هفته‌ای سخت برای مدافعان: PwnEscape، eMudhra، SafePay و وصله PHP

به‌روزرسانی، 21 اکتبر، ساعت 16:30 به وقت پاریس: PHP نسخه‌های 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35 را حدود ساعت 15:35 به وقت پاریس منتشر کرد، کمی زودتر از ساعت اعلام‌شده 14:00 به وقت UTC، که هر دو نقص بحرانی را رفع می‌کنند، به‌علاوه بک‌پورت‌های سطح سورس برای 7.4 و 8.0 و 8.1. بخش PHP در ادامه این مطلب به‌روزرسانی شده است.

اگر در امنیت، مدیریت سیستم یا میزبانی کار می‌کنید، هفت روزی که امروز به پایان می‌رسد از آن دسته بود که اهل حرفه آن را خشک و با یک بازه تاریخ توصیف می‌کنند، چون صفت‌ها غیرحرفه‌ای به نظر می‌رسند. یک فرار بحرانی از ماشین مجازی در لینوکس در روز پنجشنبه. یک مرجع صدور گواهی که مشخص شد کلیدهای خصوصی‌اش برای هر کسی با یک لپ‌تاپ قابل بازیابی است، در آخر هفته. یک اطلاعیه مشترک دولتی در روز سه‌شنبه درباره باج‌افزاری که دستگاه‌های پشتیبان را به تنظیمات کارخانه بازمی‌گرداند، به‌علاوه یک قطعی ابری که کار کارت‌های بانکی را متوقف کرد، به‌علاوه اعلامیه پروژه PHP مبنی بر اینکه دو اصلاحیه بحرانی روز بعد منتشر خواهد شد. آن روز بعد، امروز است. اصلاحیه‌ها برای ساعت 14:00 به وقت UTC اعلام شده بودند و کمی زودتر، حدود ساعت 15:35 به وقت پاریس، رسیدند.

یک تصحیح از هر تیتر منفردی مهم‌تر است. شاید خوانده باشید که «بسیاری از ارائه‌دهندگان میزبانی» از طریق فرار ماشین مجازی، با نام مستعار PwnEscape، «هک شدند». تا ساعت 13:30 به وقت پاریس در 21 اکتبر، این یک نگرانی است، نه یک واقعیت تأییدشده. هیچ سوءاستفاده‌ای در دنیای واقعی در هیچ جا گزارش نشده است. این ترس مبنای عقلانی دارد، که توضیح خواهیم داد، اما باید با برچسب ترس عرضه شود. ادامه این مطلب هفته را به ترتیب مرور می‌کند، تأییدشده را از پیش‌بینی جدا می‌کند، و با فهرست کوتاهی از کارهایی پایان می‌یابد که یک خواننده عادی یا صاحب یک سایت کوچک واقعاً باید انجام دهد.

چرا تیم‌های امنیتی این‌قدر فرسوده‌اند؟

از آدم‌ها شروع کنیم، چون همه رویدادهای این هفته روی همان میزهای همیشگی فرود آمد. مطالعه نیروی کار امنیت سایبری 2025 ISC2، که در دسامبر 2025 و بر پایه کار میدانی ژوئیه و اوت 2025 با 16,029 پاسخ‌دهنده منتشر شد، نشان داد 48 درصد از متخصصان امنیت احساس فرسودگی می‌کنند وقتی می‌کوشند درباره تهدیدها و فناوری‌ها به‌روز بمانند، 47 درصد اغلب زیر بار کاری خود احساس درماندگی می‌کنند و 32 درصد به دلیل کمبود نیرو احساس کار بیش از حد دارند. پول هم آن را چندان نرم نمی‌کند: 20 درصد در سال گذشته هیچ افزایش حقوقی نگرفتند و دستمزد ناکافی برای 31 درصد یکی از منابع مکرر نارضایتی بود.

یافته تیزتر درباره رهبری است. فقط 32 درصد از پاسخ‌دهندگان می‌گویند سازمانشان امنیت سایبری را یک کارکرد حیاتی کسب‌وکار می‌داند و 23 درصد همین شکاف را به‌عنوان علت نارضایتی نام می‌برند. کار امنیتی به‌طور ساختاری نامرئی است: یک فصل آرام، از دید هیئت‌مدیره، دقیقاً شبیه یک هزینه غیرضروری است و کسی که جلوی ده حادثه را گرفته در بودجه کنار کسی می‌نشیند که ده فروش را بسته است. همان مطالعه ISC2 نشان داد 36 درصد از سازمان‌ها در 2025 بودجه امنیت را کاهش دادند و 24 درصد تعدیل نیروی امنیتی گزارش کردند، در حالی که 72 درصد از متخصصان موافق‌اند که کاهش کارکنان امنیتی خطر نفوذ را به‌طور قابل توجهی افزایش می‌دهد.

داده‌های اروپایی مهربان‌تر نیستند. در گزارش وضعیت امنیت سایبری 2026 ISACA (کار میدانی مه 2026؛ 494 پاسخ‌دهنده اروپایی از مجموع 1,888 نفر در جهان)، 72 درصد گفتند این شغل از پنج سال پیش پراسترس‌تر شده است، با محیط تهدید پیچیده (72 درصد) و انتظارات غیرواقع‌بینانه همراه با کار بیش از حد (57 درصد) به‌عنوان علل اصلی. بیش از نیمی از سازمان‌های اروپایی گفتند کمبود نیرو (56 درصد) و کمبود بودجه (55 درصد) دارند و 21 درصد از شرکت‌ها اصلاً هیچ اقدامی درباره فرسودگی شغلی نمی‌کنند. این اعداد را در ذهن نگه دارید تا هفته پیش برود.

PwnEscape چیست و آیا ارائه‌دهندگان میزبانی واقعاً از طریق آن هک شدند؟

روز پنجشنبه 15 اکتبر، پروژه کرنل لینوکس CVE-2026-99999 را منتشر کرد که به‌سرعت لقب PwnEscape گرفت: نقصی در پردازش چک‌سام IPv4 کرنل، با امتیاز 9.3 (بحرانی) از سوی CNA کرنل (Red Hat آن را «مهم» ارزیابی می‌کند). سناریو: یک میکرو ماشین مجازی مخرب، فراداده چک‌سام virtio-net دستکاری‌شده را به رابط TAP میزبان می‌خوراند. فرار از مهمان به میزبان لحظه‌ای است که یک ماشین مجازی اجاره‌ای از مستأجر بودن دست می‌کشد و صاحب‌خانه می‌شود: کدی درون ماشین مجازی یک مشتری، بر سرور فیزیکی‌ای که ماشین‌های بقیه را اجرا می‌کند نفوذ پیدا می‌کند. به همین دلیل یک امتیاز 9.3 روی میزبان‌های از نوع KVM، کارکنان میزبانی را به سمت قهوه فرستاد.

آنچه واقعاً اثبات شده این است. این نقص را پژوهشگران pwn.ai در جریان چالش Sandbox شرکت Vercel یافتند، در 4 سپتامبر به کرنل گزارش دادند و در 14 اکتبر در شاخه اصلی رفع شد و هفت شاخه پایدار نیز وصله شدند. نشت حافظه میزبان علیه سندباکس‌های تولیدی میزبانِ چالش نشان داده شد، چنان‌که روایت خود Vercel از چالش تأیید می‌کند؛ همان نوشته می‌گوید هیچ گزارشی نشان نداد کسی در Vercel Sandbox به داده مشتریان دسترسی پیدا کرده باشد. ازکارافتادن میزبان و دسترسی روت روی میزبان فقط روی دستگاه‌های خود پژوهشگران نشان داده شد و pwn.ai می‌گوید کارش ادعایی درباره اجرای فرمان با دسترسی روت در محیط تولید هیچ شرکتی نیست. طبق تحلیل TuxCare، الگوی کد آسیب‌پذیر تقریباً به سال 2008 بازمی‌گردد.

و سوءاستفاده؟ تکمیل سابقه CVE توسط CISA صریح می‌گوید: سوءاستفاده: هیچ. این نقص تا خوراک داده 20 اکتبر در فهرست آسیب‌پذیری‌های مورد سوءاستفاده شناخته‌شده (KEV) سازمان CISA نیست. هیچ حمله تأییدشده‌ای در دنیای واقعی از سوی هیچ‌یک از رسانه‌هایی که آن را دنبال می‌کنند گزارش نشده است. پژوهشگرانی که CSO و heise نقل کرده‌اند انتظار دارند اکسپلویت‌های کارآمد علیه پیکربندی‌های ضعیف‌تر ظرف چند هفته پدیدار شود، که یک پیش‌بینی است، نه یک مشاهده.

پس این دلهره از کجاست؟ سه دلیل، همگی موجه. نخست، هیچ شاخص نفوذ منتشرشده‌ای برای این نقص وجود ندارد، نه هش مخربی و نه زیرساخت مهاجمی برای جست‌وجو؛ SOC Prime اشاره می‌کند که شناسایی به تله‌متری میزبان، پایش مجازی‌سازی و تحلیل ازکارافتادن‌ها وابسته است، چیزهایی که بسیاری از میزبان‌های کوچک‌تر اصلاً جمع‌آوری نمی‌کنند. این شناسایی را سخت می‌کند، اما نقص را بی‌رد نمی‌کند: هیچ منبعی که یافتیم نمی‌گوید سوءاستفاده هیچ ردی باقی نمی‌گذارد. دوم، رفع آن نیازمند وصله کردن و راه‌اندازی مجدد کرنل میزبان است؛ به‌روزرسانی ماشین مجازی خودتان هیچ کاری نمی‌کند، پس هر ارائه‌دهنده آسیب‌دیده با یک کارزار راه‌اندازی مجدد در کل ناوگان خود روبه‌روست. سوم، همین عدم قطعیت از حالا خسارت تجاری می‌زند: یک ارائه‌دهنده میزبانی ژاپنی در 16 اکتبر ثبت‌نام‌های جدید را در میزبانی VPS، اشتراکی و اختصاصی خود متوقف کرد، به‌عنوان اقدام احتیاطی و بدون گزارش هیچ نفوذی، و یک میزبان آلمانی از آخر هفته در حال راه‌اندازی مجدد سرورهای مجازی‌سازی خود است. برای مشتریان، توصیه heise پابرجاست: لازم نیست کاری کنید، جز اینکه بررسی کنید ماشین مجازی‌تان پس از راه‌اندازی مجدد میزبان دوباره بالا آمده است.

ماجرای گواهی‌های eMudhra چه بود؟

شنبه داستان گواهی‌ها را آورد و واژه «ربوده‌شده» دست‌به‌دست شد. واقعیت، که در گزارش باگ Mozilla مستند شده، متفاوت و از جهاتی عجیب‌تر است: هشت گواهی CA میانی متعلق به eMudhra، یک مرجع صدور گواهی هندی، کلیدهای خصوصی P-384 چنان ضعیفی داشتند که به‌سادگی قابل بازیابی بودند. کارکنان خود Mozilla ظرف چند ساعت پس از گزارش 17 اکتبر کلیدها را بازیابی کردند. eMudhra این ضعف را به یک اسکریپت معیوب تولید کلید نسبت می‌دهد که در مراسم کلید آوریل 2025 استفاده شد و از خطاهای انسانی در چندین مرحله سخن می‌گوید.

آنچه در پی آمد، کارکرد پرسرعت اکوسیستم اعتماد بود. به گزارش BleepingComputer, Firefox در 17 اکتبر یک مسدودسازی OneCRL منتشر کرد و به‌روزرسانی‌های Firefox 158.0.1 و ESR در 20 اکتبر برای کاربرانی آمد که تنظیماتشان به‌روزرسانی قبلی را مسدود کرده بود؛ Chrome نیز شش گواهی میانی دارای قابلیت TLS را در همان 17 اکتبر مسدود کرد و Apple در 19 اکتبر دنبال کرد؛ eMudhra هر هشت گواهی را در 18 اکتبر باطل کرد. سپس Mozilla حذف اضطراری اعتماد به ریشه والد emSign ECC Root CA - G3 را اعلام کرد و Chrome نیز به مسیری مشابه متعهد شد؛ eMudhra طبق اظهار خودش در گزارش باگ Mozilla برآورد می‌کند حدود 30,000 گواهی نیازمند مهاجرت خواهد بود.

دو هشدار صادقانه در دو جهت مخالف عمل می‌کنند. اطمینان‌بخش: هیچ شاهدی وجود ندارد که از کلیدهای ضعیف هرگز سوءاستفاده شده باشد و eMudhra می‌گوید هیچ گواهی نهایی از سری‌های آسیب‌دیده صادر نشده است. کمتر اطمینان‌بخش: یکی از کلیدهای خصوصی را یک پژوهشگر در GitHub منتشر کرد و نرم‌افزاری که مخزن اعتماد خودش را دارد یا بررسی ابطال را رد می‌کند (ردیاب حوادث Mozilla، به نقل BleepingComputer، نسخه curl داخلی macOS را مثال می‌زند) ممکن است تا به‌روزرسانی شدن همچنان به گواهی‌ها اعتماد کند. برای خواننده، کل اقدام لازم یک خط است: مرورگر و سیستم‌عامل خود را به‌روزرسانی کنید. مشکلات گواهی دقیقاً همان دسته‌ای است که VPN در آن هیچ چیزی را تغییر نمی‌دهد، هرچند یادآوری این نکته ارزش دارد که گواهی‌های جعلی یا با اعتماد نادرست بیشتر برای مهاجمی اهمیت دارند که از قبل می‌تواند ترافیک شما را شنود کند، و این یکی از دلایلی است که رمزگذاری اتصال در وای‌فای عمومی (به انگلیسی) هنوز بهداشت معقولی است.

چرا انتشار امروز PHP این‌قدر مهم بود؟

سه‌شنبه بعدازظهر، پروژه PHP اطلاعیه‌ای غیرعادی در php.net منتشر کرد: یک انتشار امنیتی برنامه‌ریزی‌شده برای چهارشنبه 21 اکتبر ساعت 14:00 به وقت UTC، برای رفع دو آسیب‌پذیری بحرانی، با جزئیات کاملی که همراه با خود انتشار منتشر خواهد شد. اعلام پیشاپیش یک اصلاحیه بحرانی، یک بده‌بستان عمدی است: به مدافعان یک روز برای برنامه‌ریزی پنجره‌های نگهداری می‌دهد، به بهای آنکه به مهاجمان بگوید چیز ارزشمندی در راه است. سپس انتشار کمی زودتر رسید: مهر زمانی اطلاعیه‌های GitHub ساعت 13:34 به وقت UTC، یعنی 15:34 به وقت پاریس، است و اعلامیه PHP با عنوان «آسیب‌پذیری‌های بحرانی اجرای کد از راه دور، همین حالا به‌روزرسانی کنید»، نسخه‌های اصلاح‌شده را PHP 8.5.12 و 8.4.27 و 8.3.36 و 8.2.35 معرفی می‌کند. این نسخه‌ها CVE-2026-109618 و CVE-2026-109619 را اصلاح می‌کنند، «دو آسیب‌پذیری بحرانی که می‌توانند اجازه اجرای کد از راه دور بدون احراز هویت را بدهند»، هر دو با امتیاز CVSS v4.0 برابر 9.2.

بیان این دو نقص ساده است. CVE-2026-109618، «اجرای کد از راه دور از طریق خرابی OOM»: مدیریت کمبود حافظه می‌تواند PHP را در حالی قطع کند که داده‌های داخلی درخواست فقط به‌طور جزئی مقداردهی اولیه شده‌اند، و پاک‌سازی درخواست ممکن است سپس داده‌های نامعتبر را معتبر تلقی کند. CVE-2026-109619، «اجرای کد از راه دور از طریق وضعیت سراسری مانده»: وضعیت داخلی متعلق به یک درخواست می‌تواند پس از آزاد شدن حافظه‌اش باقی بماند و درخواست بعدی که همان ورکر پردازش می‌کند ممکن است از آن استفاده کند، یک use after free. چه کسی در معرض خطر است، به گفته PHP: «همه نصب‌های PHP که درخواست‌های وب را سرویس می‌دهند، از جمله PHP-FPM، Apache با mod_php، php-cgi، FrankenPHP و LiteSpeed». خطر برای mod_php از همه بیشتر است، «با یک اکسپلویت نمایش‌داده‌شده که در آن یک درخواست بدون احراز هویت می‌تواند حمله را پیش از اجرای هر کد برنامه‌ای فعال کند». اکسپلویت نمایش‌داده‌شده با سوءاستفاده در دنیای واقعی یکی نیست؛ اطلاعیه PHP از حمله‌ای در دنیای واقعی خبر نمی‌دهد.

تحریم خبری به هر حال درز کرده بود. گزارش‌های شرکت‌های امنیتی، از جمله SecureLayer7، این نقص‌ها را با شناسه‌های CVE-2026-109618 و CVE-2026-109619 دنبال می‌کردند و گزارش دادند که یک اثبات مفهوم با نام «PHP2Shell» پیش از انتشار پدیدار شد؛ پروژه PHP آن را تأیید نکرده، هرچند SecureLayer7 گزارش می‌دهد دست‌کم یک شرکت امنیتی می‌گوید یکی از نقص‌ها را بازتولید کرده است. اطلاعیه‌های 21 اکتبر PHP هیچ سوءاستفاده‌ای در دنیای واقعی گزارش نمی‌کنند.

و بعد، نوبت همه کسانی است که روی یک شاخه قدیمی‌اند. اعلامیه یادآوری می‌کند «PHP 8.1 و قدیمی‌تر دیگر از پروژه PHP به‌روزرسانی دریافت نمی‌کنند»، هرچند برخی توزیع‌ها و فروشندگان LTS اصلاحیه‌های بک‌پورت‌شده ارائه می‌دهند. «با توجه به شدت موضوع»، تیم امنیتی PHP همچنین بک‌پورت‌های حداقلی سطح سورس را برای PHP 7.4 و 8.0 و 8.1 منتشر کرد، با هدف کسانی که از سورس می‌سازند یا فروشنده LTS ندارند؛ اینها وصله‌هایی برای اعمال کردن‌اند، نه نسخه‌های آماده. پروژه برای PHP 7.3 و قدیمی‌تر، از جمله PHP 5، هیچ بک‌پورتی منتشر نکرد. توزیع‌های لینوکس و فروشندگان LTS وصله‌ها را پیشاپیش دریافت کردند و خود PHP 8.2 در 31 دسامبر 2026 به پایان عمر می‌رسد. اطلاعیه PHP برای کسانی که نمی‌توانند فوراً به‌روزرسانی کنند اقدامات موقتی فهرست می‌کند، مانند تنظیم memory_limit روی -1، کاهش post_max_size یا غیرفعال کردن پیشرفت آپلود نشست، اما می‌گوید این اقدامات «مواجهه با مسیرهای حمله خاص را کاهش می‌دهند اما یک نصب را امن نمی‌کنند»؛ طبق یادداشت‌های انتشار، «به‌روزرسانی تنها انتخاب امن است».

نکته اصلی، مقیاس است. طبق W3Techs، PHP روی 69.3 درصد از وب‌سایت‌هایی اجرا می‌شود که زبان سمت سرور آنها شناخته‌شده است و از میان همین سایت‌های PHP، 27.0 درصد هنوز نسخه 7 و 7.7 درصد نسخه 5 را اجرا می‌کنند، شاخه‌هایی که سال‌ها پیش به پایان عمر رسیدند. سایت‌های نسخه 7 شامل PHP 7.4 هم می‌شوند که حالا دست‌کم یک بک‌پورت سطح سورس دارد؛ سایت‌های روی PHP 5 و روی نسخه‌های از 7.0 تا 7.3 هیچ بک‌پورتی از پروژه نمی‌گیرند. اطلاعیه 2026-018 از CERT-EU هشدار داده بود این آسیب‌پذیری‌ها می‌توانند همه نسخه‌های PHP از PHP 5 به بعد را تحت تأثیر قرار دهند؛ آن هشدار به قوت خود باقی است، در حالی که اطلاعیه‌های GitHub فقط شاخه‌های پشتیبانی‌شده، یعنی نسخه‌های پایین‌تر از 8.2.35 و 8.3.36 و 8.4.27 و 8.5.12، را به‌عنوان آسیب‌دیده فهرست می‌کنند و نسخه‌های به پایان عمر رسیده را برنمی‌شمارند. برای مدیران سیستم بخش اول این مطلب، این یعنی کارِ امشب و پروژه مهاجرت فصل آینده، که در همان سه‌شنبه‌ای اعلام شد که بقیه چیزها.

دیگر چه چیزهایی این هفته روی میز مدافعان فرود آمد؟

دوشنبه و سه‌شنبه هم چیزهایی اضافه کردند. اطلاعیه مشترک AA26-293A از CISA و FBI (مورخ 20 اکتبر) جزئیات SafePay را شرح می‌دهد، یک عملیات باج‌افزاری که از اوت 2024 دست‌کم 600 سازمان را هدف قرار داده است. به گفته اطلاعیه، برای جلوگیری از بازیابی قربانیان، SafePay سرویس Volume Shadow Copy را متوقف می‌کند و فضای ذخیره‌سازی پشتیبان متصل به شبکه را به تنظیمات کارخانه بازمی‌گرداند و در برخی موارد همه پشتیبان‌های متصل به شبکه را پاک می‌کند. توصیه اصلی اطلاعیه، خرد قدیمی با فوریتی تازه است: پشتیبان‌ها باید آفلاین، تغییرناپذیر و واقعاً آزمایش‌شده باشند، چون نسخه‌های قابل دسترسی از شبکه دقیقاً همان چیزی است که این گروه نابود می‌کند.

فهرست آسیب‌پذیری‌های مورد سوءاستفاده شناخته‌شده (KEV) سازمان CISA هم هفته سنگینی داشت: چهار نقص Plex Media Server که قابل زنجیره‌سازی‌اند در 20 اکتبر افزوده شدند، و این از آن رو مهم است که Plex از معدود ورودی‌های KEV است که در اتاق نشیمن‌هاست، نه در مراکز داده. پیش‌تر در همین هفته BeyondTrust Remote Support و Fortinet (16 اکتبر)، Atlassian Data Center (15 اکتبر) و Palo Alto PAN-OS، Cisco Secure Email Gateway و Ahsay (14 اکتبر) آمدند. برای هر ورودی شواهد سوءاستفاده در دنیای واقعی وجود دارد.

دو مورد دیگر قاب هفته را کامل کردند. یک گزارش اختصاصی Reuters در 19 اکتبر هکری را توصیف کرد که با استفاده از عامل‌های خودکار هوش مصنوعی برای نفوذ به بیش از 1,200 سایت تلاش کرد و به سایت‌های بیش از 100 شرکت نفوذ کرد، با هزینه‌ای حدود 50 دلار برای هر نفوذ، به گفته پژوهشگری در NorForge؛ Reuters نتوانست مشخص کند چه داده‌ای برداشته شده است. فارغ از حساب‌وکتاب نهایی، اقتصاد ماجرا خودِ داستان است: اگر یک نفوذ حدود 50 دلار هزینه داشته باشد، توجیه کاهش‌های بودجه در داده‌های ISC2 حتی سخت‌تر می‌شود. و سه‌شنبه، یک قطعی Google Cloud در منطقه لندن با رد شدن کارت‌های Revolut در سراسر اروپا هم‌زمان شد؛ خود Revolut شامگاه 20 اکتبر علت را تأیید کرد و در ساعت 19:39 به وقت پاریس اعلام کرد مشکل رفع و سرویس‌ها بازیابی شده‌اند و یک قطعی Google Cloud را علت نامید، Google قطعی خود را به یک رویداد برق در یکی از زون‌های منطقه لندن نسبت می‌دهد و هیچ چیزی آن را به PwnEscape پیوند نمی‌دهد. ما جداگانه در مطلب توضیحی قطعی Revolut آن را پوشش دادیم.

کل هفته در کنار هم چگونه به نظر می‌رسد؟

این هفته واقعاً چه باید بکنید؟

برای بیشتر خوانندگان، پاسخ صادقانه کوتاه است. مرورگر و سیستم‌عامل خود را به‌روزرسانی کنید، که بی‌سروصدا ماجرای گواهی‌ها را حل می‌کند. اگر در خانه Plex Media Server اجرا می‌کنید، همین امروز آن را به‌روزرسانی کنید؛ آن نقص‌ها در حال سوءاستفاده‌اند، نه صرفاً در حد نظریه. و منتظر فیشینگ‌هایی باشید که از تیترهای این هفته قرض می‌گیرند، از آن دست «حساب شما در نشت PHP افشا شد»؛ یک فیلتر DNS که دامنه‌های فیشینگ شناخته‌شده را پیش از بارگذاری مسدود می‌کند، مانند Threat Protection از Le VPN، اینجا کمک می‌کند، و اگر ایمیلی ادعا کرد نشانی ایمیل شما در یک نشت گرفتار شده، به جای کلیک روی پیوند، خودتان آن را با نشت‌های شناخته‌شده بسنجید. مرکز امنیت آنلاین ما (به انگلیسی) بقیه اصول پایه را پوشش می‌دهد.

اگر صاحب وب‌سایت هستید: همین امشب بفهمید کدام شاخه PHP را اجرا می‌کنید. روی 8.2 تا 8.5، به‌روزرسانی منتشر شده است: همین حالا 8.2.35 یا 8.3.36 یا 8.4.27 یا 8.5.12 را اعمال کنید، یا از میزبان خود بپرسید آیا اعمال شده است، چون توزیع‌های لینوکس و فروشندگان LTS وصله‌ها را پیشاپیش دریافت کردند. روی 7.4 یا 8.0 یا 8.1، گزینه‌ها بک‌پورت‌های حداقلی سطح سورس تیم امنیتی PHP یا اصلاحیه بک‌پورت‌شده یک فروشنده است. روی 7.3 یا قدیمی‌تر، از جمله PHP 5، این را همان اهرم فشاری بدانید که ارتقای به تعویق افتاده را جلو می‌اندازد و در این میان پیشنهاد CERT-EU را در نظر بگیرید: ایزوله کردن هر چیز در معرض اینترنت که قابل وصله نیست. اگر سایت شما روی یک VPS است، منصفانه است دو پرسش از ارائه‌دهنده بپرسید: آیا کرنل میزبان‌ها برای CVE-2026-99999 وصله شده و پنجره راه‌اندازی مجدد کی است. و بررسی کنید پشتیبان‌هایتان جایی وجود داشته باشند که دست باج‌افزار به آن نمی‌رسد: SafePay دقیقاً به این دلیل پشتیبان‌های متصل به شبکه را بازنشانی یا پاک می‌کند که قربانیان روی آنها حساب می‌کنند.

اگر مدیر افرادی هستید که این کار را انجام می‌دهند، اعداد نظرسنجی ابتدای این مطلب یک کنجکاوی منابع انسانی نیست؛ یک شاخص ریسک است. گزارش 2026 Voice of the CISO از Proofpoint نشان داد 77 درصد از مدیران ارشد امنیت می‌گویند انتظارات بیش از حدی بر آنها گذاشته شده و پژوهش IANS/Artico درباره تعامل هیئت‌مدیره نشان داد فقط 29 درصد از اعضای هیئت‌مدیره گزارش‌های سایبری دریافتی را بسیار مؤثر ارزیابی می‌کنند. تیمی که این هفته را صرف وصله کردن میزبان‌ها، چرخاندن گواهی‌ها و خواندن درزهای خبری در نیمه‌شب کرد، ماه آینده دوباره همین کار را می‌کند. اینکه آن را خوب انجام دهند یا در حین به‌روزرسانی رزومه‌هایشان، تا حدی به یک ردیف بودجه بستگی دارد.

یک بند صادقانه دیگر. یک VPN نمی‌توانست جلوی هیچ‌یک از رویدادهای این فهرست را بگیرد. VPN سرورها را وصله نمی‌کند، باگ‌های کرنل یا PHP را در سایت‌هایی که بازدید می‌کنید رفع نمی‌کند، جلوی قطعی‌های ابری را نمی‌گیرد و جایگزین به‌روزرسانی‌های مرورگری نیست که گواهی‌های بد را مسدود کردند. کاری که می‌کند محدودتر و همچنان مفید است: ترافیک میان دستگاه شما و سرور VPN را رمزگذاری می‌کند، به‌گونه‌ای که کسی در همان وای‌فای کافه نتواند آنچه می‌فرستید شنود کند. دانستن دقیق اینکه یک ابزار چه می‌کند، و گفتن آن، به نظر راه درستی برای پایان دادن به هفته‌ای آمد که با ترس از امور تأییدنشده پیش رفت.

اصلاحیه‌ها امروز بعدازظهر به وقت پاریس رسیدند. جایی، یک مدیر سیستم خسته ترمینالی باز و پنجره نگهداری‌ای رزرو کرده است، و تا پنجشنبه هیچ‌کس بیرون از تیم به یاد نخواهد آورد که اتفاقی افتاده است. امنیت وقتی کار می‌کند همین شکلی است: به‌ظاهر، هیچ چیز.