Go achomair: Tar éis PHP2Shell tá tuairiscí eile faoi PHP dóchúil, toisc gur tháinig an tríú nóta dhá lá tar éis an phaiste, go bhfuil comhairle iomlán fós le teacht agus go gcuireann dáiltí a bpacáistí ar fáil go céimnithe. An té a bhunaíonn cúrsa oibre seasta anois le haghaidh faireacháin, measúnaithe, nuashonraithe agus atosaithe, freagraíonn sé don chéad leochaileacht nua PHP eile i gceann uaireanta an chloig in ionad laethanta.
Ní raibh an paiste deireadh an scéil
An 21 Deireadh Fómhair 2026 dhún tionscadal PHP an dá leochaileacht chriticiúla CVE-2026-109618 agus CVE-2026-109619 leis na leaganacha 8.5.12, 8.4.27, 8.3.36 agus 8.2.35. Chuir a lán daoine freagracha tic leis ina dhiaidh sin. Dhá lá ina dhiaidh sin, an 23 Deireadh Fómhair, tháinig nóta eile ó php.net faoi CVE-2026-115560.
Baineann an tríú nóta seo le cumraíocht neamhghnách seisiúin amháin. Ach léiríonn sé patrún atá aitheanta ó mhórchásanna slándála: nuair a thagann comhpháirt go tobann faoi sholas, breathnaíonn a lán saineolaithe níos géire ag an am céanna. An dtiocfaidh leochaileachtaí eile as, níl a fhios ag aon duine inniu. Ach is dóchúil nach stopfaidh na nuacht.
D'oibreoirí ciallaíonn sé seo: pleanáil do thuairiscí leantacha in ionad ionadh a bheith ort ag gach ceann. Achoimríonn ár n-amlíne PHP2Shell cúrsa na n-imeachtaí go dtí seo.
Cén fáth a bhfuil tuairiscí eile dóchúil
Tá an measúnú seo a leanas bunaithe ar fhíricí atá poiblí. Ní tuar ar leochaileachtaí nithiúla é.
- Tá comhairle fós le teacht. Láimhseálann php.net CVE-2026-115560 sa timthriall eisiúna rialta agus d'fhógair sé go bhfoilseofar an chomhairle iomlán leis an gcéad eisiúint eile. Go dtí sin meastar
session.upload_progress.enabled=0mar leigheas. - Bhí na mionsonraí poiblí go luath. De réir roinnt tuairiscí tháinig mionsonraí chun solais roimh dheireadh an embargó. De réir tuairiscí d'athchruthaigh watchTowr CVE-2026-109618 dar lena dtuairisc féin. Is minic a bhíonn ceisteanna leantacha faoi chodanna cóngaracha den chód mar thoradh ar a leithéid d'obair.
- Soláthraíonn dáiltí go céimnithe. Chuir Ubuntu na heisiúintí reatha ar fáil an 21 Deireadh Fómhair le USN-8948-1 agus sholáthair ceartuithe do 14.04 go 20.04 tríd Ubuntu Pro ina dhiaidh le USN-8948-2. Scríobh Red Hat ina bhulletin go bhfuil roinnt nuashonruithe ar fáil, cinn eile á ndéanamh.
- Tá an leagan forbartha buailte. De réir php.net, tá na ceartuithe i PHP 8.6.0 RC4 freisin. An té a thástálann réamhleaganacha, ní mór dó na timpeallachtaí sin a thabhairt cothrom le dáta freisin.
- Fanann seanleaganacha oscailte. Do PHP 8.1 agus níos sine níl ach ais-phortálacha bunchóid íosta ann. Tuairiscíonn gach soláthraí a sheolann leaganacha den sórt sin a staid féin agus ag amanna dá chuid féin.
Conas a shroicheann leochaileacht nua PHP thú
Tagann tuairiscí ar bhealaí éagsúla agus le hiontaofacht éagsúil. Is beagnach i gcónaí mar a chéile an t-ord: tionscadal PHP ar dtús, ansin dáiltí agus óstálaithe, ansin údaráis agus meáin.
| Foinse | Cad a fhaigheann tú amach ansin | Cé chomh hiontaofa |
|---|---|---|
| php.net | Brainsí buailte, leaganacha ceartaithe, bearta idirthréimhseacha | Príomhfhoinse |
| Ubuntu, Debian, Red Hat | Staid pacáistí do gach eisiúint, am seachadta | Príomhfhoinse do do chóras |
| Óstálaithe agus soláthraithe painéil | Staid a mbuildeanna PHP féin | Ceangailteach i scríbhinn amháin |
| BSI, CERT-Bund | Measúnú staide, leibhéal rabhaidh, moltaí | Aicmiú údaráis |
| Preas teicniúil agus cuideachtaí slándála | Breathnóireachtaí ionsaithe, uimhreacha, cúlra | Cabhrach, lipéadaigh mar thuairisc |
Tá an difríocht idir „tá paiste ann“ agus „tá an paiste ag mo chóras“ tábhachtach. Tá an chéad ráiteas ar php.net. Ní mór duit an dara ceann a chruthú duit féin do gach freastalaí.
Liostáil le tuairiscí php.net agus do dháil trí RSS nó liosta ríomhphoist agus seol iad chuig bosca poist comhroinnte nó cainéal a léann níos mó ná duine amháin. Is iad saoire agus tinneas na cúiseanna is coitianta le nuashonruithe déanacha.
Cad ba cheart duit a ullmhú roimh an tuairisc eile
Léiríonn an taithí ó PHP2Shell cá gcailltear am: agus freastalaithe á gcuardach, agus freagrachtaí á soiléiriú agus atosú dearmadta. Is féidir é sin ar fad a dhéanamh roimh ré.
- Fardal: Liosta de gach freastalaí agus suíomh le brainse PHP, mód oibriúcháin (PHP-FPM, mod_php, LiteSpeed) agus foinse pacáistí. Gan an liosta seo, tosaíonn gach tuairisc le cuardach. Déanann an t-alt Fardal de gach suíomh gréasáin agus freastalaí cur síos ar conas é a dhéanamh.
- Freagracht: Do gach córas tá sé socraithe cé a phaistíonn, cé a atosaíonn agus cé a dheonaíonn cead. Ag óstálaithe agus gníomhaireachtaí baineann sé leis an gconradh.
- Greille measúnaithe: Is leor trí cheist don chéad aicmiú. An bhfuil ár mbrainse buailte? An n-úsáidimid an fheidhm nó an mód oibriúcháin atá buailte? An bhfuil paiste ann nó bearta idirthréimhseacha amháin?
- Bealach tástála: Timpeallacht staging inar féidir nuashonrú PHP a sheiceáil i bhfad gearr.
- Fianaise: Formáid seasta ina dtaifeadtar staid pacáistí, hit changelog agus am atosaithe.
Cén chaoi a n-oibríonn a leithéid de chúrsa mar ghnáthamh in ionad ghníomh dóiteáin, tá sé ag Bainistíocht paistí mar phróiseas. Soláthraíonn an leathanach Conas a láimhseálann tionscadal PHP leochaileachtaí slándála cúlra faoin gcaoi a n-oibríonn tionscadal PHP le leochaileachtaí.
Do chumraíocht féin mar chóras luathrabhaidh
Baineann cuid de na tuairiscí leantacha le socruithe áirithe amháin. Is sampla de sin CVE-2026-115560: luann php.net mar choinníoll go n-athraíonn feidhmchlár an seriailitheoir seisiúin ag am rite agus upload progress gníomhach. Ní bhíonn feidhmchláir nach ndéanann sin riamh buailte, de réir php.net.
An té a bhfuil aithne aige ar a chumraíocht éifeachtach, is féidir leis a leithéid de thuairiscí a aicmiú níos tapa. Taifead dá bhrí sin do gach brainse cé na luachanna atá socraithe ar thaobh an fhreastalaí agus cé na feidhmchláir a fhéadfaidh iad a shárú. Cabhraíonn comparáid shimplí de na socruithe gníomhacha cheana féin:
# Luachanna éifeachtacha na líne ordaithe (is féidir leis an gcumraíocht ghréasáin a bheith difriúil)
php -i | grep -E "session.upload_progress.enabled|session.serialize_handler|memory_limit|post_max_size"
# Luachanna socraithe i linnte FPM (an cosán difriúil de réir dáile)
grep -RhE "php_(admin_)?value" /etc/php/*/fpm/pool.d/ 2>/dev/null
Ní thaispeánann an líne ordaithe i gcónaí cad a bhaineann leis an gcomhthéacs gréasáin. Cuireann cumraíocht an linn nó an VirtualHost soiléireacht ar fáil agus, go sealadach agus faoi chosaint, leathanach phpinfo.
Buntáiste eile: an té a bhfuil a fhios aige cé na luachanna idirthréimhseacha atá fós socraithe ó sheachtain PHP2Shell, is féidir leis iad a sheiceáil go feasach tar éis na heisiúna rialta eile. Is féidir le socruithe áirithe, mar upload progress múchta, a bheith ciallmhar go buan. Ba cheart cinn eile, mar theorainneacha uaslódála an-chúnga, a chur in oiriúint don fhíorriachtanas arís tar éis plé leis na ranna speisialtóireachta.
Conas a chabhraíonn PHP SOS go nithiúil?
- Leanaimid tuairiscí php.net, dáiltí agus an BSI agus measaimid nótaí nua do do chórais nithiúla.
- Cruthaímid leat an fardal de gach suiteáil PHP agus socraímid freagrachtaí do gach freastalaí.
- Mar chuid de chonradh cothabhála slándála cuirimid nuashonruithe isteach, atosaímid gach próiseas agus doiciméadaímid an staid.
- I gcás tuairiscí gan phaiste, cuirimid bearta idirthréimhseacha i bhfeidhm nach féidir a shárú agus seiceálaimid iad ina dhiaidh.
Ceisteanna coitianta
An bhfuil leochaileacht nua PHP ann cheana tar éis PHP2Shell?
An 23 Deireadh Fómhair 2026 d'fhoilsigh php.net nóta faoi CVE-2026-115560. Dá réir sin níl cód a rith indéanta ach i gcumraíocht neamhghnách seisiúin. Tá comhairle iomlán le leanúint leis an gcéad eisiúint rialta eile.
An gcaithfidh mé gníomhú láithreach tar éis gach tuairisce nua?
Ní éilíonn gach tuairisc an phráinn chéanna. Is iad a chinneann déine, an bhfuil do chumraíocht buailte agus an bhfuil paiste ar fáil. Cabhraíonn cúrsa oibre socraithe leis sin a mheas i nóiméid in ionad laethanta.
Cá bhfaighim eolas ar dtús faoi leochaileachtaí nua PHP?
Is iad na príomhfhoinsí na tuairiscí ar php.net agus nótaí slándála do dháil, mar shampla Ubuntu Security Notices, an Debian Security Tracker nó Red Hat. Cuireann an BSI eolas ar fáil trí fhógraí rabhaidh. Tá tuairiscí sna meáin cabhrach, ach go minic níos déanaí agus níos lú cruinn.
Cén fáth a dtuairiscíonn dáiltí uaireanta laethanta níos déanaí ná php.net?
Ní mór do dháiltí an ceartú a ghlacadh isteach ina bpacáistí féin, iad a thógáil agus a thástáil. Do sheaneisiúintí d'fhéadfadh sé sin níos faide a thógáil nó tarlú trí thairiscintí breise amháin. Is fiú an dá fhoinse a leanúint ar leithligh dá bhrí sin.