб — низ танҳо фурсат медиҳанд. Гурӯҳи PHP ошкоро гуфтааст, ки ягона роҳи ҳалли пурра навсозӣ мебошад.