آپدیت بحرانی PHP بالأخره منتشر شد؛ پایان کابوس موقتی وب

پروژه‌ی PHP برای دو آسیب‌پذیری بحرانی وصله‌ی امنیتی منتشر کرد. هر دو حفره به مهاجم اجازه می‌دهند بدون احراز هویت و از راه دور، کد دلخواه خود را اجرا کند. خطر محدود به پیکربندی خاصی نیست.

به‌گزارش تیم امنیتی PHP، مدیران سرور باید بی‌درنگ به یکی از نسخه‌های ۸٫۵٫۱۲، ۸٫۴٫۲۷، ۸٫۳٫۳۶ یا ۸٫۲٫۳۵ مهاجرت کنند.

ریشه‌ی مشکل در هسته‌ی PHP قرار دارد، نه در یک افزونه یا کتابخانه‌ی جانبی. به همین دلیل دامنه‌ی آسیب گسترده است و طیف وسیعی از محیط‌های اجرایی را در بر می‌گیرد.

در میان همه‌ی گزینه‌ها، تیم امنیتی PHP بیشترین خطر را متوجه mod_php می‌داند. برای همین پیکربندی، یک اکسپلویت جدید وجود دارد که با یک درخواست ساده و بدون احراز هویت، حمله را پیش از اجرای حتی یک خط از کد برنامه به جریان می‌اندازد.

توزیع‌های لینوکس و فروشندگان نسخه‌های پشتیبانی بلندمدت (LTS) وصله‌ها را از پیش دریافت کرده بودند. بنابراین بسته‌های به‌روزشده باید در مخازن آن‌ها در دسترس باشند.

نسخه‌ی PHP 8.1 و نسخه‌های قدیمی‌تر دیگر به‌روزرسانی رسمی نمی‌گیرند. با این حال، شدت مشکل تیم امنیتی را واداشت تا بک‌پورت‌های حداقلی در سطح کد منبع را برای نسخه‌های ۷٫۴، ۸٫۰ و ۸٫۱ آماده کند.

کاربران مخزن داوطلبانه‌ی rpms.remirepo.net امروز به‌روزرسانی دریافت نخواهند کرد. پروژه‌ی PHP به آن‌ها پیشنهاد می‌کند به بسته‌های رسمی توزیع‌ها روی بیاورند یا PHP را مستقیما از کد منبع کامپایل کنند.

برای سرورهایی که نمی‌توانند فورا به‌روز شوند، راهکارهای موقتی پیش‌بینی شده است. با این حال، پروژه‌ی PHP صراحتا تأکید می‌کند که هیچ‌کدام از راهکارها نصب را امن نمی‌کنند و فقط سطح خطر را پایین می‌آورند.