Go achomair: Maidir le slándáil PHP Drupal i ndiaidh PHP2Shell, baineann sé go príomha leis an bhfreastalaí: tá an leochaileacht i PHP, ní i nDrupal. Seiceáil staid PHP sa tuarascáil stádais agus ag an oibreoir, atosaigh gach próiseas PHP agus ina dhiaidh sin seiceáil settings.php, an chomhadlann files agus cearta róil.
Drupal agus PHP2Shell: an cás
Úsáidtear Drupal go minic do shuíomhanna níos mó, tairseacha agus comhlachtaí poiblí, go minic le go leor eagarthóirí agus comhéadain. De réir fhoireann PHP, cuireann na leochaileachtaí PHP CVE-2026-109618 agus CVE-2026-109619 ar chumas cód mailíseach a rith go cianda gan logáil isteach. Ní fhónann sé ábhar chomh maith agus a chothabháiltear Drupal féin.
Tá foireann slándála dá chuid féin ag Drupal a fhoilsíonn nótaí faoin gcroí agus faoi mhodúil. Ní bhaineann PHP2Shell leo, mar nach leochaileacht Drupal í. Dá bhrí sin, d'fhéadfadh go ndearna an té nach leanann ach nótaí Drupal neamhaird ar an tuairisc.
I dtionscadail Drupal níos mó, is minic a bhíonn an fhreagracht scaipthe ar roinnt áiteanna: cothabhálann gníomhaireacht an cód, oibríonn lárionad sonraí na freastalaithe, agus suíonn an t-eagarthóireacht sa teach. Soiléirigh i scríbhinn cé a chuireann an nuashonrú PHP isteach, cé a chuireann tús leis an atosú agus cé a sheiceálann an tharla aon rud roimhe sin. I setupanna le roinnt freastalaithe gréasáin taobh thiar de chothromóir ualaigh, caithfear gach freastalaí ar leith a phaisteáil agus a atosú, nó fanann cuid d'iarratais ar sheanPHP.
Slándáil PHP Drupal: leagan agus staid phaiste a sheiceáil
Faoi Tuarascálacha > Tuarascáil stádais taispeánann Drupal an leagan PHP lena rithtear an suíomh, mar aon le rabhaidh faoin gcumraíocht. Ar an líne ordaithe cuireann drush status leagan PHP CLI ar fáil, lena rithtear cronjobs agus imscaradh freisin. Caithfear an dá cheann a bheith paistithe.
Is iad 8.5.12, 8.4.27, 8.3.36 agus 8.2.35 na leaganacha suas an sruth ceartaithe. Uaireanta cuireann dáiltí agus soláthraithe óstála ceartúcháin isteach mar backport, agus ansin fanann an uimhir mar a bhí; is é staid an phacáiste dheimhnithe an rud cinntitheach. Na leaganacha PHP a thacaíonn le do leagan Drupal, seiceáil iad de réir cheanglais an chórais ar drupal.org. Tar éis an nuashonraithe baineann an t-atosú leis, mar atá ar fáil faoi PHP-FPM agus gach oibrí a atosú.
Comhadlanna agus comhaid a bhfuil tábhacht leo
| Áit | Ábhar | Pointe seiceála |
|---|---|---|
sites/default/settings.php |
Bunachar sonraí, hash salt, trusted_host_patterns |
Dáta athraithe, includes sáite |
sites/default/files/ |
Uaslódálacha poiblí, íomhánna giniúnaithe, CSS agus JS | Gan comhaid PHP, .htaccess i láthair |
| Comhadlann comhad príobháideach | Uaslódálacha cosanta, go minic lasmuigh d'fhréamh na ndoiciméad | Cearta rochtana |
modules/contrib/, modules/custom/ |
Modúil ó drupal.org agus forbairtí féin | Modúil athraithe nó anaithnide |
themes/ |
Téamaí le teimpléid Twig | JavaScript coimhthíoch |
vendor/ |
Spleáchais Composer | composer audit |
Cruthaíonn Drupal .htaccess sa chomhadlann files a chuireann cosc ar rith PHP. Faoi Apache oibríonn sé, faoi Nginx ní oibríonn. Ansin teastaíonn riail dá chuid féin:
location ~* ^/sites/.+/files/.+\.php$ {
deny all;
}
Seiceálacha neamhdhíobhálacha le huirlisí atá ann cheana agus Drush:
find sites/*/files -type f -name "*.php"
drush pm:list --status=enabled --type=module
composer audit
Cuir staid an chóid ar an bhfreastalaí i gcomparáid le do stór Git. I dtionscadail Drupal le Composer is é seo an bealach is tapa chun comhaid choimhthíocha nó athraithe a aimsiú, mar ní mór go mbeadh gach neamhréireacht inmhínithe.
Róil, cearta agus modúil mar riosca
Tá an logáil isteach faoi /user/login, an limistéar bainistíochta faoi /admin. I nDrupal ní hamháin cuntais riarthóra a chinneann an tslándáil, ach cearta aonair. Is cearta riarthóra iad go praiticiúil cearta ar nós modúil, úsáideoirí, ceadanna nó formáidí téacs le HTML iomlán a bhainistiú. Seiceáil faoi Daoine agus Ceadanna cé na róil a bhfuil siad acu agus cé a bhaineann leis na róil seo.
Leathnaíonn modúil contrib Drupal go mór, ach tugann siad a gcód féin leo. Is minic gurb iad modúil gan cothabháil ghníomhach agus seanfhorbairtí féin an chúis a gcuirtear uasghrádú PHP ar ceal. Tá tuilleadh faoi spleáchais ar fáil in Spleáchais Composer a sheiceáil do leochaileachtaí.
Cad a dhéanann nuashonrú Drupal agus cad nach ndéanann
Dúnann nuashonrú croí nó modúil earráidí sa chód sin agus féadann sé leaganacha PHP níos nuaí a chumasú. Ní phaistíonn sé PHP, ní bhaineann sé comhaid choimhthíocha as sites/default/files, ní athshocraíonn sé ceadanna agus ní scriosann sé cuntais a cruthaíodh faoi rún. D'fhéadfadh an taisce ábhar ionramháilte a sheachadadh freisin go dtí go bhfolmhaítear í. Má bhíonn amhras ort, ba cheart hash salt agus rochtain bunachair sonraí a athnuachan.
I suiteálacha il-suímh roinneann roinnt suíomh an cód céanna, ach tá settings.php dá chuid féin agus comhadlann files dá chuid féin ag gach ceann faoi sites/. Seiceáil gach suíomh ar leith ansin. De ghnáth bíonn tionchar ag fionnachtain in aon suíomh amháin ar gach ceann eile mar gheall ar an gcód comhroinnte.
Conas a chabhraíonn PHP SOS go nithiúil?
- Seiceálaimid PHP gréasáin agus CLI do fhreastalaí Drupal agus iarraimid paiste agus atosú a dheimhniú.
- Cosnaímid logaí agus sonraí agus cuirimid staid an chóid i gcomparáid le do stór nó leis na pacáistí bunaidh.
- Seiceálaimid
settings.php, an chomhadlannfiles, rialacha an fhreastalaí, róil agus ceadanna. - Ar iarratas glacaimid cothabháil leanúnach orainn sa chonradh cothabhála slándála, ionas nach rithfidh nuashonruithe PHP agus Drupal óna chéile arís.
Ceisteanna coitianta
An gcabhraíonn nuashonrú slándála Drupal in aghaidh PHP2Shell?
Ní chabhraíonn. Dúnann nuashonruithe Drupal earráidí i gcroí Drupal agus i modúil. Tá PHP2Shell i PHP an fhreastalaí agus teastaíonn nuashonrú PHP nó backport deimhnithe uaidh chomh maith le hatosú gach próisis PHP.
Cá dtaispeánann Drupal an leagan PHP?
Sa tuarascáil stádais faoi Tuarascálacha. Le Drush taispeánann drush status leagan PHP na líne ordaithe. Is féidir leis an dá chuid a bheith difriúil, agus ní féidir backport a aithint go cinnte ó cheachtar acu.
An gcosnaíonn an .htaccess san fhillteán files fiú faoi Nginx?
Ní chosnaíonn. Ní mheasann ach Apache an .htaccess a chruthaigh Drupal. Faoi Nginx teastaíonn riail dá chuid féin uait i gcumraíocht an fhreastalaí a bhacann comhaid PHP sa chomhadlann files.
Cad is brí le trusted_host_patterns?
Socraíonn an socrú i settings.php faoi cé na hainmneacha óstach a fhreagraíonn Drupal. Cosnaíonn sé in aghaidh ionsaithe trí shonraí óstach ionramháilte agus baineann sé le gach suiteáil tháirgthe.