Lühidalt: Suur osa levinud sisuhaldussüsteemidest (CMS) ja poesüsteemidest on kirjutatud PHP-s, nende hulgas WordPress koos WooCommerce'iga, TYPO3, Joomla, Drupal, Contao, Shopware, Magento ehk Adobe Commerce ja PrestaShop. Lisanduvad sisemised rakendused nagu Nextcloud, Moodle, MediaWiki ja Matomo. Kes kasutab üht neist süsteemidest, on PHP interpretaatoris olevatest aukudest nagu PHP2Shell mõjutatud, sõltumata sellest, kui ajakohane CMS ise on.
Miks nii paljud veebisaidid PHP-l töötavad
PHP on 1990. aastatest peale veebiserveritele kohandatud ja saadaval praktiliselt igal veebimajutajal. PHP-põhist CMS-i saab seetõttu käitada ilma oma serveritaristuta, mis oli ja on atraktiivne eriti väikestele ja keskmise suurusega ettevõtetele, ühingutele ja ametiasutustele.
Käitajale tähendab see: veebisait ei ole mitte ainult „WordPress“ või „Shopware“, vaid mitmest kihist koosnev pinu. All töötab operatsioonisüsteem, selle peal veebiserver, siis PHP interpretaator ja päris peal CMS koos laienduste. Iga kiht vajab oma uuendusi. Auk PHP-s tabab kõiki süsteeme, mis sellele ehitavad.
Lisanduvad laiendused: pistikprogrammid, teemad, moodulid ja poeliidesed on samuti PHP kood, sageli väikestelt pakkujatelt. Need töötavad samade õigustega nagu CMS ja neid täidab sama PHP käitusaeg. Paljude laiendustega CMS-il on seetõttu suurem ründepind kui õhukesel paigaldusel, isegi kui tuum on ajakohane.
Üksikute süsteemide leviku numbreid me siin ei too. Selleks puudub allikas, mida peaksime usaldusväärseks ja võrreldavaks.
Levinud PHP-põhised CMS-id ja poesüsteemid
Tabelis on tuntud süsteemid ja see, mida tootjad ise oma tehnilise aluse kohta ütlevad. Versiooninõudeid me teadlikult ei nimeta, sest need muutuvad iga väljalaskega.
| Süsteem | Liik | Märkus tehnilise aluse kohta |
|---|---|---|
| WordPress, WooCommerce | CMS, poelaiendus | PHP rakendus, nõuete järgi MySQL või MariaDB |
| TYPO3 | CMS | dokumentatsiooni järgi vajab veebiserverit, PHP-d ja SQL-andmebaasi |
| Joomla | CMS | PHP koos MySQL-i, MariaDB või PostgreSQL-iga |
| Drupal | CMS | PHP; tuuma laiendused failis core/composer.json |
| Contao | CMS | tootja järgi Symfony Full-Stack raamistikul |
| Craft CMS | CMS | tootja nimetab kasutatavate tööriistade hulgas Yii-d |
| Shopware 6 | pood | arendajadokumentatsioon käsitleb pistikprogramme Symfony bundle'itena |
| Magento Open Source, Adobe Commerce | pood | PHP ja Composer süsteeminõuetes |
| PrestaShop | pood | PHP oma ühilduvustabeliga |
| Nextcloud | failihoidla | Apache mod_php või PHP-FPM-iga, Nginx PHP-FPM-iga |
| Moodle | õpiplatvorm | dokumentatsiooni järgi arendatud PHP-s |
| MediaWiki, Matomo | wiki, statistika | PHP paigaldusnõuete järgi |
Paljud neist süsteemidest kasutavad seespidiselt PHP raamistike ehituskive ja laadivad teeke Composeri kaudu. Enamiku jaoks on meil omad lehed kaitsmise vihjetega, näiteks WordPress, Shopware 6 ja TYPO3.
Kuidas ma saan teada, kas minu veebisait töötab PHP-l?
Paljud ettevõtted ei tea täpselt, millised süsteemid nende juures töötavad, eriti kui veebisaidi on ehitanud agentuur. Need sammud annavad selguse:
- Inventuuri koostamine: Loetlege kõik domeenid, alamdomeenid ja sisemised veebiliidesed, ka testsüsteemid ja vanad kampaaniaveebisaidid.
- Küsige veebimajutajalt või agentuurilt: Milline süsteem, milline PHP versioon, milline töörežiim (PHP-FPM, mod_php, LiteSpeed)? Paluge kirjalikku vastust.
- Vaadake majutuspaneeli: Pleskis, cPanelis ja sarnastes liidestes on PHP versioon veebisaidi kohta kirjas. Arvestage, et distributsiooni backportid kuvatavat numbrit ei muuda.
- Kontrollige serveris: Administraatorid näevad protsessidest ja veebiserveri seadistusest, milline PHP käitusaeg tegelikult edastab.
- Ärge unustage seadmeid: NAS-süsteemidel, ruuteritel ja seadmetel on sageli veebiliides, mis võib samuti PHP-l töötada.
# Serveris: millised PHP protsessid töötavad?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Võtke süsteeminõudeid tõsiselt
Iga tootja avaldab, millise PHP versioonidega tema tarkvara on testitud. Need andmed on iga uuenduskava alus: PHP uuendus versioonile, mida CMS veel ei toeta, võib veebisaidi rivist välja viia. CMS, mis töötab ainult PHP versiooniga ilma turvauuendusteta, on püsiv risk.
Kontrollige seetõttu tootja süsteeminõuete järgi oma täpse versiooni jaoks, millised PHP versioonid kõne alla tulevad, ja sobitage see parandatud PHP versioonidega. Süsteemide jaoks, mis töötavad ainult PHP 8.1 või vanemaga, PHP projektilt ametlikke uuendusi enam ei ole.
Mida PHP2Shell CMS-i ja poe käitajatele tähendab
PHP2Shell koosneb aukudest CVE-2026-109618 ja CVE-2026-109619 PHP interpretaatoris, mõlemad CVSS 9,2. Need võimaldavad kahjuliku koodi käivitamist ilma sisselogimiseta. Parandatud on need versioonides PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. CMS-i uuendus neid auke ei sulge; miks, selgitab meie artikkel Miks WordPressi uuendus PHP2Shelli vastu ei aita.
Poodide jaoks kaalub see eriti palju, sest seal asuvad kliendiandmed, tellimused ning maksete ja saatmisteenuste ligipääsuandmed. Paik ei eemalda lisaks pahavara, mis enne sisse toodi, ja ei tõesta, et midagi ei juhtunud.
Kuidas PHP SOS konkreetselt aitab?
- Koostame teie PHP-põhiste veebisaitide ja sisemiste rakenduste inventuuri koos süsteemi, PHP versiooni ja töörežiimiga.
- Sobitame tootjate nõuded parandatud PHP versioonidega ja planeerime uuenduse süsteemi kaupa.
- Paigaldame PHP uuendused, käivitame kõik protsessid uuesti ja kontrollime seejärel, kas CMS ja pood töötavad korrektselt.
- Intsidendikahtluse korral uurime süsteemi PHP2Shelli kiirabi raames.
Korduma kippuvad küsimused
Kas WordPress töötab PHP-l?
Jah. WordPress on PHP rakendus ja vajab ametlike nõuete järgi PHP-d ning MySQL-i või MariaDB andmebaasi. Seega puudutavad PHP interpretaatoris olevad augud iga WordPressi paigaldust, sõltumata WordPressi enda seisust.
Kas CMS-i uuendus aitab PHP2Shelli vastu?
Ei. Auk asub PHP-s, mitte CMS-is. drweb.de andmetel ei plaani WordPress.org seetõttu ka oma uuendust selle vastu. Suletakse see ainult parandatud PHP versiooniga ja kõigi PHP protsesside taaskäivitusega.
Kuidas ma saan teada, millist PHP versiooni minu pood vajab?
Tootja süsteeminõuetest teie konkreetse versiooni kohta. Need andmed muutuvad iga suurema väljalaskega, seetõttu tuleks need otse tootjalt järele lugeda, mitte võtta vanematest juhenditest.
Kas ka sisemised rakendused on mõjutatud?
Jah, kui need töötavad PHP-l. Failihoidlad nagu Nextcloud, õpiplatvormid nagu Moodle, sisemised wikid MediaWikiga või Matomo statistika jaoks on PHP rakendused. Inventuuride käigus unustatakse need sageli ära.
Kas veebisait, mille aadressis ei ole .php, ei ole PHP?
Mitte tingimata. Kaasaegsed süsteemid suunavad kõik aadressid keskse index.php kaudu, nii et URL-is ei ilmu .php kunagi. Kindel on ainult pilk serverisse või veebimajutaja või agentuuri vastus.