Röviden: A Craft CMS biztonsága a PHP2Shell után a szerver PHP-jától függ, nem a Crafttól. Éppen a sok Craft-weboldalt kezelő ügynökségek ellenőrizzenek most minden szervert egyenként. A javítás és az újraindítás után a .env, a Security Key, a devMode, a dokumentumgyökér és a Project Config egyeztetése kerüljön vizsgálat alá.
Mit jelent a PHP2Shell a Craft-weboldalak számára
A Craft CMS az ügynökségek körében népszerű, mert rugalmas tartalommodelleket és tiszta sablonokat kínál. Ennek megfelelően sok ügynökség több tucat Craft-weboldalt gondoz különböző szervereken és tárhelycsomagokon. A CVE-2026-109618 és a CVE-2026-109619 PHP-rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül, a Craft-verziótól függetlenül.
Az ügynökségeknek a legfontosabb kérdés ezért szervezeti: melyik weboldal hol fut, milyen PHP-val, és ki felel a frissítésért? Az összes telepítés listája a tárhelyszolgáltatóval, a PHP-állapottal és a kapcsolattartóval az első lépés. Hogyan támogatjuk ebben az ügynökségeket, azt a Biztonsági partner ügynökségeknek írja le.
Craft CMS biztonság: a PHP-verzió ellenőrzése
A Control Panelben az Eszközök > Rendszerjelentés megmutatja a PHP-verziót, az adatbázist és a telepített bővítményeket. Ez az a verzió, amellyel a weboldal a weben fut. A php craft Craft-konzol, a queue-feldolgozás és a cron-feladatok ezzel szemben a parancssori PHP-t használják. Mindkettőnek javítottnak kell lennie.
A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35. Sok tárhelyszolgáltató backportként juttatja be a javításokat; a szám ilyenkor ugyanaz marad. Hogy mely verziók érintettek, azt a Mely PHP-verziók érintettek? oldal mutatja. Hogy a Craft-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a craftcms.com dokumentációjában ellenőrizheti.
A Craft a háttérfeladatokat egy várakozási sorban dolgozza fel. Ha ez egy folyamatkezelő alatt tartósan futó folyamatként működik, azt is újra kell indítani a PHP-frissítés után.
Könyvtárak és konfiguráció a Craftban
| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
.env |
adatbázis-hozzáférés, CRAFT_SECURITY_KEY, további kulcsok |
gyanú esetén az értékeket megújítani |
config/general.php |
devMode, allowAdminChanges, a Control Panel útvonala |
beszúrt PHP-kód |
config/project/ |
Project Config YAML-ként | egyeztetés a Gittel |
web/ |
dokumentumgyökér az index.php-vel, a cpresources/-szal, gyakran feltöltésekkel |
további PHP-fájlok |
storage/ |
naplók, futásidejű fájlok, gyakran adatbázis-mentések | a weben át nem elérhető |
templates/ |
Twig-sablonok | idegen JavaScript |
modules/, vendor/ |
saját modulok és bővítmények | módosított fájlok, composer audit |
Gyakran elnézett pont a storage/backups/. A Craft ide teszi az adatbázis-mentéseket, amelyek teljes ügyfél- és űrlapadatokat tartalmazhatnak. Ez a mappa soha nem lehet a dokumentumgyökér alatt.
Veszélytelen ellenőrzések a parancssorban:
# A Project Config és az adatbázis közötti különbségek megjelenítése
php craft project-config/diff
# PHP-fájlok a dokumentumgyökérben az index.php kivételével
find web -type f -name "*.php" ! -name "index.php"
composer audit
Éles üzemben a devMode értékének false-nak kell lennie. Bekapcsolt devMode mellett a Craft részletes hibaüzeneteket mutat útvonalakkal és kódrészletekkel, amelyek megkönnyítik a támadók munkáját.
Control Panel, felhasználók és bővítmények
A Control Panel alapértelmezetten az /admin alatt található. Ellenőrizze, mely felhasználóknak vannak adminisztrátori jogaik, és távolítsa el a volt munkatársak és szabadúszók hozzáféréseit. A Craft támogatja a kétfaktoros bejelentkezést; használja minden emelt jogú fiókhoz.
Éles üzemben állítsa az allowAdminChanges értékét false-ra. Ekkor a mezők, szekciók és bővítménybeállítások csak a verziókezelt Project Configon át módosíthatók, és minden eltérés feltűnik a Gittel való egyeztetéskor. A Plugin Store bővítményei saját PHP-kódot hoznak; ellenőrizze, hogy mindegyiket gondozzák-e még, és illeszkednek-e a célzott PHP-verzióhoz.
// config/general.php, részlet az éles környezethez
'devMode' => false,
'allowAdminChanges' => false,
Mit tud egy Craft-frissítés, és mit nem
A Craft vagy egy bővítmény frissítése lezárja az ebben a kódban lévő hibákat, és lehetővé tehet újabb PHP-verziókat. A PHP-t nem javítja, sem a PHP-FPM-et, sem a várakozási sort nem indítja újra, az elszivárgott Security Key-t nem újítja meg, és a web/ vagy a storage/ mappából idegen fájlokat nem távolít el.
A sok Craft-telepítéssel rendelkező ügynökségeknél a javítás után főként az ismételhetőség számít. Weboldalanként jegyezze fel, melyik PHP-verzió fut a weben és a parancssorban, mikor lett megerősítve az újraindítás, és feltűnőek voltak-e az ellenőrzések. Ez az áttekintés segít az ügyfelek kérdéseinél és a későbbi közleményeknél. Gondoljon a nyilvánosan elérhető staging- és fejlesztői környezetekre is. Gyakran devMode-dal, régebbi állapotokkal és valódi ügyféladatokkal futnak, és a frissítéseknél szívesen megfeledkeznek róluk. Ha kétség van, hogy érintett-e egy ügyfél-weboldal, tájékoztassa az ügyfelet tárgyilagosan, ahelyett hogy várna.
Hogyan segít konkrétan a PHP SOS?
- Önnel együtt felmérjük az összes Craft-telepítést a tárhelyszolgáltatóval, a PHP-állapottal és az illetékességgel.
- Szerverenként megerősíttetjük a javítást és az újraindítást, és mentjük a naplókat 2026. 10. 20-tól.
- Ellenőrizzük a dokumentumgyökeret, a
storagemappát, a konfigurációt, a felhasználókat és a Project Config egyeztetését. - Kívánságra átvesszük az ügyfél-weboldalak folyamatos biztonsági gondozását a biztonsági karbantartási szerződés keretében, az Ön neve alatt is.
Gyakori kérdések
Érinti a Craft CMS-t a PHP2Shell?
A Craft CMS-nek nincs új rése. PHP-n fut, és a PHP2Shell a PHP-ben van. Minden javítatlan szerveren futó Craft-telepítés ezért potenciálisan támadható, a Craft-verziótól függetlenül.
Hol mutatja a Craft a PHP-verziót?
A Control Panelben az Eszközök > Rendszerjelentés alatt. Ott van a PHP-verzió, az adatbázis és a telepített bővítmények. A bejuttatott backport a számból nem ismerhető fel; ezt a tárhelyszolgáltatója erősíti meg.
Mi a Security Key a Craftban, és miért kell megújítani?
A .env fájlban lévő Security Key adatok aláírására és titkosítására szolgál. Aki ismeri, bizonyos körülmények között munkameneteket vagy űrlapadatokat hamisíthat. Gyanú esetén az ügynökségével egyeztetve újítsa meg.
Mit hoz az allowAdminChanges false értéke?
Ezzel a mezők, szekciók és bővítménybeállítások éles üzemben már nem módosíthatók a Control Panelen át. A változtatások csak a verziókezelt Project Configon keresztül érkeznek, ami a manipulációt nehezebbé és láthatóbbá teszi.