چه اتفاقی افتاده است؟
Cloudflare در ۲۱ اکتبر ۲۰۲۶ توضیح داد که برای دو آسیب‌پذیری PHP با شناسه‌های CVE-2026-109618 و CVE-2026-109619 محافظت در دیواره آتش برنامه‌های وب خود فعال کرده است. شرکت می‌گوید این پوشش پیش از افشای عمومی برای طرح‌های رایگان و پولی فراهم شده بود. این ادعا مربوط به سرویس Cloudflare است، نه همه مسیرهای دسترسی به یک برنامه.
طبق رکوردهای رسمی PHP، یکی از اشکال‌ها با پاک‌سازی درخواست پس از کمبود حافظه و دیگری با باقی‌ماندن اشاره‌گر به حافظه آزادشده ارتباط دارد. پیامد ممکن، اجرای کد از راه دور است؛ بااین‌حال وجود پیش‌شرط و پیچیدگی حمله به این معنی است که نباید هر درخواست عادی را بهره‌برداری موفق تلقی کرد.
نسخه‌های اصلاح‌شده
رکوردهای سازنده برای شاخه‌های مربوط، نسخه‌های 8.2.35، 8.3.36، 8.4.27 و 8.5.12 را مرز خروج از بازه آسیب‌پذیر معرفی می‌کنند. در توزیع‌هایی که وصله را به بسته قدیمی برمی‌گردانند، وضعیت بسته باید با اطلاعیه همان توزیع تطبیق داده شود.
نکته عملی تحریریه
برای یک سامانه فرضی، فقط بررسی نسخه خط فرمان کافی نیست: نسخه PHP-FPM، ایمیج کانتینر و تمام گره‌های پشت توازن بار را هم ثبت کنید. پس از به‌روزرسانی، پردازش‌های قدیمی را طبق روال انتشار جایگزین و سلامت برنامه را آزمایش کنید. WAF جایگزین نصب وصله روی مبدأ نیست؛ مخصوصاً وقتی مسیر مستقیمی برای دورزدن پراکسی وجود دارد.
