انتشار نسخه جدید و حیاتی PHP؛ بهبود موقتی مشکلات وب پایان می‌یابد
پروژه PHP اقدام به انتشار وصله‌های امنیتی برای دو حفره‌ی بحرانی کرده است. این آسیب‌پذیری‌ها به مهاجمان این امکان را می‌دهند که بدون نیاز به احراز هویت و از طریق ارتباطات از راه دور، کد دلخواه خود را اجرا کنند. این مشکل تنها به یک پیکربندی خاص محدود نمی‌شود.
بر اساس گزارش تیم امنیتی PHP، مدیران سرور باید در اسرع وقت به یکی از نسخه‌های ۸٫۵٫۱۲، ۸٫۴٫۲۷، ۸٫۳٫۳۶ یا ۸٫۲٫۳۵ بروزرسانی کنند.
منشا این مشکل در هسته اصلی PHP نهفته است و به یک افزونه یا کتابخانه جانبی مربوط نمی‌شود. به همین دلیل، طيف نفوذ آن گسترده بوده و روی محیط‌های اجرایی متنوعی تأثیر می‌گذارد.
از میان گزینه‌های موجود، تیم امنیتی PHP بیشترین خطر را متوجه mod_php می‌داند. برای این پیکربندی، یک اکسپلویت جدید وجود دارد که با ارسال یک درخواست ساده و بدون نیاز به احراز هویت، حمله را حتی قبل از اجرای یک خط کد آغاز می‌کند.
توزیع‌های لینوکس و تأمین‌کنندگان نسخه‌های پشتیبانی بلندمدت (LTS) پیش از این وصله‌ها را دریافت کرده بودند. بنابراین، بسته‌های به‌روز شده باید در مخازن آن‌ها در دسترس باشد.
نسخه‌های PHP 8.1 و نسخه‌های قدیمی‌تر دیگر قرار نیست بروزرسانی رسمی دریافت کنند. با این حال، شدت این مشکل باعث شده است که تیم امنیتی تصمیم به آماده‌سازی بک‌پورت‌های حداقلی برای نسخه‌های ۷٫۴، ۸٫۰ و ۸٫۱ بگیرد.
کاربران مخزن داوطلبانه‌ی rpms.remirepo.net امروز به‌روزرسانی نخواهند کرد. پروژه PHP به آن‌ها توصیه می‌کند که به بسته‌های رسمی توزیع‌ها مراجعه کنند یا PHP را به‌صورت مستقیم از کد منبع کامپایل نمایند.
برای سرورهایی که قادر به بروزرسانی فوری نیستند، راهکارهای موقت تعریف شده است. با این حال، پروژه PHP به‌صراحت اعلام می‌کند که هیچ‌یک از این راهکارها نصب را به‌طور کامل ایمن نمی‌کند و تنها سطح خطر را کاهش می‌دهند.
