# Comhaid chroí CMS a chur i gcomparáid leis an mbunleagan

> Comhaid chroí CMS a chur i gcomparáid leis an mbunleagan: suimeanna seiceála, bunsraith ghlan agus diff do WordPress, Composer agus pacáistí córais.

Foinse: https://phpsos.de/ga/blog/cms-kerndateien-vergleichen/  
Staid: 25/10/2026  
Soláthraí: PHP SOS, Cabhair éigeandála PHP agus slándáil freastalaí. Cabhair láithreach trí WhatsApp: https://wa.me/491736494914?text=Dia%20duit%2C%20a%20PHP%20SOS%2C%20t%C3%A1%20cabhair%20de%20dh%C3%ADth%20orainn%20len%C3%A1r%20bhfreastala%C3%AD%20PHP.%20Cuideachta%3A%20%E2%80%A6%20Su%C3%ADomh%20gr%C3%A9as%C3%A1in%3A%20%E2%80%A6

**Go achomair:** Chun comhaid chroí CMS a sheiceáil, cuir na comhaid shuiteáilte i gcomparáid le bunleagan glan den leagan céanna: i WordPress trí na suimeanna seiceála oifigiúla, i gcórais eile trí íoslódáil úr nó trí thógáil as composer.lock. Is tasc seiceála gach diall. Aimsíonn an chomparáid cód mailíseach anaithnid freisin, ach ní chlúdaíonn sí ach comhaid a bhfuil bunleagan acu.

## Cén fáth a bhfaigheann an chomparáid níos mó ná aon síniú

Cuardaíonn scanóirí malware patrúin aitheanta. An méid nach bhfuil aithne acu air, caillfidh siad é. Oibríonn comparáid leis an mbunleagan ar an mbealach eile: ní fhiafraíonn sí an bhfuil cuma amhrasach ar chomhad, ach an gcomhfhreagraíonn sé go beacht don mhéid a sheachaid an monaróir. Tarraingíonn gach diall aird, cibé an leanann sé patrún aitheanta nó nach leanann.

Tá sé seo thar a bheith luachmhar tar éis PHP2Shell. Do na leochaileachtaí CVE-2026-109618 agus CVE-2026-109619 níl aon Indicators of Compromise deimhnithe foilsithe ann. Ní féidir le scanóirí mar sin cuardach a dhéanamh go sonrach ar rianta PHP2Shell. Ar an láimh eile, aimsíonn comparáid leis an mbunleagan gach athrú ar an gcroí, is cuma conas a tháinig sé chun cinn. Míníonn an t-alt [Scanóirí malware do shuímh gréasáin: an méid a aimsíonn siad agus an méid nach n-aimsíonn](https://phpsos.de/ga/blog/grenzen-von-malware-scannern/) cén fáth nach leor scanóirí leo féin.

## An prionsabal: an leagan céanna, foinse ghlan

Níl comparáid maith ach chomh maith lena tagairt. Ní mór trí choinníoll a chomhlíonadh:

1. **Go beacht an leagan céanna:** Léiríonn comparáid le leagan níos nua na céadta difríocht neamhdhíobhálach. Faigh amach an leagan suiteáilte ón bhfeidhmchlár nó ó `composer.lock`.
2. **Foinse oifigiúil:** Is ón monaróir, ón eolaire oifigiúil pacáistí nó ó do chóras rialaithe leaganacha féin a thagann an bunleagan. Ní ó sheanchúltaca den fhreastalaí lena mbaineann.
3. **Comparáid ar chóip:** Oibrigh ar chóip chinntithe den eolaire gréasáin ionas go gcaomhnaítear stampaí ama agus rianta.

| Córas | Tagairt | Uirlis |
|---|---|---|
| Croílár WordPress agus breiseáin ón eolaire | suimeanna seiceála ó WordPress.org | `wp core verify-checksums`, `wp plugin verify-checksums` |
| Tionscadail Composer (m.sh. Shopware 6, Laravel, Symfony, Drupal, TYPO3 i mód Composer) | tógáil as `composer.lock` | `composer install` in eolaire folamh, ansin `diff` |
| CMS le pacáiste íoslódála | pacáiste den leagan céanna ón monaróir | `diff -rq` |
| Tionscadail féin le Git | an commit aitheanta deireanach | `git status`, `git diff` |
| Pacáistí córais an fhreastalaí | bunachar sonraí pacáistí an dáilte | `dpkg --verify`, `rpm -Va` |

## WordPress: níos mó ná verify-checksums

Conas a sheiceálann tú an croílár agus na breiseáin le WP-CLI, tá sé sa treoir [Dorais chúil i WordPress a aimsiú](https://phpsos.de/ga/ratgeber/backdoor-wordpress-finden/). Is fiú forlíonadh amháin: de réir doiciméadacht WP-CLI, seiceálann an rogha `--include-root` gach comhad agus fillteán sa phríomh-eolaire agus tugann sí rabhadh faoi iontrálacha nach mbaineann le WordPress. Ansin is maith le hionsaitheoirí comhaid a fhágáil a mbíonn a n-ainmneacha cosúil le comhaid chroí.

```bash
# Croílár i gcoinne suimeanna seiceála oifigiúla, comhaid choimhthíocha sa phríomh-eolaire san áireamh
wp core verify-checksums --include-root
```

Ní chlúdaíonn an bealach seo breiseáin ná téamaí tráchtála. Do na cinn sin, íoslódáil an bunphacáiste den leagan céanna ón soláthraí agus cuir i gcomparáid le `diff`.

## Comhaid chroí CMS a sheiceáil i dtionscadail Composer

Is as pacáistí a shuiteálann Composer, bainisteoir pacáistí PHP, atá cuid mhór d'fheidhmchláir PHP nua-aimseartha comhdhéanta. Míníonn an leathanach [Composer: bainisteoir pacáistí PHP](https://phpsos.de/ga/php/composer/) conas a oibríonn sé. Taifeadann an comhad `composer.lock` go beacht cé na leaganacha atá suiteáilte. De réir dhoiciméadacht Composer úsáideann `composer install` na leaganacha beachta sin. Mar sin is féidir an staid seachadta a atógáil:

```bash
# Ar chóras glan, ní ar an bhfreastalaí lena mbaineann
mkdir /tmp/referenz && cd /tmp/referenz
cp /pfad/zur/kopie/composer.json /pfad/zur/kopie/composer.lock .
composer install --no-scripts --no-plugins --no-autoloader

# Difríochtaí san fhillteán vendor a liostú
diff -rq /tmp/referenz/vendor /pfad/zur/kopie/vendor
```

Cuireann na roghanna `--no-scripts` agus `--no-plugins` cosc ar scripteanna ó na pacáistí a rith le linn na tógála. Má suiteáladh an táirgeadh le `--no-dev`, úsáid an rogha sin leis le linn na tógála, nó beidh pacáistí forbartha le feiceáil mar dhifríocht. Tabhair aird ar dhá chineál toraidh: comhaid atá éagsúil agus comhaid nach bhfuil ann ach ar an bhfreastalaí. Is minic gurb í an dara grúpa an ceann is suimiúla. Conas a sheiceálann tú na pacáistí suiteáilte do leochaileachtaí aitheanta ar bhealach breise, déanann an treoir [Spleáchais Composer a sheiceáil do leochaileachtaí](https://phpsos.de/ga/ratgeber/composer-abhaengigkeiten-pruefen/) cur síos air.

## An córas oibriúcháin a chur i gcomparáid freisin

Má bhí cearta root ag ionsaitheoir, d'fhéadfadh sé cláir chórais a chur ina n-ionad. Tá comparáid dá cuid féin ag na bainisteoirí pacáistí:

```bash
# Debian, Ubuntu: comhaid a bhfuil a n-inneachar éagsúil leis an bpacáiste
sudo dpkg --verify

# RHEL, AlmaLinux, Rocky: gach pacáiste a sheiceáil
sudo rpm -Va
```

Ciallaíonn `5` sa tríú háit den aschur gur athraigh inneachar comhaid. De réir lámhleabhar dpkg is é an chomparáid inneachair an t-aon seiceáil éifeachtach faoi láthair. Is gnách go mbíonn comhaid chumraíochta athraithe agus marcáiltear iad le `c`. Ar an láimh eile, is comhartha tromchúiseach aláraim é clár athraithe in `/usr/bin`. Tabhair faoi deara: is féidir le hionsaitheoir le cearta root an bunachar sonraí pacáistí a ionramháil freisin. Má tá amhras ann faoi rochtain root, tá aththógáil níos iontaofa ná aon chomparáid.

> **Leid:**
> Déanann córas rialaithe leaganacha do chód an fheidhmchláir comparáidí amach anseo ina ábhar de shoicindí. Léiríonn `git status` ansin gach diall ón staid cheadaithe.

## Dialla a mheas agus teorainneacha a aithint

Ní ionsaí gach diall. Chuir roinnt gníomhaireachtaí comhaid chroí in oiriúint go díreach roimhe seo in ionad síntí a úsáid. Cruthaíonn pacáistí teanga, deireadh línte tar éis aistrithe trí FTP nó ceartúcháin a cuireadh isteach ina dhiaidh sin difríochtaí freisin. Is é an rud is tábhachtaí an féidir le duine éigin an t-athrú a mhíniú.

Téigh trí gach diall ina n-aonar agus breac síos an toradh: aitheanta agus doiciméadaithe, inmínithe go neamhdhíobhálach nó neamhchlaochlaithe. Ní osclaíonn tú comhaid neamhchlaochlaithe ach mar théacs ar chóip agus cuireann tú ionad orthu ón bhfoinse ghlan. I gcás comhad nach bhfuil ann ach ar an bhfreastalaí, tá an cheist níos simplí: an té nach bhfuil aithne aige orthu, ba cheart dó iad a chinntiú agus iad a bhaint tar éis a n-inneachar a sheiceáil.

Níl bunleagan ag uaslódálacha, comhaid chumraíochta ar nós `wp-config.php` nó `.env`, oiriúnuithe féin ná taisceanna. Ní mór iad a sheiceáil go sonrach, mar aon leis an mbunachar sonraí, cronjobs, cuntais úsáideora agus eochracha SSH. Is bloc tógála tábhachtach é comparáid ghlan mar sin, ach ní saoradh é don fhreastalaí ar fad.

## Conas a chabhraíonn PHP SOS go nithiúil?

- Faighimid amach na leaganacha suiteáilte agus tógaimid tagairt ghlan as foinsí oifigiúla.
- Cuirimid an croílár, síntí, pacáistí Composer agus cláir chórais i gcomparáid agus measaimid gach diall.
- Seiceálaimid na réimsí gan bunleagan go sonrach agus cuirimid comhaid athraithe ina n-ionad ó fhoinse ghlan faoi chuimsiú [bhaint malware](https://phpsos.de/ga/leistungen/malware-entfernung/).
- Más mian leat, socraímid staid leagain a ritheann seiceálacha amach anseo ina coinne.


## Ceisteanna coitianta

**Conas a sheiceálaim an bhfuil comhaid chroí WordPress athraithe?**  
Le WP-CLI agus an t-ordú wp core verify-checksums. Cuireann sé na comhaid i gcomparáid leis na suimeanna seiceála a fhoilsíonn WordPress.org don leagan suiteáilte. Leis an rogha --include-root tugann WP-CLI rabhadh freisin faoi chomhaid sa phríomh-eolaire nach mbaineann le WordPress.

**Cad a dhéanaim le CMS gan feidhm seiceála ionsuite?**  
Íoslódálann tú go beacht an leagan céanna ón bhfoinse oifigiúil ag an monaróir agus cuireann tú an dá eolaire i gcomparáid le diff. I dtionscadail Composer, tógann tú an staid as composer.lock in eolaire folamh agus cuireann tú an fillteán vendor i gcomparáid.

**An bhfaigheann an chomparáid cód mailíseach i mbreiseáin agus i dteimpléid freisin?**  
Ní fhaigheann ach amháin má tá bunleagan glan ann dóibh, mar shampla ón eolaire oifigiúil nó ón soláthraí. Níl bunleagan ag oiriúnuithe féin, uaslódálacha ná comhaid chumraíochta agus caithfear iad a sheiceáil ar leith.

**An gcuireann an chomparáid scanóir malware ina ionad?**  
Cuireann sí leis. Aimsíonn an chomparáid gach athrú ar chomhaid aitheanta, cód mailíseach anaithnid san áireamh. Ach ní deir sí tada faoi chomhaid gan bunleagan, faoin mbunachar sonraí, faoi cronjobs ná faoi rochtain.

## Foinsí

- [WordPress](https://wordpress.org/)
- [Composer](https://getcomposer.org/)
- [Debian Security Tracker](https://security-tracker.debian.org/)