Go achomair: Chun CVE a sheiceáil sa changelog, cuardaigh log athruithe an phacáiste PHP suiteáilte le haghaidh CVE-2026-109618 agus CVE-2026-109619: faoi Debian agus Ubuntu in /usr/share/doc/<paket>/changelog.Debian.gz, ar chórais RPM le rpm -q --changelog. Mura bhfuil iontráil ann, tá cruthúnas iontaofa agat nuair a chuirtear leis staid an phacáiste, comparáid leis an bhfógra slándála oifigiúil agus am an atosaithe. Ní cruthúnas é torthaí ar iarraidh go bhfuil leochaileacht oscailte.
Cén fáth go bhfuil cruthúnas níos mó ná „tá paiste curtha againn“
Tar éis PHP2Shell, ba mhaith le go leor daoine fios a bheith acu an bhfuil a bhfreastalaithe slán: an bhainistíocht, an tOifigeach Cosanta Sonraí, custaiméirí le próiseáil ordaithe, uaireanta an t-árachóir cibear. Ní leor „tá paiste curtha againn“ chuige sin. Is éard atá de dhíth ná fianaise a bhféadfadh tríú páirtí leanúint di.
Is minic nach bhfuil uimhir an leagain feiliúnach chuige sin, toisc go gcuireann dáiltí ceartúcháin i bhfeidhm mar backport agus go bhfanann an uimhir mar a bhí. Is fearr mar bhunús changelog an phacáiste. Scríobhann cothabhálaí an phacáiste é agus, i gcás nuashonruithe slándála, liostálann sé i gcoitinne na huimhreacha CVE a ceartaíodh.
Cá bhfuil na changelogs
Tá a áit féin ag gach formáid pacáiste. Cuidíonn an t-achoimre seo leat an áit cheart a aimsiú go tapa.
| Córas | Áit an changelog | Ordú cuardaigh |
|---|---|---|
| Debian, Ubuntu | /usr/share/doc/<paket>/changelog.Debian.gz |
zgrep |
| Debian, Ubuntu (ar líne) | cartlann pacáistí an dáilte | apt changelog <paket> |
| RHEL, AlmaLinux, Rocky, Fedora | bunachar pacáistí RPM | rpm -q --changelog <paket> |
| Íomhánna coimeádáin | san íomhá, mar a bheadh i gcás an bhunchórais | an t-ordú a rith sa choimeádán |
Faoi Debian agus Ubuntu, pointeálann an t-eolaire doiciméadúcháin de roinnt pacáistí dénártha trí nasc siombalach chuig pacáiste comhroinnte, mar shampla php8.3-common. Mura n-aimsíonn zgrep an comhad, féach ar an eolaire le ls -l /usr/share/doc/ | grep php.
Seiceáil CVE sa changelog: conas dul ar aghaidh
Ní léann na horduithe seo ach. Oiriúnaigh ainmneacha na bpacáistí do do shuiteáil.
# Debian/Ubuntu: go háitiúil, gan líonra
zgrep -n -E "CVE-2026-10961[89]|CVE-2026-115560" /usr/share/doc/php8.3-common/changelog.Debian.gz
# Debian/Ubuntu: ceanntásc na hiontrála is nuaí le staid an phacáiste agus dáta
zcat /usr/share/doc/php8.3-common/changelog.Debian.gz | head -20
# Teaghlach RHEL: iontráil lena dáta agus staid an phacáiste
rpm -q --changelog php-common | grep -n -B3 -E "CVE-2026-10961[89]"
Faoi Debian agus Ubuntu, tá staid an phacáiste i gceanntásc gach iontrála, agus an dáta sa líne dheiridh. Faoi RPM, tá an dá cheann sa líne os cionn na n-iontrálacha. Ar an gcaoi sin feiceann tú ní hamháin an luaitear an CVE, ach freisin cén staid phacáiste. Cuir an staid sin i gcomparáid leis an gceann suiteáilte, mar shampla trí dpkg-query -W nó rpm -q. Má thagann an dá cheann le chéile, tá an ceartúchán sa phacáiste atá ag rith.
Pacáistí painéil agus coimeádáin
Tagann painéil óstála le pacáistí PHP dá gcuid féin, mar shampla Plesk nó cPanel. Is gnáthphacáistí DEB nó RPM iad seo freisin, agus is féidir a changelog a léamh leis na huirlisí céanna. Ní hionann soláthraithe: luann cuid acu uimhreacha CVE ann, agus ní luann cuid eile ach an leagan PHP nua. Má luann an pacáiste an leagan suas-sruth 8.5.12, 8.4.27, 8.3.36 nó 8.2.35, is leor sin mar chruthúnas; i gcás backports le seanuimhir, teastaíonn faisnéis ón soláthraí.
I gcás coimeádán, baineann an cruthúnas leis an íomhá, ní leis an óstach. Seiceáil na pacáistí san íomhá as ar thosaigh an coimeádán atá ag rith, agus cuir digest na híomhá ar taifead freisin. Ar an gcaoi sin is féidir a leanúint ina dhiaidh sin cén staid a bhí ag rith, fiú má tógadh an íomhá as an nua faoin gclib chéanna idir an dá linn.
Nuair a bhíonn an CVE ar iarraidh sa changelog
Is féidir roinnt cúiseanna a bheith le hiontráil ar iarraidh. Téigh tríothu san ord seo:
- Pacáiste mícheart cuardaithe: Má tá roinnt brainsí PHP nó foinsí ar fhreastalaí, is minic go bhfuil an freagra i changelog pacáiste eile.
- Leagan suas-sruth in ionad CVE: Má sheachadann an fhoinse an leagan suas-sruth nua, mar shampla 8.4.27, b'fhéidir nach bhfuil sa changelog ach „New upstream version“. Sa chás sin is é uimhir an leagain féin an cruthúnas, toisc go luann php.net na leaganacha 8.5.12, 8.4.27, 8.3.36 agus 8.2.35 mar leaganacha ceartaithe.
- Foclaíocht eile: Luann roinnt cothabhálaithe uimhreacha fabhtanna nó aitheantóirí comhairle ar nós GHSA-w8hw-w9fx-j79w agus GHSA-6wmf-4rv5-p3rp in ionad an CVE.
- Comparáid leis an bhfógra slándála: Má luann fógra oifigiúil do dháilte, mar shampla USN nó Debian Security Tracker, staid phacáiste cheartaithe, agus má tá an staid sin nó ceann níos nuaí suiteáilte, is cruthúnas é sin freisin. I gcás Debian agus Ubuntu gheobhaidh tú na stádais san alt An bhfuil mo phacáiste PHP paistithe?, i gcás theaghlach RHEL faoi RHEL, AlmaLinux agus Rocky Linux.
- Fiafraigh den soláthraí: I gcás pacáistí painéil, tógálacha soláthraithe óstála nó foinsí tríú páirtí, ní chabhraíonn ach freagra scríofa. Tá teimpléad sa treoir Fiafraigh den soláthraí óstála faoi stádas an phaiste.
Mura bhfanann aon chruthúnas tar éis na gcéimeanna seo, láimhseáil an freastalaí mar fhreastalaí gan phaiste agus cuir bearta idirthréimhseacha i bhfeidhm go dtí go mbeidh an cheist réitithe.
Ón iontráil go dtí an cruthúnas
Cruthaíonn iontráil sa changelog go bhfuil an ceartúchán sa phacáiste. Ní chruthaíonn sí go n-úsáideann na próisis atá ag rith é. Dá bhrí sin cuimsíonn cruthúnas iomlán cúig phíosa eolais do gach freastalaí agus gach suiteáil PHP:
- freastalaí, brainse PHP agus mód oibriúcháin, mar shampla PHP-FPM nó mod_php
- staid an phacáiste suiteáilte agus foinse an phacáiste
- an áit sa changelog nó tagairt don fhógra slándála oifigiúil
- am an nuashonraithe agus am tosaithe na bpróiseas PHP atá ag rith
- ainm an duine a rinne an tseiceáil agus dáta na seiceála
Sábháil aschur amh na n-orduithe mar chomhad téacs in aice leis an gcruthúnas. Is fusa iad a leanúint ina dhiaidh sin ná achoimre ón gcuimhne.
Ní fhreagraíonn cruthúnas ach an cheist an raibh an leochaileacht dúnta ó am áirithe. Don tréimhse roimhe sin teastaíonn na logaí ón 20 Deireadh Fómhair 2026 i leith agus, de réir mar is cuí, cuardach rianta. Déanann an leathanach Leagan PHP agus staid an phaiste a sheiceáil i gceart cur síos ar an ngnáthnós imeachta le haghaidh seiceála leagain.
Conas a chabhraíonn PHP SOS go praiticiúil?
- Cuardaímid changelogs gach pacáiste PHP ar do fhreastalaithe agus cuirimid i gcomparáid iad leis na fógraí slándála oifigiúla.
- Nuair a bhíonn na changelogs ina dtost, cinntímid an staid leis an dáilte, le soláthraí an phainéil nó leis an soláthraí óstála.
- Seiceálaimid gur atosaíodh na próisis atá ag rith tar éis an nuashonraithe.
- Leis an tSeirbhís Phaisteála PHP faigheann tú an cruthúnas do gach freastalaí i bhfoirm ar féidir leat a chur ar aghaidh chuig tríú páirtithe.
Ceisteanna coitianta
Cén fáth nach leor an leagan PHP mar chruthúnas?
Glacann a lán dáiltí ceartúcháin slándála isteach mar backport gan leagan PHP a athrú. Ansin ní insíonn uimhir an leagain aon ní faoin bpaiste. Luann changelog an phacáiste suiteáilte, ar a shon, na huimhreacha CVE a ceartaíodh.
Cad is brí leis nuair nach bhfuil an CVE sa changelog?
D'fhéadfadh sé a chiallú go bhfuil an ceartúchán ar iarraidh. D'fhéadfadh sé freisin go bhfuil foclaíocht eile ag cothabhálaí an phacáiste, mar shampla uimhir fhabht nó leagan suas-sruth. Sa chás sin, cuir staid an phacáiste i gcomparáid leis an bhfógra slándála oifigiúil nó fiafraigh den soláthraí.
Cá fhad ba cheart dom an cruthúnas a choinneáil?
Chomh fada agus is féidir leis a bheith ábhartha d'iniúchtaí inmheánacha, d'árachóirí nó do cheisteanna cosanta sonraí. Stóráil é in éineacht leis na logaí ón 20 Deireadh Fómhair 2026 i leith. Socraigh na spriocdhátaí nithiúla le d'Oifigeach Cosanta Sonraí nó le comhairleoir dlí.
An féidir liom an changelog a sheiceáil gan rochtain idirlín?
Is féidir. Stórálann Debian agus Ubuntu changelog gach pacáiste go háitiúil faoi /usr/share/doc, agus stórálann córais RPM é i mbunachar na bpacáistí. Is féidir an dá cheann a léamh gan líonra.