اطلاعیه فوری امنیت اطلاعات: پی‌اچ‌پی، نود‌ جی‌اس و گو

(Minghui.org) طی هفته گذشته، آسیب‌پذیری‌های امنیتی مهمی در محیط‌های اجرای پی‌اچ‌پی، نود‌ جی‌اس و گو (PHP, Node.js, Go) گزارش شده است. مدیرانی که مسئول نگهداری سرورهای مبتنی بر این فناوری‌ها، ازجمله سیستم‌های مدیریت محتوای پرکاربرد مانند وردپرس هستند، باید برای محافظت از خدمات خود در برابر سوءاستفاده احتمالی اقدام کنند.

از ۲۱اکتبر، نهادهای امنیت سایبری در سراسر جهان و کانال‌های رسمی پی‌اچ‌پی و نود‌ جی‌اس، اطلاعیه‌های امنیتی بسیار مهمی درباره آسیب‌پذیری‌هایی منتشر کرده‌اند که به مهاجمان فاقد مجوز امکان می‌دهند کد دلخواه خود را از راه دور اجرا کنند (RCE) یا حمله محروم‌سازی از سرویس (DoS) انجام دهند.

ازآنجاکه این آسیب‌پذیری‌ها در محیط اجرای زبان یا کتابخانه‌های داخلی آن وجود دارند، صرفاً به‌روزرسانی نرم‌افزارهای سمت برنامه‌ مانند افزونه‌های وردپرس یا بسته‌های ان‌پی‌ام از سرور محافظت نمی‌کند، خود محیط اجرای زبان باید ارتقا یابد.

آسیب‌پذیری‌ها در پُشته‌های اصلی فناوری

1) پی‌اچ‌پی (آسیب‌پذیری پی‌اچ‌پی‌توشل «PHP2Shell»)

- آسیب‌پذیری‌های اجرای کد از راه دور: شناسه‌های CVE-2026-109618 و CVE-2026-109619 (با امتیاز ۹٫۲ در سیستم امتیازدهی آسیب‌پذیری‌ عام (CVSS) و سطح خطر بحرانی).

- خلاصه: نقص‌هایی در مدیریت زیربنایی حافظه و مدیریت وضعیت سراسری وجود دارد. بروز خطای کمبود حافظه (OOM) ممکن است به خرابی حافظه یا استفاده از وضعیت باقی‌مانده و نامعتبر در درخواست بعدی منجر شود که همان فرایند کاری پردازشش می‌کند.

دامنه تأثیر: همه وب‌سایت‌ها و سرورهای پی‌اچ‌پی که وصله منیتی دریافت نکرده‌اند. مهاجمان می‌توانند بدون ارائه هیچ‌گونه اطلاعات احراز هویت یا داشتن اختیارات دسترسی، حمله کنند.

۲) نود ‌جی‌اس

آسیب‌پذیری‌های رمزگشای بروتلی و امنیت شبکه شامل CVE-2026-111497 (نوشتن خارج از محدوده حافظه در بروتلی) و چندین آسیب‌پذیری احراز هویت در تی‌ال‌اس/ دی‌ان‌اس است.

خلاصه: رمزگشای داخلی داده‌های فشرده بروتلی، نقصی دارد که باعث نوشتن خارج از محدوده حافظه می‌شود، همچنین خطر دورزدن بررسی اعتبارنامه‌ها و نام میزبان وجود دارد.

دامنه تأثیر: پردازش داده‌های فشرده بروتلی از منابع غیرقابل‌اعتماد، اتصال‌های شبکه خارجی و سرویس‌های نود ‌جی‌اس برای سرورهای پروکسی.

۳) زبان گو و چارچوب‌های مرتبط

برای پروتکل‌های شبکه، کتابخانه‌های استاندارد و چارچوب‌های متن‌باز پرکاربرد مرتبط، مانند پروکسی‌های اچ‌تی‌تی‌پی و رابط‌های مدیریت شبکه، پچ‌های امنیتی منتشر شده است.

دامنه تأثیر: سرویس‌های بومی ابری که از نسخه‌های مشخصی از ماژول‌های گو استفاده می‌کنند یا به آن‌ها وابسته‌اند.

اقدامات فوری برای مدیران سرور

بررسی‌های سنتی وابستگی بسته‌ها (مانند اسکن فایل‌های package.json یا composer.json) نمی‌توانند آسیب‌پذیری‌های محیط اجرا را شناسایی کنند. لازم است نسخه محیط اجرایی که روی سرور و/یا در کانتینرها درحال اجراست، بررسی شود.

نسخه‌های قدیمی محیط‌های اجرای زبان که به پایان دوره پشتیبانی رسیده‌اند (مانند نسخه‌های پایین‌تر از ۸٫۲ پی‌اچ‌پی یا پایین‌تر از ۲۰ نود ‌جی‌اس)، دیگر پچ‌های رسمی دریافت نمی‌کنند. برنامه‌هایی که روی این نسخه‌های فاقد پشتیبانی اجرا می‌شوند، باید به نسخه‌ای پشتیبانی‌شده و دارای پچ ارتقا یابند یا از اینترنت جدا شوند.

اگر منابع محدود است، مدیران سرور می‌توانند مراحل زیر را به‌ترتیب انجام دهند:

۱) تهیه سریع فهرست دارایی‌ها (بررسی نسخه)

وارد هر سرور یا کانتینر شوید و بررسی کنید که آیا نسخه محیط اجرای زبان تحت‌ تأثیر قرار دارد یا خیر.

- برای پی‌اچ‌پی، بررسی کنید که آیا نسخه درحال‌ اجرا قدیمی‌تر از نسخه پچ‌شده است یا خیر (فهرست زیر را ببینید). توجه: برخی توزیع‌های لینوکس، وصله‌ها را به نسخه‌های قدیمی‌تر نیز منتقل می‌کنند، بنابراین ممکن است نسخه‌های پایین‌تر از ۸٫۲ همچنان پچ دریافت کنند. اطلاعیه‌های رسمی یا سوابق تغییرات بسته‌های توزیع خود را بررسی کنید.

برای نود‌جی‌اس، بررسی کنید که آیا از نسخه آسیب‌پذیری از سری‌های ۲۲، ۲۴ یا ۲۶ استفاده می‌کنید یا خیر.

۲) ارتقای فوری به نسخه پچ‌شده

محیط خود را به نسخه پچ‌شده متناظر در فهرست زیر ارتقا دهید و فرایند سرویس (پی‌اچ‌پی-اف‌پی‌ام یا برنامه نود) را مجدداً راه‌اندازی کنید تا داده‌های باقی‌مانده در حافظه پاک شوند:

نسخه‌های پچ‌شده پی‌اچ‌پی:سری ۸٫۵ پی‌اچ‌پی: به نسخه ۸٫۵٫۱۲ (یا بالاتر) ارتقا دهید.سری ۸٫۴ پی‌اچ‌پی: به نسخه ۸٫۴٫۲۷ (یا بالاتر) ارتقا دهید.سری ۸٫۳ پی‌اچ‌پی: به نسخه ۸٫۳٫۳۶ (یا بالاتر) ارتقا دهید.سری ۸٫۲ پی‌اچ‌پی: به نسخه ۸٫۲٫۳۵ (یا بالاتر) ارتقا دهید.

نسخه‌های پچ‌شده نود‌ جی‌اس:سری ۲۲ نود ‌جی‌اس: به نسخه ۲۲٫۲۳٫۴ (یا بالاتر) ارتقا دهید.سری ۲۴ نود‌ جی‌اس: به نسخه ۲۴٫۲۲٫۱ (یا بالاتر) ارتقا دهید.سری ۲۶ نود‌ جی‌اس: به نسخه ۲۶٫۱۲٫۱ (یا بالاتر) ارتقا دهید.

توجه: پشتیبانی از نود ‌جی‌اس ۲۰ و نسخه‌های پیش از آن پایان یافته است. باید نسخه خود را هرچه زودتر به نسخه‌ای پشتیبانی‌شده ارتقا دهید.

۳) بازسازی کانتینرها و ایمیج‌ها

اگر از داکر یا سایر کانتینرهای بومی ابری استفاده می‌کنید، صرفاً تغییر برچسب کافی نیست؛ ایمیج باید بازسازی شود تا اطمینان حاصل شود که محیط اجرای زیربنایی به‌روز شده و سرویس دوباره مستقر می‌شود.

فایروال برنامه‌ تحت وب (WAF) یا متعادل‌کننده بار ترافیکی در جلوی سامانه خود را بررسی کنید تا مطمئن شوید قواعد محافظتی در برابر ترافیک غیرعادی POST و بسته‌های فشرده مخرب فعال هستند.

مطالب بالا صرفاً مروری کلی است. در هر مورد مشخص، نیروهای فنی باید متناسب با محیط خود، خطرها را فوراً شناسایی و برطرف کنند تا امنیت اطلاعات حفظ شود.