# Leochaileacht PHP WordPress PHP2Shell: cad atá le déanamh ag oibreoirí

> Bíonn tionchar ag PHP2Shell ar WordPress trí PHP, ní tríd an gcroí. Seiceáil leagan PHP, uaslódálacha, mu-plugins agus riarthóirí, agus cosain do shuíomh.

Foinse: https://phpsos.de/ga/plattformen/wordpress/  
Staid: 25/10/2026  
Soláthraí: PHP SOS, Cabhair éigeandála PHP agus slándáil freastalaí. Cabhair láithreach trí WhatsApp: https://wa.me/491736494914?text=Dia%20duit%2C%20a%20PHP%20SOS%2C%20t%C3%A1%20cabhair%20de%20dh%C3%ADth%20orainn%20len%C3%A1r%20bhfreastala%C3%AD%20PHP.%20Cuideachta%3A%20%E2%80%A6%20Su%C3%ADomh%20gr%C3%A9as%C3%A1in%3A%20%E2%80%A6

**Go achomair:** Níl an leochaileacht PHP WordPress a bhfuiltear ag tuairisciú uirthi faoi láthair i WordPress, ach i PHP ar an bhfreastalaí faoi bhun. Dá bhrí sin ní dhúnann nuashonrú WordPress PHP2Shell. Is iad staid phaiste PHP, atosú gach próisis PHP agus seiceáil ar ghnáthfholaigh ar nós `wp-content/uploads` agus `mu-plugins` na rudaí cinntitheacha.

## Cén fáth nach réitíonn nuashonrú WordPress PHP2Shell

Is feidhmchlár é WordPress atá scríofa i PHP. Tá na leochaileachtaí CVE-2026-109618 agus CVE-2026-109619 leibhéal níos doimhne, in ateangaire PHP féin. De réir fhoireann PHP, cuireann siad ar chumas cód mailíseach a rith go cianda gan logáil isteach. Le Apache agus mod_php, léiríodh gníomhaíocht saothraithe sula ritheann cód WordPress fiú.

Dá bhrí sin is féidir le suíomh gréasáin ina bhfuil croí cothrom le dáta, breiseáin chothrom le dáta agus pasfhocail láidre a bheith leochaileach fós má tá an PHP faoi bhun sean. Os a choinne sin, ní chruthaíonn PHP paistithe nár tharla aon rud roimhe sin. Míníonn muid an cúlra faoi [Cad is PHP2Shell ann?](https://phpsos.de/ga/php2shell/was-ist-php2shell/).

| Leibhéal | Cé a dhéanann an nuashonrú | An ndúnann sé PHP2Shell? |
|---|---|---|
| Croí WordPress | Tú féin nó do ghníomhaireacht | Ní dhúnann |
| Breiseáin agus téamaí | Tú féin nó do ghníomhaireacht | Ní dhúnann |
| PHP ar an bhfreastalaí | An soláthraí óstála nó riarthóir an fhreastalaí | Dúnann, mar aon le hatosú gach próisis PHP |

## Leochaileacht PHP WordPress: leagan PHP a sheiceáil

Sa dais, faoi **Uirlisí > Sláinte an tsuímh > Tuarascáil** sa chuid “Freastalaí”, gheobhaidh tú an leagan PHP a ritheann do shuíomh i ndáiríre. Is mó an luach atá leis sin ná `php -v` ar an líne ordaithe, mar go n-úsáideann an líne ordaithe suiteáil PHP eile go minic seachas an freastalaí gréasáin.

Ní leor an uimhir a thaispeántar léi féin, áfach. Is iad 8.5.12, 8.4.27, 8.3.36 agus 8.2.35 na leaganacha suas an sruth ceartaithe. Cuireann a lán soláthraithe óstála na ceartúcháin isteach mar backport; ansin fanann uimhir níos sine ar taispeáint cé go bhfuil paiste curtha isteach. Conas a fhaigheann tú amach an fhíorstaid, tá sé le fáil faoi [Leagan PHP agus staid phaiste a sheiceáil i gceart](https://phpsos.de/ga/php2shell/php-version-pruefen/). Na leaganacha PHP a thacaíonn le do leagan WordPress, seiceáil iad de réir na gceanglas córais ar wordpress.org.

## Cá mbíonn cód mailíseach i bhfolach i WordPress

Tar éis ionsaí rathúil, de ghnáth fágann an ciontóir cúldoras ionas gur féidir leo teacht ar ais fiú tar éis an phaiste. Tá áiteanna aitheanta ag WordPress chuige sin:

- **wp-content/uploads/**: ceaptha d'íomhánna agus do PDFanna, ní do chomhaid PHP.
- **wp-content/mu-plugins/**: lódálann breiseáin “must-use” go huathoibríoch agus ní féidir iad a dhíghníomhachtú sa dais.
- **wp-config.php**: tá rochtain ar an mbunachar sonraí agus eochracha slándála ann; is ar éigean a thabharfaí faoi deara líne sáite anseo.
- **.htaccess** sa phríomhchomhadlann agus i bhfo-fhillteáin: atreoruithe do chuardaitheoirí amháin nó rith iarmhíreanna comhaid neamhghnácha.
- **Téamaí**, go háirithe `functions.php`, chomh maith le breiseáin dhíghníomhachtaithe, dearmadta.
- **Bunachar sonraí**: riarthóirí nua i `wp_users`, JavaScript iasachta i `wp_options` nó i bpoist.

Céad seiceálacha neamhdhíobhálacha le WP-CLI agus uirlisí atá ann cheana:

```bash
# Comhaid chroí a chur i gcomparáid leis na seicsumaí oifigiúla
wp core verify-checksums
# Breiseáin ón gcomhadlann ar wordpress.org a sheiceáil
wp plugin verify-checksums --all
# Comhaid PHP san fhillteán uaslódála a liostú
find wp-content/uploads -type f -name "*.php"
# Gach riarthóir a thaispeáint
wp user list --role=administrator
```

Is cúis le scrúdú cruinn é torthaí, ní fianaise go fóill. Ní féidir breiseáin tráchtála a sheiceáil ar an mbealach seo. Leanann an treoir [Cúldoirse a aimsiú i WordPress](https://phpsos.de/ga/ratgeber/backdoor-wordpress-finden/) ar aghaidh go mion.

> **Tábhachtach:**
> Ná scrios comhaid amhrasacha róthapa. Cosain comhaid, an bunachar sonraí agus logaí an fhreastalaí ón 20 Deireadh Fómhair 2026 i leith ar dtús. Gan na rianta seo ní féidir a shoiléiriú ar sceitheadh sonraí ina dhiaidh sin.

## Breiseáin, téamaí agus rochtain riaracháin mar riosca breise

Ní theastaíonn leochaileacht breiseáin ó PHP2Shell. Sa ghnáthré, áfach, is iad breiseáin agus téamaí an pointe iontrála is minice i suímh WordPress. Tugann gach breiseán a chód féin, a fheidhmeanna uaslódála féin agus a thimthriallta nuashonraithe féin leis. Ba cheart breiseáin nach n-úsáidtear a scriosadh in ionad iad a dhíghníomhachtú amháin, mar fanann comhaid dhíghníomhachtaithe ar an bhfreastalaí.

Maidir le `wp-login.php` agus `wp-admin`: riarthóirí gann, cuntais phearsanta in ionad rochtana comhroinnte agus fíordheimhniú dhá fhachtóir. Mura bhfuil XML-RPC ag teastáil uait, is féidir é a bhlocáil. Má bhíonn amhras ort, ba cheart gach pasfhocal agus na heochracha slándála i `wp-config.php` a athnuachan. An t-eagarthóir comhad sa dais, múchann tú é ansin freisin:

```php
define( 'DISALLOW_FILE_EDIT', true );
```

## Cad ba cheart duit a dhéanamh mar oibreoir WordPress anois

1. Iarr ar an soláthraí óstála i scríbhinn staid phaiste PHP agus atosú gach próisis PHP a dheimhniú.
2. Iarr logaí an fhreastalaí ón 20 Deireadh Fómhair 2026 i leith a choinneáil.
3. Déan na seiceálacha thuas nó iarr iad a dhéanamh.
4. WordPress, breiseáin agus téamaí a nuashonrú. Tá sé sin ceart, ach ní hionann é agus céim 1.
5. Má tá aon rud neamhghnách ann, ná lean ort ag oibriú an tsuímh gan níos mó; iarr é a ghlanadh.

Féadann nuashonrú ardáin leochaileachtaí aitheanta i WordPress agus i mbreiseáin a dhúnadh. Ní féidir leis PHP a dheisiú ná comhaid curtha isteach nach mbaineann leis an gcroí a bhaint.

## Conas a chabhraíonn PHP SOS go nithiúil?

- Soiléirímid leatsa nó le do sholáthraí óstála fíorstaid PHP do shuíomh WordPress, lena n-áirítear backports agus atosú.
- Cosnaímid logaí, comhaid agus an bunachar sonraí sula n-athraítear aon rud.
- Seiceálaimid an croí, breiseáin, uaslódálacha, mu-plugins, `.htaccess` agus cuntais úsáideora le haghaidh cúldoirse.
- Má aimsítear rud éigin, glanann ár [mbaint bogearraí mailíseacha](https://phpsos.de/ga/leistungen/malware-entfernung/) an suíomh go dtí go mbeidh an teagmhas dúnta agus doiciméadaithe; mura n-aimsítear aon rud, cruaímid an tsuiteáil mar chuid den [chabhair láithreach PHP2Shell](https://phpsos.de/ga/leistungen/php2shell-soforthilfe/).


## Ceisteanna coitianta

**An gcaithfidh mé WordPress a nuashonrú mar gheall ar PHP2Shell?**  
Is maith i gcónaí WordPress cothrom le dáta a bheith agat, ach ní dhúnann sé PHP2Shell. Tá an leochaileacht in ateangaire PHP an fhreastalaí. Chuige sin teastaíonn nuashonrú PHP nó backport deimhnithe ó do sholáthraí óstála agus atosú gach próisis PHP.

**An gcosnaíonn breiseán slándála in aghaidh PHP2Shell?**  
Ar éigean. Is cód PHP é breiseán féin a ritheann laistigh de WordPress. Le mod_php, léiríodh gníomhaíocht saothraithe sula dtosaíonn cód an fheidhmchláir fiú; mar sin d'fhéadfadh nach dtabharfadh breiseán faoi deara an t-ionsaí ar chor ar bith.

**Cén fáth a dtaispeánann WordPress seanleagan PHP fós, cé go bhfuil an soláthraí óstála tar éis paiste a chur isteach?**  
Cuireann a lán soláthraithe óstála agus dáiltí Linux ceartúcháin isteach sa leagan atá ann cheana mar backport. Fanann uimhir an leagain mar a bhí. Iarr ar an soláthraí óstála staid an phaiste a dheimhniú i scríbhinn.

**An bhfuil cead comhad PHP a bheith i wp-content/uploads?**  
Ní ghnáth. Tá an fillteán uaslódála ann do mheáin. Is comhartha rabhaidh soiléir é comhad PHP ansin agus ba cheart é a chosaint agus a scrúdú go teicniúil sula scriostar é.

## Foinsí

- [php.net: fógraí slándála](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [WordPress.org](https://wordpress.org/)
- [BSI (Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise)](https://www.bsi.bund.de/)