‏آپدیت فوری PHP برای دو باگ اجرای کد از راه دور

تیم PHP نسخه‌های 8.5.12، 8.4.27، 8.3.36 و 8.2.35 رو منتشر کرده تا دو آسیب‌پذیری بحرانی رو ببنده. هر دو از نوع RCE بدون احراز هویت هستن، یعنی مهاجم بدون لاگین می‌تونه روی سرور کد اجرا کنه. طبق گزارش Laravel News، تیم PHP از همه خواسته فوری آپدیت کنن و می‌گه هیچ راه کاهش ریسک کاملی وجود نداره.

هر نصب PHP که درخواست وب جواب می‌ده درگیره: PHP-FPM، Apache با mod_php، php-cgi، FrankenPHP و LiteSpeed. یعنی تقریباً همه اپ‌های لاراولی تو پروداکشن. بیشترین ریسک مال mod_php هست، چون تیم PHP یه exploit کارا داره که با یه درخواست بدون احراز هویت و قبل از اجرای هر کد اپلیکیشنی فعال می‌شه.

باگ اول، CVE-2026-109618، به مدیریت OOM (یعنی وقتی حافظه تموم می‌شه) مربوطه. وسط کار ممکنه PHP قطع بشه در حالی که داده‌های داخلی درخواست نصفه‌نیمه مقداردهی شدن، و بعد مرحله پاکسازی درخواست این داده‌های خراب رو معتبر حساب می‌کنه. باگ دوم، CVE-2026-109619، مربوط به stale global state هست: یه state داخلی بعد از آزاد شدن حافظه‌ش باقی می‌مونه و درخواست بعدی روی همون worker قبل از ریست شدن ازش استفاده می‌کنه.

برای آپدیت، توزیع‌های لینوکس و فروشنده‌های LTS از قبل پچ‌ها رو گرفتن، پس پکیج‌های جدید رو از اونا بگیر. PHP 8.1 و قدیمی‌تر دیگه از خود پروژه آپدیت نمی‌گیرن، ولی تیم امنیتی به خاطر شدت ماجرا بک‌پورت حداقلی سورس برای 7.4، 8.0 و 8.1 هم منتشر کرده. ریپوی rpms.remirepo.net امروز آپدیت نداره و توصیه شده بری سراغ پکیج توزیع یا build از سورس.

سمت لاراول: Laravel Cloud خودش خودکار پچ می‌کنه. تو Forge باید دستی از داشبورد نسخه PHP رو آپدیت کنی و اگه نمی‌تونی، سرور رو خاموش کنی. Vapor اپ‌های PHP 8 رو خودکار دوباره دیپلوی می‌کنه، ولی برای PHP 7 پچی نمیاد و باید فوری بری روی PHP 8.

اگه نمی‌تونی همین الان آپدیت کنی، چند تنظیم فقط ریسک رو کم می‌کنه. برای باگ OOM: memory_limit=-1 رو با php_admin_value قفل کن، post_max_size رو به ۸M (یا ۳۲M با آپلود) برسون و به جای RLIMIT_AS از cgroup استفاده کن. برای باگ دوم: session.upload_progress.enabled=0 رو تو php.ini بذار و workerها رو ری‌استارت کن، چون ini_set() دیر اعمال می‌شه. روی PHP 8.5 هم fatal_error_backtraces=0 رو بذار.

نکات کلیدی:

• نسخه‌های امن: 8.5.12، 8.4.27، 8.3.36 و 8.2.35.
• دو CVE: CVE-2026-109618 (خرابی در مدیریت OOM) و CVE-2026-109619 (state باقی‌مونده بین درخواست‌ها).
• بیشترین ریسک برای mod_php هست و exploit کارا قبل از اجرای کد اپ فعال می‌شه.
• برای PHP 7.4، 8.0 و 8.1 فقط بک‌پورت سورس منتشر شده.
• کاربرای Laravel Forge باید دستی آپدیت کنن؛ Cloud و Vapor (PHP 8) خودکارن.
• تنظیمات جایگزین مثل session.upload_progress.enabled=0 فقط ریسک رو کم می‌کنن، جای آپدیت رو نمی‌گیرن.