در دنیای پرشتاب وب‌سایت‌ها و مدیریت سرورها، امنیت فقط یک گزینه نیست؛ پایه‌ای ضروری برای حفظ اطلاعات، پایداری سرویس‌ها و اعتماد کاربران است. به همین دلیل، انتشار هر گزارش درباره آسیب‌پذیری‌های نرم‌افزاری می‌تواند توجه مدیران سرور و وبمستران را به‌سرعت جلب کند.
به‌تازگی، آسیب‌پذیری‌هایی در PHP با شناسه‌های CVE-2026-109618 و CVE-2026-109619 گزارش شده‌اند؛ موضوعی که اهمیت بررسی وضعیت سرورها و دنبال‌کردن توصیه‌های امنیتی را دوباره یادآوری می‌کند. در این مقاله، ابتدا با ماهیت این آسیب‌پذیری‌ها آشنا می‌شویم، سپس اقداماتی را مرور می‌کنیم که در نخستین ساعات برای کاهش خطر در سطح سرور انجام داده‌ایم. در پایان نیز گام‌هایی را توضیح می‌دهیم که شما کاربران عزیز می‌توانید برای بررسی و ایمن‌سازی سرویس خود بردارید.
هدف این است که با اطلاعات روشن و اقدام‌های به‌موقع، از غافلگیری جلوگیری کنیم و با اطمینان بیشتری به مدیریت وب‌سایت‌ها و سرورها ادامه دهیم.
۱. آسیب‌پذیری‌های CVE-۲۰۲۶-۱۰۹۶۱۸ و CVE-۲۰۲۶-۱۰۹۶۱۹ چیستند و چه خطراتی دارند؟
این دو شناسه به دو آسیب‌پذیری بحرانی در هستهٔ PHP اشاره دارند که با نام PHP2Shell نیز شناخته می‌شوند. هر دو در ارزیابی CVSS نسخهٔ ۴ امتیاز ۹٫۲ از ۱۰ گرفته‌اند و می‌توانند در شرایطی مشخص، امکان اجرای کد از راه دور را برای مهاجم فراهم کنند. نکتهٔ مهم این است که ضعف‌ها در خود پی‌اچ‌پی قرار دارند؛ بنابراین صرفاً سالم‌بودن کد وردپرس یا دیگر نرم‌افزارهای سایت، به‌تنهایی برای رفع خطر کافی نیست.
این دو آسیب‌پذیری از مسیرهای فنی متفاوتی ایجاد می‌شوند. به‌بیان ساده، در یکی از آن‌ها بروز خطای حافظه می‌تواند وضعیت داخلی پی‌اچ‌پی را به‌هم بریزد؛ در دیگری، بخشی از وضعیت باقی‌مانده از درخواست قبلی ممکن است در پردازش بعدی به‌شکل ناامن استفاده شود. در صورت فراهم‌بودن شرایط لازم، پیامد می‌تواند فراتر از اختلال ساده باشد و به اجرای فرمان یا کد دلخواه روی سرور برسد. پژوهشگران همچنین برای یکی از این ضعف‌ها احتمال افشای اطلاعات موجود در حافظهٔ فرایند پی‌اچ‌پی را گزارش کرده‌اند.
در عمل، مهم‌ترین خطرها عبارت‌اند از:
- اجرای کد از راه دور (RCE): مهاجم ممکن است بتواند کد یا فرمان‌هایی را در فرایند PHP و در نتیجه روی سرور اجرا کند.
- افشای اطلاعات حساس: داده‌هایی که در حافظهٔ فرایند قرار دارند، بسته به شرایط، ممکن است در معرض نشت قرار بگیرند.
- به‌خطر‌افتادن وب‌سایت و سرور: اجرای کد ناخواسته می‌تواند زمینهٔ دست‌کاری فایل‌ها، دسترسی به اطلاعات یا گسترش حمله را فراهم کند.
- اختلال در سرویس: تلاش برای سوءاستفاده یا بروز خطاهای مرتبط با حافظه می‌تواند به ناپایداری یا از دسترس خارج‌شدن سرویس منجر شود.
با این حال، وجود آسیب‌پذیری به این معنا نیست که هر سایتی به‌طور خودکار قابل نفوذ است؛ موفقیت حمله به شرایط فنی و پیکربندی سرور بستگی دارد. با وجود این، چون برای این آسیب‌پذیری‌ها سوءاستفادهٔ واقعی گزارش شده، مدیران سرور باید نسخهٔ PHP را بررسی کنند و به‌روزرسانی‌های امنیتی ارائه‌شده را در اولویت قرار دهند.
۲. اقدام‌های فوری و تکمیلی در سطح سرورهای CloudLinux
با انتشار گزارش آسیب‌پذیری‌های بحرانی CVE-2026-109618 و CVE-2026-109619، تیم فنی و پشتیبانی IRPOWER بلافاصله بررسی‌های امنیتی را آغاز کرد و برای کاهش هرگونه ریسک احتمالی، فرآیند تقویت لایه‌های دفاعی در سطح زیرساخت با اولویت بالا اجرا شد.
با توجه به اینکه بخش بسیار زیادی از کاربران ما از نسخه‌های ea-php استفاده می‌کنند، تمامی به‌روزرسانی‌های امنیتی مرتبط با این شاخه‌ها پیش از شروع ساعات اداری امروز، با موفقیت در مخازن سرور اعمال و نصب گردید. این به‌روزرسانی‌ها در بسیاری از موارد به‌صورت backport ارائه می‌شوند؛ یعنی ممکن است شماره نسخهٔ اصلی PHP تغییری نکند، اما اصلاحیه‌های امنیتی و حیاتی مستقیماً روی همان نسخهٔ فعلی اعمال می‌شوند تا ضمن رفع آسیب‌پذیری، پایداری و سازگاری سایت‌ها نیز حفظ شود.
در کنار این اقدام، پوشش کامل نسخه‌های alt-php نیز در دستور کار قرار گرفت. با وجود اینکه انتشار برخی از این اصلاحیه‌ها توسط توسعه‌دهندگان اصلی با فاصله زمانی انجام شد، تیم ما بلافاصله پس از در دسترس قرار گرفتن آن‌ها، نسخه‌های alt-php را نیز به‌روزرسانی کرد تا هیچ سایت یا کاربری بدون پوشش امنیتی باقی نماند. این موضوع به‌ویژه برای محیط‌هایی اهمیت دارد که چند نسخهٔ PHP به‌صورت هم‌زمان فعال هستند و لازم است همهٔ مسیرهای اجرای PHP، چه در وب‌سرورها و چه در پردازه‌های مربوط به سرویس‌ها، تحت کنترل و وصله‌شده باشند.
اقدام‌های انجام‌شده در سطح زیرساخت شامل موارد زیر است:
- به‌روزرسانی فوری مخازن ea-php: تمام بسته‌ها و اصلاحیه‌های امنیتی مربوط به این شاخه‌ها روی سرورها اعمال شد تا نسخه‌های مورد استفاده در سرویس‌های میزبانی با آخرین اصلاحات امنیتی همگام شوند.
- پوشش کامل نسخه‌های alt-php: نسخه‌های جایگزین PHP نیز هم‌زمان بررسی و در صورت وجود اصلاحیه، به‌روزرسانی شدند تا همهٔ محیط‌های میزبانی، صرف‌نظر از نسخهٔ مورد استفاده، تحت حفاظت قرار گیرند.
- تقویت لایه دفاعی با Imunify360 (i360): پیش از حتی انتشار رسمی این باگ‌ها، قوانین امنیتی جدید به سرورها افزوده شد. این قوانین با تکیه بر اسکنر زنده و هوشمند Imunify360، الگوهای مشکوک، درخواست‌های غیرعادی و رفتارهای مرتبط با تلاش برای سوءاستفاده از این آسیب‌پذیری را در سطح شبکه شناسایی و مسدود می‌کنند.
- سیستم پاکسازی خودکار (Auto-Clean): در صورتی که بدافزار شناخته‌شده‌ای از طریق این رخنه‌ها تلاش به ورود یا اجرا در سایت داشته باشد، سامانهٔ امنیتی در مدت بسیار کوتاهی آن را شناسایی کرده و به‌صورت خودکار پاکسازی می‌کند؛ این سازوکار کمک می‌کند اثرگذاری حملات احتمالی به حداقل برسد.
- بازبینی و پایش مداوم لاگ‌ها: لاگ‌های وب‌سرور، PHP و همچنین نشانه‌های رفتاری سرویس‌ها به‌طور مستمر بررسی می‌شوند تا هرگونه خطای غیرمعمول، توقف پردازه، افزایش درخواست‌های مشکوک، مصرف غیرعادی منابع یا تغییرات ناخواسته در فایل‌های سایت در سریع‌ترین زمان تشخیص داده شود.
- حفظ جداسازی و پایداری سرویس‌ها: در کنار این اقدامات، ساختار ایزوله‌سازی منابع و کنترل سرویس‌ها نیز حفظ شده تا در صورت بروز هرگونه رفتار غیرعادی در یک حساب، تأثیر آن بر سایر حساب‌ها به حداقل برسد.
در مجموع، مجموعه‌ای از اقدامات پیشگیرانه، اصلاحی و کنترلی در سطح سرور اجرا شده و پس از اعمال به‌روزرسانی‌ها نیز وضعیت سرویس‌ها به‌دقت بررسی شده است. با این حال، امنیت یک فرایند ایستا نیست و نیازمند پایش دائمی و به‌روزرسانی مستمر است؛ به همین دلیل، روند نظارت بر زیرساخت ادامه دارد و هر اصلاحیهٔ امنیتی جدید نیز مطابق توصیه‌های رسمی بلافاصله اعمال خواهد شد. در این میان، راهکارهایی مانند Imunify360 و Auto-Clean نقش مهمی در کاهش ریسک حملات احتمالی دارند، اما رفع اصلی آسیب‌پذیری همچنان وابسته به به‌روزرسانی PHP و اطمینان از اجرای نسخهٔ اصلاح‌شده در تمامی سرویس‌ها است.
۳. چه اقدام‌هایی باید شما، کاربران و وبمستران، انجام دهید؟
امنیت سایت به به‌روز بودن سرور و خود وب‌سایت هر دو وابسته است. برای این آسیب‌پذیری‌ها، مهم‌ترین اقدام نصب نسخهٔ اصلاح‌شدهٔ PHP است؛ به‌روزرسانی وردپرس یا نصب افزونهٔ امنیتی به‌تنهایی این مشکل را برطرف نمی‌کند. نسخه‌های اصلاح‌شدهٔ PHP ۸.x عبارت‌اند از ۸.۲.۳۵، ۸.۳.۳۶، ۸.۴.۲۷ و ۸.۵.۱۲. اگر PHP از مخزن سیستم‌عامل، CloudLinux یا شرکت میزبان نصب شده، نسخهٔ بسته و اطلاعیهٔ همان ارائه‌دهنده را بررسی کنید؛ گاهی اصلاحیه به نسخه‌ای با شماره‌گذاری متفاوت backport می‌شود.
برای کاهش ریسک، این مراحل را انجام دهید:
- همهٔ محل‌هایی را که PHP اجرا می‌شود شناسایی کنید. فقط سایت اصلی را بررسی نکنید؛ زیردامنه‌ها، سایت‌های آزمایشی، نسخه‌های staging، اپلیکیشن‌های جانبی و کانتینرها را هم در نظر بگیرید. در هاست‌های اشتراکی، از پشتیبانی بخواهید تأیید کند PHP مربوط به وب‌سایت شما اصلاح شده است.
- نسخهٔ PHP سایت را به نسخهٔ اصلاح‌شده ارتقا دهید. در پنل میزبانی، نسخهٔ فعال هر دامنه را بررسی کنید؛ نسخهٔ پی‌اچ‌پی خط فرمان ممکن است با نسخه‌ای که وب‌سایت از طریق PHP-FPM یا وب‌سرور اجرا می‌کند متفاوت باشد. اگر از PHP ۸.۱ یا قدیمی‌تر استفاده می‌کنید، دربارهٔ وصلهٔ امنیتی backportشده از ارائه‌دهنده سؤال کنید و برای مهاجرت به شاخهٔ پشتیبانی‌شده برنامه‌ریزی کنید.
- پس از ارتقا، سرویس‌ها و پردازه‌های PHP را راه‌اندازی مجدد کنید. به‌روزرسانی فایل‌های PHP به‌تنهایی پردازه‌های قدیمی را که هنوز در حافظه فعال‌اند اصلاح نمی‌کند. در هاست اشتراکی این کار را از پشتیبانی بخواهید؛ در سرور اختصاصی، سرویس‌های مربوط مانند PHP-FPM یا وب‌سرور را مطابق روش مدیریت سرورتان بازراه‌اندازی کنید. سپس مطمئن شوید سایت واقعاً نسخهٔ اصلاح‌شده را اجرا می‌کند.
- وردپرس، قالب‌ها و افزونه‌ها را به‌روز کنید. این کار جایگزین وصلهٔ PHP نیست، اما برای بستن آسیب‌پذیری‌های جداگانه ضروری است. افزونه‌ها و قالب‌های بلااستفاده را حذف کنید؛ صرفاً غیرفعال‌کردن آن‌ها کافی نیست.
- از سایت نسخهٔ پشتیبان بگیرید و امکان بازیابی را بررسی کنید. پیش از تغییر نسخهٔ PHP، از فایل‌ها و پایگاه داده نسخهٔ پشتیبان تهیه کنید و سازگاری سایت با نسخهٔ جدید را در صورت امکان در محیط آزمایشی بررسی کنید. مطمئن شوید نسخهٔ پشتیبان قابل‌بازیابی است.
- مجوز فایل‌ها و پوشه‌ها را بازبینی کنید. دسترسی‌ها را فقط به‌اندازهٔ نیاز تنظیم کنید؛ مقادیر رایج ۷۵۵ برای پوشه‌ها و ۶۴۴ برای فایل‌ها هستند، اما تنظیم درست به مالکیت فایل‌ها و پیکربندی سرور بستگی دارد. از دسترسی عمومی نوشتن، مانند ۷۷۷، خودداری کنید و مطمئن شوید پوشه‌های بارگذاری فایل امکان اجرای اسکریپت PHP ندارند.
- نشانه‌های نفوذ را بررسی کنید. به فایل‌های PHP ناشناس یا تازه‌تغییرکرده، حساب‌های مدیریتی جدید، خطاهای غیرعادی سرور، پردازه‌های فرزند غیرمنتظره و ارتباطات خروجی مشکوک توجه کنید. اگر احتمال می‌دهید سایت پیش از نصب وصله در معرض حمله بوده، فقط به‌روزرسانی کافی نیست: از نسخهٔ سالم بازیابی کنید، گذرواژه‌های مدیریتی و اطلاعات دسترسی پایگاه داده و کلیدهای API را عوض کنید و از متخصص امنیت کمک بگیرید.
- افزونهٔ امنیتی را لایهٔ کمکی بدانید، نه راه‌حل اصلی. ابزارهایی مانند Wordfence می‌توانند برای پایش تغییر فایل‌ها و هشدار دربارهٔ فعالیت مشکوک مفید باشند، اما جلوی همهٔ مسیرهای سوءاستفاده از PHP را نمی‌گیرند و جای وصلهٔ امنیتی را نمی‌گیرند.
تا زمانی که PHP اصلاح نشده، تنظیمات موقت یا قوانین WAF را راه‌حل قطعی تلقی نکنید؛ این تدابیر فقط می‌توانند بخشی از خطر را کاهش دهند. اگر امکان به‌روزرسانی فوری ندارید، با شرکت میزبانی تماس بگیرید و دسترسی عمومی به سایت یا سرویس آسیب‌پذیر را تا زمان نصب وصله محدود کنید.
جمع‌بندی
آسیب‌پذیری‌های CVE-2026-109618 و CVE-2026-109619 یادآور این نکته‌اند که امنیت وب‌سایت تنها به یک ابزار یا یک اقدام وابسته نیست؛ بلکه به مجموعه‌ای از لایه‌های دفاعی و رسیدگی مداوم نیاز دارد. به‌روزرسانی PHP و سرویس‌های مرتبط، بازبینی قوانین WAF، ایزوله‌سازی حساب‌ها در CloudLinux و پایش لاگ‌ها، اقدام‌هایی هستند که به کاهش خطر و شناسایی سریع‌تر فعالیت‌های مشکوک کمک می‌کنند.
در کنار این تدابیر زیرساختی، مسئولیت مدیران سایت نیز اهمیت دارد: نسخهٔ PHP فعال را بررسی و اصلاح کنید، وردپرس و افزونه‌ها و قالب‌ها را به‌روز نگه دارید، دسترسی فایل‌ها را محدود کنید و از اطلاعات سایت نسخهٔ پشتیبان قابل‌بازیابی داشته باشید. اگر نشانه‌ای از نفوذ مشاهده کردید، تنها به نصب وصله اکتفا نکنید؛ دسترسی‌ها و فایل‌ها را بررسی کنید و در صورت نیاز از متخصص کمک بگیرید.
با اقدام به‌موقع، نگهداری منظم و همکاری میان ارائه‌دهندهٔ میزبانی و مدیر سایت، می‌توان ریسک را کاهش داد و وب‌سایت را در برابر تهدیدهای امنیتی آماده‌تر نگه داشت.
