تیم توسعه PHP نسخه‌های جدیدی از این زبان برنامه‌نویسی را منتشر کرده است تا دو آسیب‌پذیری بحرانی را برطرف کند که امکان اجرای کد از راه دور بدون احراز هویت (Unauthenticated Remote Code Execution) را برای مهاجمان فراهم می‌کردند. بر اساس گزارش منتشرشده، مدیران سرور باید هرچه سریع‌تر سیستم‌های خود را به‌روزرسانی کنند.
جزئیات دو آسیب‌پذیری بحرانی
آسیب‌پذیری نخست به مدیریت اتمام حافظه (Out-of-Memory Handling) مربوط می‌شود؛ شرایطی که می‌تواند پردازش PHP را مختل کرده و به خرابی ناشی از اتمام حافظه (OOM Corruption) و در نهایت اجرای کد از راه دور منجر شود.
آسیب‌پذیری دوم از طریق وضعیت سراسری کهنه (Stale Global State) شکل می‌گیرد که پس از آزاد شدن حافظه پشتیبان آن همچنان باقی می‌ماند و به عنوان یک مسیر دیگر برای اجرای کد از راه دور عمل می‌کند.
هر دو آسیب‌پذیری اجرای کد از راه دور با نمره بحرانیت ۹.۲ از ۱۰ ارزیابی شده‌اند.
نسخه‌های اصلاح‌شده و توصیه فوری
نسخه‌های زیر برای رفع این مشکلات منتشر شده‌اند:
- PHP 8.5.12
- PHP 8.4.27
- PHP 8.3.36
- PHP 8.2.35
مدیران سرور توصیه شده‌اند این به‌روزرسانی‌ها را فوراً اعمال کنند. جزئیات بیشتر درباره این آسیب‌پذیری‌های امنیتی و نسخه‌های به‌روزشده در وب‌سایت PHP.net در دسترس است.