تیم وردپرس در 21 اکتبر 2026 به مدیران سایت‌ها هشدار داد که نسخه PHP سرور خود را فوری بررسی کنند. دلیل این هشدار، انتشار اصلاحیه‌های 2 آسیب‌پذیری بحرانی در PHP است که ممکن است به اجرای کد از راه دور بدون احراز هویت منجر شوند. این مشکلات در خود PHP قرار دارند، نه در هسته وردپرس؛ بنابراین بروزرسانی وردپرس به‌تنهایی آن‌ها را رفع نمی‌کند.
علت هشدار امنیتی جدید وردپرس چیست؟
پروژه PHP در اطلاعیه امنیتی 21 اکتبر از اصلاح 2 آسیب‌پذیری با شناسه‌های CVE-2026-109618 و CVE-2026-109619 خبر داد. هر دو مشکل با امتیاز 9.2 از 10 در استاندارد CVSS نسخه 4.0 بحرانی ارزیابی شده‌اند. آسیب‌پذیری نخست با اختلال در مدیریت حافظه هنگام کمبود حافظه و دومی با باقی ماندن وضعیت داخلی مربوط به درخواست پس از آزادسازی حافظه مرتبط است.
به گزارش رسمی PHP، نصب‌های تحت وب شامل PHP-FPM، Apache با mod_php، php-cgi، FrankenPHP و LiteSpeed باید بررسی شوند. شدت خطر در همه پیکربندی‌ها یکسان نیست، اما توصیه سازندگان PHP، نصب اصلاحیه بدون تأخیر است.
کدام نسخه‌های PHP اصلاح شده‌اند؟
پروژه PHP در 21 اکتبر 2026 نسخه‌های امنیتی زیر را منتشر کرده است:
- PHP 8.2.35 برای شاخه 8.2
- PHP 8.3.36 برای شاخه 8.3
- PHP 8.4.27 برای شاخه 8.4
- PHP 8.5.12 برای شاخه 8.5
نسخه‌های قبل از PHP 8.2 دیگر از پشتیبانی امنیتی رسمی برخوردار نیستند. همچنین پشتیبانی امنیتی PHP 8.2 در 31 دسامبر 2026 به پایان می‌رسد؛ بنابراین بهتر است برنامه ارتقا به شاخه جدیدتر سازگار را نیز مشخص کنید. در بعضی توزیع‌های سرور، اصلاحیه ممکن است به بسته‌ای با شماره متفاوت منتقل شده باشد؛ در این حالت وضعیت وصله امنیتی را از میزبان یا مدیر سرور تأیید بگیرید.
چگونه نسخه PHP سایت وردپرسی را ببینیم؟
از پیشخوان وردپرس به مسیر ابزارها ← سلامت سایت ← اطلاعات ← سرور بروید. در این بخش می‌توانید نسخه PHP فعال را مشاهده کنید. بیشتر شرکت‌های میزبانی نیز نسخه PHP و گزینه تغییر آن را در کنترل‌پنل هاست نشان می‌دهند.
اگر هاست اشتراکی دارید، از پشتیبانی بخواهید مشخص کند آیا اصلاحیه‌های امنیتی 21 اکتبر روی PHP سرور اعمال شده‌اند. اگر سرور مجازی یا اختصاصی را خودتان مدیریت می‌کنید، با کمک مدیر سیستم بسته‌های امنیتی معتبر و نسخه سازگار را نصب کنید.
مدیران سایت‌های وردپرسی چه اقدامی انجام دهند؟
ابتدا نسخه PHP و وضعیت وصله را بررسی کنید، سپس پیش از تغییر شاخه PHP از فایل‌ها و پایگاه داده نسخه پشتیبان قابل بازیابی تهیه کنید. سازگاری قالب و افزونه‌ها را در محیط آزمایشی بررسی کنید و پس از بروزرسانی، بخش‌های حساس مانند ورود کاربران، ارسال فرم‌ها، سبد خرید و پرداخت ووکامرس را آزمایش کنید.
وجود فایروال برنامه‌های تحت وب یا WAF می‌تواند به کاهش بعضی تلاش‌های مخرب کمک کند، اما جایگزین نصب اصلاحیه PHP نیست. خود تیم PHP اعلام کرده که راهکار کاهش خطر کاملی به جای بروزرسانی وجود ندارد. اگر سرویس از نسخه بدون پشتیبانی استفاده می‌کند و اصلاح فوری ممکن نیست، باید با ارزیابی تیم فنی و امنیتی درباره محدودسازی دسترسی یا توقف موقت سرویس تا زمان اصلاح تصمیم‌گیری شود.
آیا بروزرسانی وردپرس یا افزونه امنیتی کافی است؟
خیر. WordPress.org صریحاً اعلام کرده که برای این آسیب‌پذیری‌ها بروزرسانی هسته وردپرس لازم یا برنامه‌ریزی‌شده نیست. افزونه امنیتی وردپرس نیز نمی‌تواند کد آسیب‌پذیر مفسر PHP را اصلاح کند. به همین دلیل اقدام اصلی باید در سطح سرور انجام شود.
جمع‌بندی
دو آسیب‌پذیری بحرانی PHP در 21 اکتبر 2026 اصلاح شدند. مدیران سایت‌های وردپرسی باید مطمئن شوند PHP سرور آن‌ها وصله امنیتی لازم را دریافت کرده است؛ بروزرسانی وردپرس به‌تنهایی برای رفع این خطر کافی نیست.
