Go achomair: Is é PHP2Shell an t-ainm ar dhá leochaileacht slándála chriticiúla i PHP féin, CVE-2026-109618 agus CVE-2026-109619. Trí na leochaileachtaí seo is féidir le hionsaitheoirí cód mailíseach a rith ar fhreastalaithe gréasáin leochaileacha gan logáil isteach. Ní chuireann deireadh leis ach nuashonrú chuig leagan ceartaithe PHP, agus atosú gach próisis PHP ina dhiaidh.
Cad is PHP2Shell ann?
Is é PHP an teanga ríomhchlárúcháin a ritheann cuid mhór de gach suíomh gréasáin: suíomhanna gnólachtaí le WordPress nó TYPO3, siopaí ar líne le Shopware nó WooCommerce, tairseacha inmheánacha agus forbairtí féin. An 21 Deireadh Fómhair 2026 d'fhoilsigh tionscadal PHP nuashonruithe slándála do dhá leochaileacht ar tugadh PHP2Shell orthu.
Tá an dá leochaileacht rátáilte 9.2 ar CVSS v4.0, is é sin criticiúil. Is é an iarmhairt chéanna sa dá chás: cód mailíseach a rith ón gcianrochtain, gan gá leis an ionsaitheoir logáil isteach. Labhraíonn saineolaithe ar “unauthenticated Remote Code Execution”. An té atá in ann cód a rith ar an bhfreastalaí, is féidir leis, sa chás is measa, sonraí a léamh, cúldoirse a chur isteach nó an freastalaí a úsáid le haghaidh ionsaithe eile.
Tábhachtach le tuiscint: níl an leochaileacht i CMS ná i mbreiseán áirithe, ach i PHP. Dá bhrí sin ní dhúnann nuashonrú WordPress, Shopware ná TYPO3 í.
Cén fáth a bhfuil an leochaileacht chomh tromchúiseach?
Trí phointe a fhágann PHP2Shell thar a bheith íogair ó thaobh údaráis slándála:
- Leithead: Tá tionchar ar na gnáthmhodhanna oibriúcháin PHP, is é sin PHP-FPM, Apache le mod_php, php-cgi, FrankenPHP agus LiteSpeed. Chomhaireamh Palo Alto Networks (Unit 42) breis agus 22,6 milliún sampla nochta a d'fhéadfadh a bheith leochaileach.
- Gan gá le logáil isteach: Níl pasfhocal ná cuntas úsáideora de dhíth ar an ionsaitheoir.
- Pointe luath: I gcás Apache le mod_php léiríodh exploit de réir fhoireann PHP sula ritheann cód an fheidhmchláir fiú. Ansin ní oibríonn feidhmeanna cosanta laistigh den suíomh gréasáin.
D'eisigh an BSI rabhadh leibhéal 3 (flannbhuí). Molann sé an nuashonrú a dhéanamh láithreach agus, mura féidir sin a dhéanamh láithreach, na freastalaithe gréasáin atá buailte a thógáil den líonra go sealadach.
Cé na freastalaithe atá buailte ag PHP2Shell?
Tá na leochaileachtaí ceartaithe i PHP 8.5.12, 8.4.27, 8.3.36 agus 8.2.35. Tá tionchar ar sheanstaid na mbrainsí seo. Níl nuashonruithe oifigiúla ann a thuilleadh do PHP 8.1 agus níos sine; de réir an phreasa speisialaithe tá tionchar ar an gcuid is mó de na leaganacha siar go PHP 5.4. Gheobhaidh tú an forbhreathnú iomlán ar an leathanach Cé na leaganacha PHP atá buailte?.
Sainiúlacht amháin: cuireann dáiltí Linux agus soláthraithe óstála na ceartúcháin isteach uaireanta mar backport. Ansin taispeánann Plesk, mar shampla, 8.2.34 i gcónaí cé go bhfuil an earráid ceartaithe. Is iad staid na bpacáistí agus deimhniú an tsoláthraí an rud a chuireann i gcuntas. Mínímid conas é seo a sheiceáil ag Leagan PHP agus staid paiste a sheiceáil i gceart.
Cad atá cruthaithe, cad atá oscailte?
Tá cruthaithe an dá uimhir CVE, na leaganacha ceartaithe agus na bearta idirthréimhseacha a d'fhoilsigh php.net. An 23 Deireadh Fómhair tháinig nóta faoi leochaileacht bhreise, CVE-2026-115560, nach mbaineann ach le cumraíocht neamhghnách.
Tá sé dóchúil go leanann ionsaitheoirí ar aghaidh ag cuardach freastalaithe gan paiste. De réir tuairiscí na meán breathnaíodh an chéad iarracht ionsaithe cheana an 17 Deireadh Fómhair, is é sin sular foilsíodh na paistí. Thuairiscigh Cloudflare iarrachtaí ionsaithe agus chuir sé rialacha cosanta amach, ach tugann sé le fios nach leor rialacha bunaithe ar shonraí na n-iarratas amháin.
Tá oscailte cé mhéad freastalaí a ionsaíodh go rathúil cheana. De réir an BSI ní raibh ionsaithe rathúla deimhnithe go forleathan ar dtús. Níl aon Indicators of Compromise foilsithe agus deimhnithe ann. Dá bhrí sin ní féidir measúnú a dhéanamh ar an raibh freastalaí buailte ach trí anailís ar iompar. Achoimríonn an Amlíne ón 17 go dtí an 25 Deireadh Fómhair an cúrsa ama.
Cad ba cheart do ghnólachtaí a dhéanamh anois
- Soiléirigh cé atá freagrach: freastalaí féin, freastalaí bainistithe nó soláthraí óstála.
- Nuashonraigh PHP chuig leagan ceartaithe nó backport deimhnithe.
- Atosaigh gach próiseas PHP. Ní leor comhaid nua amháin chomh fada agus atá seanphróisis ag rith sa chuimhne.
- Cosain logaí, ón 20 Deireadh Fómhair i leith. Molann an preas speisialaithe na sonraí seo a choinneáil.
- Seiceáil le haghaidh rianta. Ní bhaineann paiste bogearraí mailíseacha a cuireadh isteach cheana agus ní chruthaíonn sé nár tharla aon rud roimhe sin. Tá leideanna ar an leathanach An bhfuil briseadh isteach déanta orm cheana?.
Dúnann nuashonrú an doras, ach ní ghlanann sé suas. Má bhí do fhreastalaí inrochtana idir an 17 Deireadh Fómhair agus an paiste, is dualgas é seiceáil le haghaidh rianta, ní rogha.
Conas a chabhraíonn PHP SOS go nithiúil?
Leis an gcabhair láithreach PHP2Shell glacaimid orainn na céimeanna nach bhfuil a lán gnólachtaí in ann a chlúdach go hinmheánach ar fógra gairid:
- Stocliosta: Faighimid amach leagan PHP, modh oibriúcháin agus staid na bpacáistí do gach freastalaí buailte.
- Paiste nó idirthréimhse: Cuirimid an nuashonrú isteach nó, nuair nach féidir leis sin a dhéanamh fós, cuirimid bearta idirthréimhseacha php.net i bhfeidhm agus soiléirímid an gá an freastalaí a thógáil den líonra go sealadach.
- Atosú agus fianaise: Atosaímid gach próiseas PHP agus doiciméadaímid an staid roimh agus tar éis.
- Seiceáil rianta: Cosnaímid logaí ón 20 Deireadh Fómhair i leith agus seiceálaimid le haghaidh neamhghnáchaíochtaí go dtí go mbeidh an teagmhas dúnta agus doiciméadaithe.
Ceisteanna coitianta
An leochaileacht WordPress é PHP2Shell?
Ní hea. Tá na leochaileachtaí i PHP, is é sin sa teanga ríomhchlárúcháin a ritheann WordPress, Shopware, TYPO3 agus a lán córas eile uirthi. Dá bhrí sin ní dhúnann nuashonrú an CMS iad. Is é staid PHP ar an bhfreastalaí an rud is tábhachtaí.
An gcaithfidh mé rud éigin a dhéanamh mé féin mar chliant ar sholáthraí óstála?
In óstáil chomhroinnte de ghnáth cuireann an soláthraí óstála an nuashonrú PHP isteach. Ba cheart duit a iarraidh orthu i scríbhinn a dheimhniú gur paistíodh agus gur atosaíodh an leagan PHP a úsáideann tú. Ní fhreagraíonn an nuashonrú an ndearnadh aon rud roimh an bpaiste.
Cad as a dtagann an t-ainm PHP2Shell?
Cuireann an t-ainm síos ar an iarmhairt: trí PHP is féidir le hionsaitheoir, sa chás is measa, líne ordaithe, is é sin shell, a fháil ar an bhfreastalaí. Is iad uimhreacha CVE CVE-2026-109618 agus CVE-2026-109619 na hainmneacha oifigiúla.
An ionsaíodh mo shuíomh gréasáin cheana má tógadh as líne é?
Ní gá. Thóg roinnt soláthraithe suíomhanna den líonra mar réamhchúram, mar a mholann an BSI, nuair nach féidir nuashonrú a dhéanamh láithreach. Is beart cosanta é sin agus ní fianaise ar ionsaí.