انتشار آپدیت حیاتی PHP؛ فرجام موقت بحران وب

آخرین اطلاعات از پروژه PHP حاکی از آن است که دو آسیب‌پذیری اساسی با قابلیت بهره‌برداری از راه دور و بدون نیاز به احراز هویت شناسایی شده است. این نقاط ضعف به مهاجمان این امکان را می‌دهد که کد مورد نظر خود را اجرا کنند و به نظر می‌رسد که این خطر تنها به تنظیمات خاصی محدود نمی‌شود.

طبق اعلام تیم امنیتی PHP، سرپرستان سرورها ملزم به ارتقاء فوری به یکی از نسخه‌های ۸٫۵٫۱۲، ۸٫۴٫۲۷، ۸٫۳٫۳۶ یا ۸٫۲٫۳۵ هستند.

مشکل اصلی از هسته‌ی PHP نشأت می‌گیرد و به هیچ افزونه یا کتابخانه‌ی جانبی مربوط نمی‌شود. به همین دلیل، دامنه‌ی تأثیر این آسیب‌پذیری بسیار گسترده و شامل انواع مختلف محیط‌های اجرایی است.

تیم امنیتی PHP بیشترین نگرانی را در خصوص mod_php ابراز کرده است. برای این نوع پیکربندی، یک اکسپلویت جدید وجود دارد که تنها با یک درخواست ساده و بدون نیاز به احراز هویت، می‌تواند حمله را آغاز کند و حتی قبل از اجرای هرگونه دستوری از کد برنامه، مشکل را به وجود آورد.

توزیع‌های لینوکس و عرضه‌کنندگان نسخه‌های پشتیبانی طولانی‌مدت (LTS) به‌روزرسانی‌های مربوطه را پیش از این دریافت کرده و بنابراین بسته‌های به‌روزرسانی اکنون بایستی در مخازن آن‌ها قابل دسترسی باشد.

نسخه‌های PHP 8.1 و قدیمی‌تر از دریافت به‌روزرسانی‌های رسمی محروم هستند. اما به دلیل شدت این آسیب‌پذیری، تیم امنیتی تصمیم به ارائه‌ی بک‌پورت‌های حداقلی برای نسخه‌های ۷٫۴، ۸٫۰ و ۸٫۱ گرفته است.

کاربران مخزن داوطلبانه‌ی rpms.remirepo.net در حال حاضر آپدیت جدیدی نخواهند داشت. پروژه‌ی PHP به این افراد توصیه می‌کند که به بسته‌های رسمی توزیع‌های خود مراجعه کنند یا PHP را به طور مستقیم از کد منبع کامپایل نمایند.

برای سرورهایی که قادر به بروزرسانی فوری نیستند، راهکارهای موقتی در نظر گرفته شده است. اما پروژه‌ی PHP به‌صراحت اشاره می‌کند که هیچ‌یک از این راه‌ها نمی‌تواند امنیت نصب را تضمین کند و تنها می‌تواند سطح خطر را کاهش دهد.