تیم امنیتی PHP نسبت به افشای زودهنگام اطلاعات دو آسیب‌پذیری بحرانی هشدار داده است. این آسیب‌پذیری‌ها از نوع Remote Code Execution (RCE) هستند و شدت آن‌ها بر اساس استاندارد CVSS v4.0 برابر با 9.2 اعلام شده است.

شناسه‌های این آسیب‌پذیری‌ها عبارت‌اند از:

• CVE-2026-109618

• CVE-2026-109619

مدیران سرورها باید هرچه سریع‌تر به‌روزرسانی‌های امنیتی مربوط به نسخه‌های PHP و بسته‌های سیستم‌عامل را اعمال کنند. این موضوع شامل سرورهای دارای کنترل پنل و سرورهای بدون کنترل پنل نیز می‌شود.

۱. سرورهای cPanel

سرورهای cPanel را حداقل به یکی از نسخه‌های زیر، متناسب با شاخه نصب‌شده، ارتقا دهید:

دقت کنید برای اپدیت سی پنل در سرور های داخل ایران نیاز هست  بشکون رایگان را از ما تهیه و نصب کنید و DNS سالم هم روی سرور ست کنید

11.110.0.153 11.134.0.66 11.136.0.50 11.138.0.18

۲. سرورهای DirectAdmin

نسخه 1.710 در سیستم لایسنس ارائه شده است. برای دریافت به‌روزرسانی، مراحل زیر را انجام دهید:

1. تیکت ارسال کنید تا نسخه روی جدید ترین نسخه تنظیم شود

2. دستور به‌روزرسانی سیستم لایسنس را اجرا کنید.

3. پس از اعمال تغییرات لایسنس، DirectAdmin و بسته‌های PHP را از طریق DirectAdmin یا CustomBuild به‌روزرسانی کنید.

توجه: فرایند تنظیم نسخه از طریق سیستم لایسنس به‌صورت خودکار نیز در حال انجام است. طبق اعلام ارائه‌دهنده لایسنس، در صورت تنظیم‌نکردن دستی، نسخه سرویس‌ها تا پایان امروز به نسخه جدید تغییر خواهد کرد.

همچنان میتوانید از پنل کاستوم بیلد سرور به ادرس hostname:2222/evo/custombuild/customize-versions ورژن ها را دستی ست کنید و آپدیت انجام دهید

۳. سرورهای CloudLinux

برای دریافت به‌روزرسانی‌های امنیتی PHP در CloudLinux، باید از مخزن (Mirror) جدید معرفی‌شده توسط CloudLinux استفاده شود.

این مخزن به‌صورت پیش‌فرض در CloudLinux 10 وجود دارد؛ اما در CloudLinux 9  8 و 7 باید به‌صورت دستی نصب شود.

تنظیمات لازم برای این کار در سیستم لایسنس قرار داده شده است. برای اعمال تغییرات، دستور به‌روزرسانی سیستم لایسنس را اجرا کنید. در صورت اعمال خودکار تنظیمات، تغییرات حداکثر طی یک ساعت آینده انجام خواهند شد.

۴. به‌روزرسانی سیستم‌عامل در تمام سرورها

صرف‌نظر از استفاده از کنترل پنل، ضروری است بسته‌های سیستم‌عامل نیز به‌روزرسانی شوند. این اقدام برای سرورهای بدون کنترل پنل نیز لازم است.

AlmaLinux، CloudLinux، Rocky Linux و سایر توزیع‌های سازگار با RHEL:

yum update -y

در سیستم‌هایی که از DNF استفاده می‌کنند، دستور زیر نیز قابل استفاده است:

dnf update -y

Ubuntu و Debian:

apt update && apt upgrade -y

نکته مهم: اجرای apt update به‌تنهایی فقط فهرست بسته‌های مخازن را به‌روزرسانی می‌کند و بسته‌های نصب‌شده را ارتقا نمی‌دهد؛ به همین دلیل، دستور apt upgrade -y نیز لازم است.

در سرورهایی که نسخه‌های سفارشی یا کامپایل‌شده PHP، مخازن اختصاصی یا مدیریت بسته متفاوتی دارند، لازم است به‌روزرسانی PHP نیز از روش رسمی همان محیط انجام شود. به‌روزرسانی عمومی سیستم‌عامل به‌تنهایی لزوماً تمام نسخه‌های PHP را وصله نمی‌کند.

۵. بررسی اعمال وصله امنیتی

برای بررسی وجود شناسه‌های آسیب‌پذیری در فهرست تغییرات بسته‌های نصب‌شده (RPM Changelog)، دستورات زیر را اجرا کنید.

بررسی بسته PHP در EasyApache 4:

rpm -q --changelog ea-php84-php-cli | grep -E 'CVE-2026-(109618|109619)'

بررسی بسته PHP در CloudLinux Alt-PHP:

rpm -q --changelog alt-php82-common | grep -E 'CVE-2026-(109618|109619)'

در صورت وجود شناسه آسیب‌پذیری در خروجی، آن شناسه در فهرست تغییرات بسته ثبت شده است. خالی‌بودن خروجی به‌تنهایی اثبات نمی‌کند که سیستم آسیب‌پذیر است؛ در این حالت، نسخه بسته نصب‌شده و اطلاعات به‌روزرسانی مخزن نیز باید بررسی شوند.

نام بسته‌های نمونه در دستورات بالا مربوط به PHP 8.4 در EasyApache 4 و PHP 8.2 در Alt-PHP است. برای بررسی سایر نسخه‌های نصب‌شده، نام بسته متناسب با نسخه PHP را جایگزین کنید.

۶. راه‌اندازی مجدد سرور

پس از تکمیل به‌روزرسانی‌ها، راه‌اندازی مجدد سرور (Reboot) توصیه می‌شود؛ به‌ویژه اگر کرنل یا کتابخانه‌های سیستمی مهم به‌روزرسانی شده باشند. پیش از ریبوت، وضعیت سرویس‌های حیاتی و امکان قطعی موقت را بررسی کنید و در صورت نیاز، زمان‌بندی مناسب برای راه‌اندازی مجدد در نظر بگیرید.

نسخه های php باید بعد از اپدیت به شکل زیر  باشند :

8.2.35

8.3.36

8.4.27

8.5.12