اوبونتو به‌روزرسانی‌های امنیتی تازه‌ای را برای رفع آسیب‌پذیری بحرانی PHP با نام php2shell و همچنین اصلاح وضعیت گواهی‌های متأثر از نفوذ به مرجع صدور گواهی eMudhra منتشر کرده است. این در حالی است که نسخه دسکتاپ اوبونتو به‌طور مستقیم از php2shell تأثیر نمی‌پذیرد، زیرا PHP به‌صورت پیش‌فرض روی آن نصب نیست.
جزئیات آسیب‌پذیری php2shell
php2shell نامی است که به دو آسیب‌پذیری CVE-2026-109618 و CVE-2026-109619 در PHP داده شده است. این باگ‌ها می‌توانند به مهاجمی با دسترسی شبکه اجازه دهند بدون نیاز به ورود، کد (Code) را از طریق هر برنامه PHP اجرا کند. PHP در حدود ۷۰ درصد از وب‌سایت‌ها، از جمله سایت‌های مبتنی بر وردپرس (WordPress)، استفاده می‌شود و بسیاری از سایت‌های قدیمی با نگهداری حداقلی و نسخه‌های قدیمی PHP فعال باقی می‌مانند.
در مقیاس شدت CVSS 4.0، امتیاز php2shell برابر با ۹.۲ از ۱۰ و در سطح بحرانی ارزیابی شده است. کلادفلر (Cloudflare) اعلام کرده حملاتی را علیه این باگ‌ها مشاهده کرده است، هرچند موفقیت آن‌ها تأیید نشده؛ اما به گفته کارشناسان، وقوع حملات موفق تنها مسئله زمان است.
ماجرای گواهی‌های eMudhra
نفوذ به کلید امنیتی eMudhra در مقیاس php2shell نیست، اما بی‌خطر هم محسوب نمی‌شود. در صورت سوءاستفاده، مهاجمان می‌توانند گواهی‌های امنیتی جعلی برای وب‌سایت‌ها بسازند و خود را جای سرورهای معتبر جا بزنند. گوگل، اپل، موزیلا و برخی نهادهای دیگر در ۱۷ اکتبر گواهی‌های معیوب را مسدود کرده‌اند.
به‌روزرسانی بسته ca-certificates در اوبونتو دو گواهی ریشه (Root Certificate) را از فهرست گواهی‌های مورد اعتماد حذف می‌کند؛ هر دو گواهی از eMudhra پشتیبانی کرده بودند. این اقدام به محافظت از ابزارهایی مانند curl و wget کمک می‌کند که از فهرست گواهی اختصاصی خود استفاده نمی‌کنند.
چه کسانی باید اقدام کنند و چگونه به‌روزرسانی کنند
همه نسخه‌های اوبونتو با PHP 5 یا جدیدتر تحت تأثیر قرار می‌گیرند، اما فقط نسخه‌هایی که همچنان توسط کانونیکال (Canonical) پشتیبانی می‌شوند وصله امنیتی را دریافت می‌کنند. اوبونتو ۱۴.۰۴، ۱۶.۰۴ و ۱۸.۰۴ LTS تنها در صورت فعال بودن Ubuntu Pro این به‌روزرسانی را دریافت می‌کنند. کانونیکال برای نسخه‌های پشتیبانی‌شده، وصله‌های حیاتی را به عقب برمی‌گرداند (Backport) و حتی PHP 5 در اوبونتو ۱۴.۰۴ LTS وصله می‌شود.
- کاربران دسکتاپ می‌توانند از طریق به‌روزرسان نرم‌افزاری (Software Updater) به‌روزرسانی‌های موجود را بررسی و نصب کنند.
- در سرورها می‌توان با دستور sudo apt update && sudo apt upgrade همه بسته‌ها را به‌روزرسانی کرد.
- اگر به‌روزرسانی کامل سرور ممکن نیست، بسته مربوطه را می‌توان به‌صورت جداگانه ارتقا داد.
- در صورت امکان نداشتن راه‌اندازی مجدد کامل سیستم، هر برنامه یا سرویسی که از مفسر PHP استفاده می‌کند باید به‌صورت دستی راه‌اندازی مجدد شود.
- اگر PHP نصب نیست، وصله PHP را دریافت نمی‌کنید و نیازی هم به آن ندارید؛ اما بسته ca-certificates از پیش نصب شده است.
کاربران سرور، فضای ابری یا هر محیطی که احتمال دخالت PHP در آن وجود دارد، باید هرچه سریع‌تر اقدام به به‌روزرسانی کنند یا از ارائه‌دهنده میزبانی درباره زمان اعمال وصله اطلاعات بگیرند.