آسیب‌پذیری بحرانی PHP را هوش مصنوعی پیدا کرد؛ صاحبان سایت همین حالا بهروزرسانی کنند
دو حفرهٔ بحرانی در PHP، زبانی که سایت‌های وردپرسی و بخش بزرگی از وب با آن کار میکنند، به مهاجم اجازهٔ اجرای کد روی سرور می‌دهد. هوش مصنوعی آن‌ها را پیدا کرد و نسخههای اصلاح‌شده منتشر شده‌اند؛ هر کس سایت دارد باید همین حالا نسخهٔ PHP خود را بررسی کند.
خلاصه خبر در ۳ نکته
- تیم PHP روز ۲۹ مهر نسخههای 8.5.12، 8.4.27، 8.3.36 و 8.2.35 را برای بستن دو حفرهٔ اجرای کد از راه دور منتشر کرد.
- یکی از حفرهها را شرکت امنیتی Calif با مدل GPT-5.6 Sol اوپنایآی پیدا کرد؛ تیم Wiz هم هر دو را جداگانه کشف کرد.
- PHP 8.1 و قدیمیتر بهروزرسانی رسمی ندارند؛ صاحبان سایت باید از هاست بخواهند PHP را به نسخهٔ امن برساند.
فهرست مطالب
آسیب‌پذیری PHP این هفته به یکی از جدی‌ترین خبرهای امنیتی سال تبدیل شد: دو حفرهٔ بحرانی در زبان PHP، که بخش بزرگی از سایت‌های جهان از جمله سایت‌های وردپرسی با آن کار میکنند، به مهاجم اجازه می‌دهد بدون نام کاربری و رمز روی سرور کد اجرا کند. این حفرهها را هوش مصنوعی پیدا کرد و تیم PHP روز ۲۹ مهر نسخههای اصلاح‌شده را منتشر کرد. اگر سایت دارید، همین امروز نسخهٔ PHP آن را بررسی کنید.
آسیب‌پذیری PHP چیست و چرا این‌قدر خطرناک است؟
به نوشتهٔ هشدار امنیتی رسمی سایت php.net، هر دو مشکل از نوع «اجرای کد از راه دور بدون احراز هویت» هستند؛ یعنی مهاجم بدون ورود به سایت و فقط با فرستادن یک درخواست ساخته‌شده می‌تواند روی سرور فرمان اجرا کند. شناسهٔ این دو حفره CVE-2026-109618 و CVE-2026-109619 است.
- اولی به رفتار PHP هنگام کمبود حافظه برمی‌گردد: اجرای برنامه وسط آماده‌سازی داده‌های درخواست قطع می‌شود و بعد همان دادهٔ نیمه‌کاره معتبر فرض می‌شود.
- دومی مربوط به اطلاعاتی است که از یک درخواست باقی می‌ماند، حتی بعد از آزاد شدن حافظه‌اش؛ درخواست بعدی که به همان پردازه برسد ممکن است از این دادهٔ کهنه استفاده کند.
تیم PHP میگوید همهٔ نصب‌هایی که درخواست وب را پاسخ می‌دهند در معرض خطرند؛ از PHP-FPM و Apache با mod_php تا LiteSpeed و FrankenPHP. بیشترین خطر را برای mod_php می‌داند، چون حمله در آن پیش از اجرای هر کدی از خود سایت انجام می‌شود. به گزارش تک‌کرانچ، آژانس امنیت ملی آمریکا هم هشدار داده که سایتی که فوراً بهروز نمی‌شود، بهتر است تا زمان بهروزرسانی از دسترس خارج شود. همین نشریه نوشته که این حفرهها از نسخهٔ ۵ (سال ۲۰۰۴) در PHP وجود داشته‌اند. رویترز هم از خاموش شدن موقت سایت‌های دولتی پس از این هشدار خبر داده است.
هوش مصنوعی چطور این حفرهها را پیدا کرد؟
اوپنایآی (OpenAI) در گزارشی با عنوان Patch the Planet نوشته که یک شرکت امنیتی به نام Calif یکی از این حفرهها را با مدل GPT-5.6 Sol پیدا کرد. تیم امنیتی Wiz (زیرمجموعهٔ گوگل) هم جداگانه هر دو را کشف و گزارش کرد؛ به نوشتهٔ تک‌کرانچ، این تیم از ایجنت امنیتی خودش و مدلهای Gemini 4 Argon و GPT-5.6 Sol کمک گرفته بود.
کشف‌کنندگان پیش از انتشار عمومی، حفرهها را به نگه‌دارندگان PHP گزارش کردند و حدود دو ماه با آن‌ها و شرکت‌هایی مثل کلودفلر روی اصلاحیه و قواعد محافظتی کار کردند. اوپنایآی میگوید به گمانش هوش مصنوعی این بار زودتر از مهاجمان به حفرهها رسید. با این حال هشدار می‌دهد همین توانایی می‌تواند به مهاجمان هم برای ساختن سریع ابزار حمله کمک کند و انتظار دارد یافته‌های مشابه در ماه‌های آینده بسیار بیشتر شود. پیش‌تر هم در ماجرای هک سایت با هوش مصنوعی دیده بودیم که ایجنت‌ها حالا کارهای امنیتی واقعی انجام می‌دهند، چه برای دفاع و چه برای حمله.
کدام نسخههای PHP امن هستند؟
نسخههای اصلاح‌شده این‌هاست و تیم PHP میگوید راه کامل دیگری جز بهروزرسانی وجود ندارد:
| شاخهٔ نسخه | نسخهٔ امن | توضیح |
|---|---|---|
| PHP 8.5 | 8.5.12 | آخرین نسخهٔ پایدار |
| PHP 8.4 | 8.4.27 | پشتیبانی می‌شود |
| PHP 8.3 | 8.3.36 | پشتیبانی می‌شود |
| PHP 8.2 | 8.2.35 | پشتیبانی امنیتی تا ۳۱ دسامبر ۲۰۲۶ (۱۰ دی ۱۴۰۵) |
| PHP 8.1 و قدیمیتر | بهروزرسانی رسمی ندارد | به نسخهٔ جدیدتر بروید |
برای PHP نسخههای ۷٫۴، ۸٫۰ و ۸٫۱ تیم PHP فقط وصلهٔ حداقلی کد منبع منتشر کرده است، برای کسانی که خودشان PHP را کامپایل میکنند. توزیع‌های لینوکس و فروشندگان پشتیبانی بلندمدت اصلاحیه را از قبل گرفته‌اند؛ بنابراین اگر PHP را از مخزن سیستم‌عامل نصب کرده‌اید، بهروزرسانی بسته‌ها را اجرا کنید.
صاحبان سایت و وردپرس همین حالا چه کنند؟
۱. نسخهٔ PHP سایت را پیدا کنید
در وردپرس به «ابزارها» بروید، «سلامت سایت» را باز کنید و در زبانهٔ «اطلاعات» بخش «سرور» را ببینید؛ نسخهٔ PHP آنجا نوشته شده است. بیشتر کنترل‌پنل‌های هاست هم این عدد را نشان می‌دهند. خود وردپرس میگوید این مشکل مخصوص وردپرس نیست و بهروزرسانی وردپرس لازم نیست؛ آنچه باید عوض شود PHP سرور است.
۲. اگر هاست اشتراکی دارید، از پشتیبانی بپرسید
در هاست اشتراکی، بهروزرسانی PHP کار شرکت میزبان است. وردپرس توصیه کرده که حتی اگر میزبان احتمالاً مشغول بهروزرسانی یا گذاشتن قواعد فایروال است، خودتان پیگیری کنید. یک تیکت کوتاه بفرستید و بپرسید PHP سرور به یکی از نسخههای جدول بالا رسیده است یا نه. اگر کنترل‌پنل امکان انتخاب نسخه را دارد، روی آخرین نسخه‌ای بگذارید که قالب و افزونه‌هایتان با آن سازگارند.
۳. اگر سرور مجازی یا اختصاصی دارید، خودتان بهروز کنید
بسته‌های PHP را از مخزن سیستم‌عامل بهروز کنید و همهٔ پردازه‌های PHP-FPM یا وب‌سرور را از نو راه بیندازید. تیم PHP برای کسی که نمی‌تواند فوراً بهروز کند چند تنظیم موقت گفته است، مثل خاموش کردن session.upload_progress.enabled. اما تأکید میکند هیچ‌کدام سایت را امن نمی‌کند و فقط بعضی مسیرهای حمله را می‌بندد. وردپرس هم به نقل از مرکز ملی امنیت سایبری بریتانیا نوشته اگر سایتی با نسخهٔ قدیمیتر از ۸٫۲ دارید و خودتان سرور را مدیریت می‌کنید، تا آماده شدن بهروزرسانی آن را از دسترس خارج کنید.
۴. نشانه‌های نفوذ را هم بررسی کنید
بهروزرسانی جلوی حملهٔ بعدی را می‌گیرد، اما اگر سایت پیش از آن آلوده شده باشد، مشکل را پاک نمی‌کند. از سایت و پایگاه داده نسخهٔ پشتیبان بگیرید و حساب‌های مدیر، فایل‌های تازه و تغییرات ناآشنا را بررسی کنید. وردپرس برای این کار راهنمای «سایت من هک شده» را در wordpress.org دارد.
نگاه باهوش: کار امروز صاحب سایت، نه فقط برنامه‌نویس
این خبر برای هر ایرانی که سایت، فروشگاه اینترنتی یا وبلاگ وردپرسی دارد مستقیم مهم است؛ PHP نرم‌افزار آزاد و رایگان است و تحریم یا پرداخت ارزی مانع بهروزرسانی آن نیست. کار اصلی با میزبان سایت است: نسخهٔ PHP را ببینید و اگر پایین‌تر از نسخههای جدول بود، همین امروز از پشتیبانی هاست پیگیری کنید. ابزار بررسی نسخه‌ای که اوپنایآی در قالب یک مهارت کدکس (Codex) منتشر کرده برای کاربران ایران در دسترس نیست، چون ایران در فهرست کشورهای پشتیبانی‌شدهٔ اوپنایآی نیست؛ اما برای این کار به آن نیازی ندارید و جدول بالا کافی است.
اگر اصطلاحات فنی هشدار برایتان گنگ است یا نمی‌دانید به پشتیبانی هاست چه بنویسید، متن خطا یا پیام کنترل‌پنل را در چت باهوش به فارسی بپرسید تا قدم‌به‌قدم توضیح دهد. این ماجرا یک درس کلی‌تر هم دارد: هوش مصنوعی حالا حفره‌های قدیمی را سریع‌تر از قبل پیدا میکند، پس بهروز نگه داشتن سرور، افزونه‌ها و قالب دیگر کاری نیست که بشود عقب انداخت.
- نسخهٔ PHP سایت را در «سلامت سایت» وردپرس یا کنترل‌پنل هاست ببینید.
- اگر از نسخههای امن پایین‌تر بود، همین امروز از پشتیبانی هاست بهروزرسانی را بخواهید.
- پیش از هر تغییر، از سایت و پایگاه داده نسخهٔ پشتیبان بگیرید.
هر سوالی داری از باهوش بپرس
فرقی نمی‌کنه در حال کار باشی، یادگیری یا فقط یه سوال ساده داشته باشی؛ از نوشتن و ترجمه تا توضیح مفاهیم، فقط کافیه بپرسی.
وب، اندروید و iOS
پرسش‌های متداول
آیا سایت وردپرسی من هم در خطر است؟
اگر PHP سرور شما هنوز بهروز نشده، بله. وردپرس میگوید این حفرهها مخصوص وردپرس نیستند و هر سروری که برنامهٔ PHP اجرا میکند را تهدید میکنند؛ راهحل بهروزرسانی PHP است، نه وردپرس.
نسخهٔ امن PHP کدام است؟
8.5.12، 8.4.27، 8.3.36 یا 8.2.35. نسخههای 8.1 و قدیمیتر از تیم PHP بهروزرسانی نمیگیرند و باید به نسخهٔ جدیدتر بروید.
آیا وردپرس باید بهروز شود؟
خیر؛ وردپرس اعلام کرده برای این مشکل بهروزرسانی وردپرس لازم نیست و برنامهای هم برایش ندارد. آنچه باید عوض شود نسخهٔ PHP سرور است.
هوش مصنوعی چه نقشی در این ماجرا داشت؟
شرکت امنیتی Calif یکی از حفرهها را با مدل GPT-5.6 Sol اوپنایآی پیدا کرد و تیم Wiz هم با کمک ایجنت امنیتی و مدلهای هوش مصنوعی هر دو را کشف کرد. هر دو پیش از انتشار عمومی، حفرهها را به تیم PHP گزارش دادند.
