Lühidalt: MediaWiki turvalisus algab pärast PHP2Shelli serveri PHP-st, sest turvaauk asub seal, mitte wikis. Sisemisi wikisid ei puututa sageli aastaid ja need töötavad vanadel PHP versioonidel. Kontrollige seisu lehel Spezial:Version, paigake ja taaskäivitage ning vaadake seejärel üle LocalSettings.php, images ja liidese administraatorid.
Miks sisemised wikid on tasuv sihtmärk
MediaWiki on paljudes ettevõtetes, asutustes ja uurimisasutustes sisemine käsiraamat. Seal on töövood, kontaktisikud, võrguplaanid, juhendid serverite jaoks ja vahel isegi ligipääsuandmed, mis sinna ei kuulu. Ründaja jaoks on selline wiki ettevõtte kaart.
PHP turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi kaugkäivitamist ilma sisselogimiseta. „Ainult sisemiseks“ mõeldud wiki, mis on siiski internetist kättesaadav, on seega otse ründamisele avatud. Ja kuna wikid on harva IT fookuses, töötavad nad sageli vanadel serveritel, tihti veel PHP-ga Apache'i moodulina, PHP meeskonna andmetel kõrgeima riskiga töörežiimis.
MediaWiki turvalisus: PHP versiooni ja paigataseme kontrollimine
Leht Special:Version näitab MediaWiki, PHP ja andmebaasi versiooni ning kõiki paigaldatud laiendusi ja kujundusi (skin). Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Paljud wiki serverid töötavad tagasiportimisega (backport) Linuxi distributsioonidel; kuvatud number jääb siis samaks, kuigi on paigatud.
Kui wiki töötab PHP 8.1 või vanemal, ei anna PHP projekt enam ametlikke uuendusi, ainult minimaalseid lähtekoodi tagasiportimisi versioonidele 7.4, 8.0 ja 8.1. Mis siis kehtib, võtab kokku leht PHP 8.1 ja vanemad. Milliseid PHP versioone teie MediaWiki versioon toetab, kontrollige süsteeminõuete järgi lehel mediawiki.org. PHP vahetus võib eeldada MediaWiki upgrade'i.
Hooldusskriptid ja job-runner'id töötavad käsurea PHP-ga. Ka see versioon peab olema paigatud. Kui tööde järjekord töötab püsiteenusena, peab see pärast uuendust samamoodi taaskäivituma nagu veebiserver või PHP-FPM. mod_php puhul tähendab see Apache'i enda taaskäivitust, sest PHP asub seal veebiserveri protsessis.
Selgitage lisaks, kellele wiki kuulub. Sisemised wikid on sageli seadistanud eriosakond ja need töötavad väljaspool tavapärast serverihooldust. Ilma selge vastutuseta jääb PHP uuendus seal kõige kauem tegemata.
Kataloogid ja failid MediaWikis
| Koht | Sisu | Kontrollpunkt |
|---|---|---|
LocalSettings.php |
Andmebaasi ligipääs, $wgSecretKey, $wgUpgradeKey, õigused, üleslaadimise sätted |
Sissetoodud kood, võtmed kahtluse korral uuendada |
images/ |
Üleslaaditud failid ja eelvaatepildid | PHP faile pole, PHP käivitamist pole |
extensions/, skins/ |
Laiendused ja kujundused | Tundmatud või muudetud failid |
cache/ |
Vahemälu | Pärast puhastamist tühjendada |
maintenance/ |
Hooldusskriptid käsurealt | Mitte kasutada veebi kaudu |
Üleslaadimiskataloog ei tohiks veebiserveri tasemel skripte käivitada. Apache'i all saab seda teha olenemata PHP töörežiimist nii:
<Directory "/var/www/wiki/images">
<FilesMatch "\.(php|phtml|phar)$">
Require all denied
</FilesMatch>
</Directory>
Ohutu esimene kontroll:
find images -type f -name "*.php*"
ls -l LocalSettings.php
Kontrollige lehti MediaWiki:Common.js ja MediaWiki:Common.css versiooniajaloos. Muudatused seal mõjuvad igale wiki külastajale ja on sissetoodud koodi tüüpiline koht.
Õigused, grupid ja laiendused
MediaWikis otsustavad turvalisuse üle kasutajagrupid. Kontrollige lehtedel Spezial:Benutzer ja Spezial:Benutzerrechte, kes kuuluvad gruppidesse administraatorid, bürokraadid ja liidese administraatorid (interface administrators). Liidese administraatorid saavad muuta kogu wiki JavaScripti; see grupp peaks olema väga väike.
Sisemise wiki puhul peaks lugemine ilma sisselogimiseta olema välja lülitatud ja uute kontode registreerimine blokeeritud. Üleslaadimisi lubage ainult failitüüpidele, mida tõesti vajatakse. Laiendused toovad kaasa oma PHP koodi; hooldamata laiendused pidurdavad lisaks iga upgrade'i. Serveri failiõiguste kohta annab juhiseid juhend Failiõigused veebiserveris.
Mida MediaWiki uuendus suudab ja mida mitte
MediaWiki uuendus asendab tuumiku ja sulgeb selle teadaolevad vead. See ei paiga PHP-d, ei taaskäivita PHP protsesse, ei muuda faili LocalSettings.php ning ei eemalda faile kaustas images/, muudatusi lehel MediaWiki:Common.js ega lisagrupiliikmeid. See ei tõenda ka, et enne paika keegi kaasa ei lugenud.
Kiire ülevaate annavad lisaks logiraamatud lehel Spezial:Logbuch. Uued kasutajakontod, grupiõiguste muudatused ja liidese lehtede redigeerimised alates 17.10.2026 on seal ajatempliga märgitud.
Kuidas PHP SOS konkreetselt aitab?
- Kontrollime teie wiki serveri PHP versiooni, töörežiimi ja tagasiportimise seisu ning laseme taaskäivituse kinnitada.
- Varundame logid alates 20.10.2026, andmebaasi ja failid.
- Kontrollime
LocalSettings.php, üleslaadimisi, laiendusi, grupiõigusi ja liidese lehtede versiooniajalugu. - PHP2Shelli kohese abi raames hindame koos teiega, kas wiki peab avalikult kättesaadavaks jääma.
Korduma kippuvad küsimused
Kas MediaWiki on PHP2Shellist mõjutatud?
MediaWikil endal uut turvaauku ei ole, kuid see töötab PHP peal. Kui serveri PHP ei ole paigatud, võib ründaja PHP meeskonna andmetel koodi käivitada ilma sisselogimiseta. MediaWiki uuendus turvaauku ei sulge.
Kust ma oma wiki PHP versiooni näen?
Lehel Special:Version loetleb MediaWiki paigaldatud tarkvara, sealhulgas PHP versiooni. Kas tagasiportimine (backport) on sisse toodud, numbrist ei selgu; seda kinnitab serveri haldaja.
Miks on MediaWiki:Common.js risk?
Selle lehe sisu serveeritakse JavaScriptina kõigile wiki külastajatele. Kes seda muuta saab, saab käivitada koodi iga kasutaja brauseris. Seetõttu peaks liidese administraatorite grupp olema väga väike.
Kas piisab, kui wiki on ainult sisemiselt kättesaadav?
Ainult ettevõtte võrgus või VPN-i kaudu kättesaadav wiki vähendab riski oluliselt, sest internetist tulevad ründajad seda otse kätte ei saa. Paigata tuleb siiski, sest rünnak võib tulla ka sisevõrgust.