به‌روزرسانی‌های امنیتی اوبونتو برای مقابله با معضل امنیتی PHP منتشر شدند
اوبونتو به منظور رفع دو آسیب‌پذیری امنیتی حائز اهمیت در PHP، وصله‌هایی ارائه کرده است؛ این نقص‌ها به مهاجمان این امکان را می‌دهند که بدون نیاز به ورود به حساب کاربری، از راه دور کد دلخواهی را بر روی سرور هدف اجرا نمایند. این دو آسیب‌پذیری تحت شناسه‌های CVE-2026-109618 و CVE-2026-109619 شناسایی شده و به نام php2shell نیز معروف هستند.
این دو نقص امتیاز چشمگیر ۹٫۲ از ۱۰ را بر اساس شاخص CVSS 4.0 به خود اختصاص داده‌اند و در دسته‌ی «بحرانی» قرار دارند. اهمیت آن‌ها از این واقعیت ناشی می‌شود که هیچ فرآیند احراز هویتی برای سوءاستفاده از آن‌ها لازم نیست و اگر مهاجمی به یک برنامه‌ی PHP دسترسی شبکه‌ای داشته باشد، قادر به اجرای کدهای شخصی‌سازی شده با سطح دسترسی برنامه بر روی سیستم خواهد بود.
زمان اعلام عمومی این آسیب‌پذیری‌ها قرار بود دیروز باشد، اما به دلیل افشای زودهنگام برخی از اطلاعات در اینترنت، این تاریخ به‌طور رسمی به ۲۱ اکتبر (۲۹ مهر) تغییر کرد. در حال حاضر، اوبونتو اصلاحات لازم را برای نسخه‌های پشتیبانی‌شده در دسترس قرار داده است.
کدام نسخه‌های اوبونتو باید به‌روزرسانی شوند؟
در این راستا، وصله‌هایی برای مجموعه‌ای وسیع از نسخه‌های اوبونتو منتشر شده است؛ از نسخه‌های قدیمی نظیر Ubuntu 14.04 و 16.04 گرفته تا نسخه‌های جدیدتر همچون Ubuntu 22.04، 24.04، 26.04 و 26.10. نسخه‌ی PHP تحت تاثیر، بسته به نسخه‌ی اوبونتو متفاوت است و شامل PHP 5 در نسخه‌های خیلی قدیمی تا PHP 8.5 در نسخه‌های اخیر می‌شود.
پس از اعمال وصله‌های مربوطه، برنامه‌هایی که به PHP وابسته هستند، ممکن است نیاز به راه‌اندازی مجدد داشته باشند. به عنوان مثال، در سیستمی که PHP از طریق Apache اجرا می‌شود، باید سرویس Apache مجدداً راه‌اندازی شود. همچنین، یک روش دیگر نیز راه‌اندازی مجدد کل سیستم است.
اوبونتو اعلام کرده که قابلیت unattended-upgrades در نسخه‌های پشتیبانی‌شده از Ubuntu 16.04 LTS به‌طور پیش‌فرض فعال بوده و می‌تواند به‌روزرسانی‌های امنیتی را به‌صورت خودکار هر ۲۴ ساعت نصب کند. اما حتی در صورتی که وصله به‌طور خودکار نصب شود، برنامه‌ی آسیب‌پذیر باید مجدداً راه‌اندازی شود تا از نسخه‌ی اصلاح‌شده‌ی PHP بهره‌برداری کند.
نسخه‌های اوبونتو ۲۲٫۰۴، ۲۴٫۰۴، ۲۶٫۰۴ و ۲۶٫۱۰ این وصله‌ها را تحت چارچوب پشتیبانی استاندارد دریافت می‌کنند. در مورد نسخه‌های قدیمی‌تر مانند Ubuntu 20.04 و ماقبل آن، بسته به نوع نسخه، حفاظت امنیتی از طریق برنامه‌ی Ubuntu Pro و خدمات نگهداری امنیتی توسعه‌یافته تأمین می‌شود.
با توجه به این که php2shell می‌تواند اجازه اجرای کد از راه دور را بدون نیاز به احراز هویت بدهد، اوبونتو به مدیران سرورهای آسیب‌پذیر توصیه می‌کند تا در اسرع وقت بسته‌های PHP را به نسخه‌های اصلاح‌شده به‌روز کنند.
