آسیب‌پذیری امنیتی PHP در Issabel؛ راهنمای آپدیت و ایمن‌سازی

آخرین ویرایش اکتبر 23, 2026 حامد کوه فلاح

اگر از Issabel 5 یا Issabel 4 استفاده می‌کنید، بررسی و به‌روزرسانی امنیتی PHP را جدی بگیرید. دو آسیب‌پذیری مهم با شناسه‌های CVE-2026-109618 و CVE-2026-109619 در PHP گزارش شده‌اند که در شرایطی می‌توانند امکان اجرای کد از راه دور (Remote Code Execution) را برای مهاجم فراهم کنند. این موضوع به‌ویژه برای سرورهایی که رابط وب آن‌ها از اینترنت قابل دسترسی است، اهمیت دارد.

در این مقاله، علت اهمیت این آسیب‌پذیری‌ها، روش به‌روزرسانی PHP در Issabel 5 و اقدامات موقت کاهش ریسک را بررسی می‌کنیم.

آسیب‌پذیری‌های جدید PHP چه خطری دارند؟

این دو آسیب‌پذیری به نحوه مدیریت حافظه و وضعیت داخلی درخواست‌ها در PHP مربوط هستند:

• CVE-2026-109618: نقص در مدیریت خطاهای کمبود حافظه (Out of Memory) که در شرایط خاص می‌تواند به تخریب وضعیت حافظه و اجرای کد منجر شود.
• CVE-2026-109619: نقص در مدیریت وضعیت داخلی درخواست‌ها که ممکن است باعث استفاده مجدد از داده‌های نامعتبر باقی‌مانده در حافظه شود.

این مشکلات صرفاً به یک وب‌سایت خاص محدود نیستند؛ هر برنامه‌ای که از نسخه آسیب‌پذیر PHP برای پردازش درخواست‌های وب استفاده کند، ممکن است در معرض خطر باشد. در نتیجه، رابط وب سیستم‌های تلفنی مبتنی بر Issabel نیز باید بررسی شود.

نکته مهم برای مدیران VoIP این است که ایمن بودن تنظیمات SIP یا فعال بودن فایروال به معنی ایمن بودن رابط وب PHP نیست. هر بخش از زیرساخت باید جداگانه به‌روزرسانی و ایمن‌سازی شود.

چگونه PHP را در Issabel 5 به‌روزرسانی کنیم؟

طبق اطلاعیه منتشرشده برای Issabel 5، نسخه اصلاح‌شده بسته‌های PHP با شماره 7.4.33-31 ارائه شده است. این نسخه با اصلاحات امنیتی مورد اشاره همراه است؛ بنابراین در Issabel 5 باید از بسته سازگار ارائه‌شده توسط مخزن معتبر پروژه استفاده کنید، نه اینکه PHP را بدون بررسی سازگاری به نسخه دیگری ارتقا دهید.

مرحله اول: بررسی نسخه فعلی PHP

با دسترسی SSH و کاربر دارای مجوز مدیریتی به سرور متصل شوید و اجرا کنید:

php -v
rpm -q php

این دستورات نسخه PHP و نسخه بسته نصب‌شده را نمایش می‌دهند. صرف مشاهده شماره نسخه 7.4.33 کافی نیست؛ اصلاح امنیتی ممکن است از طریق نسخه بازبینی‌شده بسته RPM ارائه شده باشد.

مرحله دوم: به‌روزرسانی بسته‌های PHP

ابتدا از تنظیمات و اطلاعات حیاتی سرور نسخه پشتیبان تهیه کنید و از دسترس‌پذیری مخازن معتبر اطمینان حاصل کنید.

سپس در Issabel 5 اجرا کنید:

yum update 'php*'

تغییرات پیشنهادی مدیر بسته را بررسی کنید و مطمئن شوید که بسته‌ها از مخازن معتبر و سازگار با نسخه Issabel دریافت می‌شوند.

توجه: پیش از تأیید عملیات، فهرست بسته‌هایی را که قرار است نصب، به‌روزرسانی یا حذف شوند بررسی کنید؛ تغییرات گسترده و ناسازگار ممکن است عملکرد رابط وب یا ماژول‌های سیستم تلفنی را مختل کند.

مرحله سوم: اگر مخزن PHP به‌روز نبود

اگر مخازن هنوز بسته اصلاح‌شده را ارائه نمی‌کنند یا انتخاب نسخه PHP با مشکل مواجه است، اطلاعیه رسمی Issabel را بررسی کنید.

در صورتی که راهنمای رسمی پروژه همچنان استفاده از ماژول Remi برای PHP 7.4 را توصیه می‌کند، دستورات زیر برای بازنشانی و فعال‌سازی ماژول مربوط ارائه شده‌اند:

yum module reset php
yum module enable php:remi-7.4

سپس وضعیت مخازن و بسته‌های در دسترس را بررسی کنید.

این دستورات را بدون بررسی وضعیت مخازن، وابستگی‌ها و تنظیمات فعلی سرور اجرا نکنید. پس از آماده شدن مخزن، به‌روزرسانی بسته‌ها را انجام دهید.

چگونه از اعمال اصلاح امنیتی مطمئن شویم؟

پس از نصب بسته‌ها، می‌توانید سابقه تغییرات بسته PHP را بررسی کنید:

rpm -q --changelog php | grep -B1 CVE-2026-109618

در صورت وجود اصلاح مورد انتظار، باید ورودی مرتبط با آسیب‌پذیری‌های اعلام‌شده در خروجی دیده شود؛ از جمله شناسه‌های CVE-2026-109618 و CVE-2026-109619.

اگر خروجی خالی بود، به این معنی نیست که سرور حتماً آسیب‌پذیر است؛ ممکن است نام بسته، قالب changelog یا شیوه ارائه اصلاح در مخزن متفاوت باشد. در این وضعیت، نسخه دقیق بسته و اطلاعیه مخزن Issabel را بررسی کنید.

پس از به‌روزرسانی، سرویس‌های مرتبط را مطابق دستورالعمل رسمی راه‌اندازی مجدد کنید. در اطلاعیه ارائه‌شده برای این به‌روزرسانی، راه‌اندازی مجدد سرور نیز توصیه شده است؛ زمان انجام آن را با توجه به حساسیت سرویس تلفنی و امکان قطعی برنامه‌ریزی کنید.

اگر امکان به‌روزرسانی فوری وجود ندارد چه کنیم؟

تیم Issabel اسکریپتی برای کاهش موقت ریسک مرتبط با قابلیت session.upload_progress معرفی کرده است. این قابلیت معمولاً برای عملکرد اصلی PBX ضروری نیست، اما باید پیش از غیرفعال‌سازی، نیازهای سامانه و ماژول‌های نصب‌شده بررسی شوند.

دستور اعلام‌شده در اطلاعیه:

curl -fsSL http://repo.issabel.org/scripts/disable-upload-progress.sh | sudo bash

هشدار امنیتی: این دستور اسکریپت را از شبکه دریافت کرده و مستقیماً با مجوز مدیریتی اجرا می‌کند. پیش از اجرا، اصالت منبع را از کانال رسمی Issabel تأیید کنید و ترجیحاً اسکریپت را دریافت و محتوای آن را بررسی کنید. استفاده از HTTP نیز امکان اعتبارسنجی رمزنگاری‌شده ارتباط را فراهم نمی‌کند؛ در صورت ارائه نسخه HTTPS معتبر از سوی پروژه، آن را ترجیح دهید.

طبق اطلاعیه تکمیلی، نسخه جدید اسکریپت علاوه بر غیرفعال‌کردن قابلیت پیشرفت آپلود نشست، تنظیماتی از جمله موارد زیر را اعمال می‌کند:

• session.upload_progress.enabled=0
• memory_limit=-1
• post_max_size=32M
• upload_max_filesize=24M

این مقادیر را پس از اجرا بررسی کنید و توجه داشته باشید که memory_limit=-1 محدودیت حافظه اعمال‌شده از سوی PHP را حذف می‌کند. برای جلوگیری از مصرف بیش از حد منابع، باید محدودیت منابع سیستم‌عامل یا cgroup نیز متناسب با معماری سرور در نظر گرفته شود.

همچنین مقادیر مربوط به آپلود ممکن است روی ماژول‌هایی که فایل‌های بزرگ دریافت می‌کنند اثر بگذارند. اگر از قابلیت‌هایی مانند بارگذاری فایل‌های ضبط مکالمه یا Firmware استفاده می‌کنید، تنظیمات را متناسب با نیاز واقعی بررسی کنید.

این اسکریپت جایگزین نصب اصلاح امنیتی رسمی PHP نیست. اقدامات موقت تنها می‌توانند برخی مسیرهای حمله را محدود کنند؛ به‌روزرسانی بسته اصلاح‌شده همچنان اولویت اصلی است.

آیا Issabel 4 هم باید بررسی شود؟

بله. اطلاعیه پیشگیرانه Issabel به کاربران Issabel 4 و Issabel 5 توصیه می‌کند وضعیت این قابلیت PHP را بررسی کنند. با این حال، روش به‌روزرسانی و بسته‌های قابل نصب در این دو نسخه لزوماً یکسان نیستند.

پیش از نصب هر بسته، سازگاری آن با نسخه سیستم‌عامل، نسخه Issabel و مخازن فعال را بررسی کنید. از نصب بسته‌های متعلق به نسخه‌های دیگر یا ارتقای مستقل PHP بدون ارزیابی وابستگی‌ها خودداری کنید.

جمع‌بندی

آسیب‌پذیری‌های PHP یادآوری می‌کنند که امنیت سیستم تلفنی فقط به تنظیمات SIP، فایروال و محدودسازی دسترسی‌ها وابسته نیست. اجزای وب، PHP و ماژول‌های مدیریتی نیز بخشی از سطح حمله سرور Issabel هستند.

برای کاهش ریسک:

1. نسخه و بسته PHP را بررسی کنید.
2. اصلاح امنیتی سازگار با نسخه Issabel را از مخزن معتبر نصب کنید.
3. نتیجه به‌روزرسانی را با بررسی بسته و changelog تأیید کنید.
4. اگر به‌روزرسانی فوری ممکن نیست، اقدامات موقت را با درک اثرات آن‌ها اجرا کنید.
5. از سرویس پشتیبان، برنامه بازگشت و زمان‌بندی مناسب برای تغییرات روی PBX اطمینان حاصل کنید.

امنیت پایدار در VoIP با به‌روزرسانی منظم، مدیریت صحیح دسترسی‌ها، پایش و شناخت وابستگی‌های سیستم به دست می‌آید.

آموزش تخصصی VoIP با VOIPIRAN

اگر می‌خواهید علاوه بر مدیریت Issabel، با هسته Asterisk، دیال‌پلن، مسیریابی تماس، یکپارچه‌سازی با نرم‌افزارها و عیب‌یابی تخصصی آشنا شوید، دوره متخصص استریسک VOIPIRAN می‌تواند مسیر مناسبی برای توسعه مهارت‌های فنی شما باشد.

همچنین در دوره جامع مهندسی ویپ و ایزابل، موضوعاتی مانند طراحی زیرساخت تلفنی، نصب و پیکربندی Issabel، راه‌اندازی داخلی‌ها و صف‌ها، امنیت، پشتیبان‌گیری و عیب‌یابی سیستم‌های تلفنی بررسی می‌شوند.

برای آشنایی با سرفصل‌ها و جزئیات دوره‌ها، صفحات آموزشی VOIPIRAN را ببینید.

• دوره متخصص استریسک: دوره Asterisk Advanced در VOIPIRAN
• دوره جامع مهندسی ویپ و ایزابل: دوره Issabel Engineering در VOIPIRAN