تاریخ انتشار: ۲۲ اکتبر ۲۰۲۶
پنل مدیریت سرور aaPanel یک هشدار امنیتی فوری منتشر کرده که شامل بهروزرسانی بحرانی PHP و چند آسیب‌پذیری در Node.js است. در ادامه، جزئیات هر بخش و راهنمای بهروزرسانی آورده شده است.
🔴 بهروزرسانی امنیتی بحرانی PHP
در تاریخ ۲۱ اکتبر ۲۰۲۶، تیم PHP آسیب‌پذیری‌های CVE-2026-109618 و CVE-2026-109619 را اصلاح کرد. هر دو آسیب‌پذیری با امتیاز CVSS v4.0 برابر ۹.۲ ارزیابی شده‌اند و ممکن است امکان اجرای کد از راه دور بدون احراز هویت را فراهم کنند.
محیط‌های آسیب‌پذیر شامل PHP-FPM، Apache mod_php، php-cgi، FrankenPHP و LiteSpeed هستند. ریسک در حالت mod_php بیشترین میزان است.
🛠️ نسخه‌های اصلاح‌شده PHP
وصله‌ها فقط برای PHP 7.4 تا 8.5 منتشر شده‌اند. لطفاً به یکی از نسخه‌های اصلاح‌شده زیر بهروزرسانی کنید:
| شاخه PHP | نسخه اصلاح‌شده |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
| PHP 8.1 | 8.1.35 |
| PHP 8.0 | 8.0.27 |
| PHP 7.4 | 7.4.34 |
🔄 بهروزرسانی در aaPanel
- از وب‌سایت‌ها، دیتابیس‌ها و تنظیمات خود نسخه پشتیبان تهیه کنید.
- به مسیر App Store → Installed بروید. در صورت نیاز، Update App List را بهروزرسانی کنید. هر نسخه PHP در حال استفاده را به نسخه اصلاح‌شده بهروزرسانی کنید.
- سرویس‌های PHP را ری‌استارت کرده و بررسی کنید که وب‌سایت‌ها به درستی کار می‌کنند.
نکته: در دسترس بودن نسخه‌ها به App Store شما بستگی دارد. کاربران نسخه‌های قدیمی‌تر از PHP 7.4 باید به نسخه پشتیبانی‌شده مهاجرت کنند یا وصله‌ها را از ارائه‌دهنده خود تأیید کنند.
⚠️ مشکل بهروزرسانی LSPHP در OpenLiteSpeed
به دلیل مشکل سازگاری اسکریپت با OpenLiteSpeed، اسکریپت فعلی نصب LSPHP را پشتیبانی می‌کند اما ارتقا را خیر. لطفاً فعلاً از apt/yum برای بهروزرسانی LSPHP استفاده کنید.
🖥️ دستورات بهروزرسانی LSPHP در OpenLiteSpeed
CentOS / AlmaLinux / Rocky:
yum update 'lsphp*' -y
Debian / Ubuntu:
apt-get update
apt-get install --only-upgrade 'lsphp*' -y
🛡️ کاهش موقت ریسک (Temporary Mitigation)
این راهکار فقط برای مسیرهای خاص حمله CVE-2026-109619 کاربرد دارد. توصیه رسمی PHP برای مسدودکردن مسیرهای تأییدشده حمله جلسه (Session) و در PHP 8.5 مسیر backtrace خطای fatal، تنظیمات زیر است:
فایل Settings → Configuration file (php.ini) نسخه PHP آسیب‌پذیر را باز کنید و مقدار زیر را تنظیم کنید:
session.upload_progress.enabled = 0
برای PHP 8.5 همچنین تنظیم زیر را اعمال کنید:
fatal_error_backtraces = 0
سپس همه PHP workerهای آسیب‌پذیر را ری‌استارت کنید. تنظیمات باید قبل از پردازش درخواست اعمال شوند؛ به ini_set() یا PHP-FPM .user.ini تکیه نکنید.
⚠️ هشدار: این اقدامات هیچ‌کدام از دو آسیب‌پذیری را برطرف نمی‌کند و جایگزین بهروزرسانی امنیتی نیست. فقط مسیرهای خاص CVE-2026-109619 را هدف قرار می‌دهد.
🟢 بهروزرسانی امنیتی Node.js
Node.js ده آسیب‌پذیری را اصلاح کرده که شامل چهار مورد با شدت بالا است. به نسخه‌های 22.23.4، 24.22.1 یا 26.12.1 بهروزرسانی کنید.
مسیر: Open Website → Node.js Project → Node version manager. لیست را بهروزرسانی کنید، نسخه اصلاح‌شده را نصب کرده و هر پروژه را به آن سوئیچ کنید و ری‌استارت نمایید.
نکته مهم: نصب نسخه جدید به‌تنهایی پروژه‌های موجود را بهروزرسانی نمی‌کند.
📌 جمع‌بندی
- PHP: فوراً به نسخه اصلاح‌شده (7.4.34 تا 8.5.12) بهروزرسانی کنید. ریسک mod_php بیشترین است.
- OpenLiteSpeed LSPHP: فعلاً از apt/yum برای بهروزرسانی استفاده کنید.
- کاهش موقت: فقط برای CVE-2026-109619 و نه جایگزین وصله.
- Node.js: به 22.23.4، 24.22.1 یا 26.12.1 ارتقا دهید و پروژه‌ها را سوئیچ کنید.
- قبل از هر کاری بکاپ بگیرید.
امنیت سرور، یک انتخاب است؛ بهروزرسانی، یک ضرورت. 🛡️
⭐ امتیاز کاربران
0.0 از ۵ · 0 رأی تأییدشده