Īsi: Liela daļa izplatīto satura pārvaldības sistēmu (CMS) un veikalu sistēmu ir rakstīta PHP, to vidū WordPress ar WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento jeb Adobe Commerce un PrestaShop. Klāt nāk iekšējās lietojumprogrammas, piemēram, Nextcloud, Moodle, MediaWiki un Matomo. Kas darbina kādu no šīm sistēmām, to skar ievainojamības PHP interpretatorā, piemēram, PHP2Shell, neatkarīgi no tā, cik aktuāls ir pats CMS.
Kāpēc tik daudzas vietnes darbojas uz PHP
PHP kopš 1990. gadiem ir pielāgots tīmekļa serveriem un ir pieejams praktiski pie katra hostinga sniedzēja. CMS uz PHP bāzes tāpēc var darbināt bez savas serveru infrastruktūras, un tas bija un ir pievilcīgi īpaši maziem un vidējiem uzņēmumiem, biedrībām un iestādēm.
Operatoriem tas nozīmē: vietne nav tikai „WordPress“ vai „Shopware“, bet vairāku slāņu kaudze. Apakšā darbojas operētājsistēma, virs tās tīmekļa serveris, tad PHP interpretators un pašā augšā CMS ar paplašinājumiem. Katram slānim vajadzīgi savi atjauninājumi. Ievainojamība PHP skar visas uz tā balstītās sistēmas.
Klāt nāk paplašinājumi: spraudņi, motīvi, moduļi un veikalu saskarnes arī ir PHP kods, bieži no maziem piegādātājiem. Tie darbojas ar tām pašām tiesībām kā CMS un tiek izpildīti ar to pašu PHP izpildes vidi. CMS ar daudziem paplašinājumiem tāpēc ir lielāka uzbrukuma virsma nekā slaidai instalācijai, pat ja kodols ir aktuāls.
Skaitļus par atsevišķu sistēmu izplatību šeit nesniedzam. Tiem nav avota, ko mēs vērtētu kā uzticamu un salīdzināmu.
Izplatītas CMS un veikalu sistēmas uz PHP bāzes
Tabulā minētas zināmas sistēmas un tas, ko ražotāji paši saka par savu tehnisko pamatu. Versiju prasības apzināti nesniedzam, jo tās mainās ar katru izlaidumu.
| Sistēma | Veids | Norāde par tehnisko pamatu |
|---|---|---|
| WordPress, WooCommerce | CMS, veikala paplašinājums | PHP lietojumprogramma, saskaņā ar prasībām MySQL vai MariaDB |
| TYPO3 | CMS | saskaņā ar dokumentāciju vajadzīgs tīmekļa serveris, PHP un SQL datubāze |
| Joomla | CMS | PHP ar MySQL, MariaDB vai PostgreSQL |
| Drupal | CMS | PHP; kodola paplašinājumi failā core/composer.json |
| Contao | CMS | saskaņā ar ražotāju uz Symfony Full-Stack Framework |
| Craft CMS | CMS | ražotājs izmantoto rīku vidū min Yii |
| Shopware 6 | Veikals | izstrādātāju dokumentācija spraudņus aplūko kā Symfony bundles |
| Magento Open Source, Adobe Commerce | Veikals | PHP un Composer sistēmas prasībās |
| PrestaShop | Veikals | PHP ar savu saderības tabulu |
| Nextcloud | Failu glabātuve | Apache ar mod_php vai PHP-FPM, Nginx ar PHP-FPM |
| Moodle | Mācību platforma | saskaņā ar dokumentāciju izstrādāta PHP |
| MediaWiki, Matomo | Wiki, statistika | PHP saskaņā ar instalēšanas prasībām |
Daudzas no šīm sistēmām iekšēji izmanto elementus no PHP ietvariem un bibliotēkas ielādē ar Composer. Lielākajai daļai mums ir savas lapas ar norādēm par aizsardzību, piemēram, WordPress, Shopware 6 un TYPO3.
Kā noskaidrot, vai mana vietne darbojas uz PHP?
Daudzi uzņēmumi precīzi nezina, kuras sistēmas pie tiem darbojas, īpaši, ja vietni būvējusi aģentūra. Šie soļi rada skaidrību:
- Izveidot inventāru: Uzskaitīt visus domēnus, apakšdomēnus un iekšējās tīmekļa saskarnes, arī testa sistēmas un vecas kampaņu lapas.
- Pajautāt hostinga sniedzējam vai aģentūrai: Kura sistēma, kura PHP versija, kurš darbības režīms (PHP-FPM, mod_php, LiteSpeed)? Palūdziet rakstisku atbildi.
- Apskatīt hostinga paneli: Plesk, cPanel un līdzīgās saskarnēs PHP versija ir norādīta katrai vietnei. Ņemiet vērā, ka distributīva backport labojumi parādīto numuru nemaina.
- Pārbaudīt serverī: Administratori pēc procesiem un tīmekļa servera konfigurācijas redz, kura PHP izpildes vide patiešām piegādā.
- Neaizmirst ierīces: NAS sistēmām, maršrutētājiem un ierīcēm (appliances) bieži ir tīmekļa saskarne, kas arī var darboties uz PHP.
# Serverī: kuri PHP procesi darbojas?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Sistēmas prasības jāuztver nopietni
Katrs ražotājs publicē, ar kurām PHP versijām tā programmatūra ir testēta. Šīs norādes ir pamats katram atjauninājumu plānam: PHP atjauninājums uz versiju, ko CMS vēl neatbalsta, var paralizēt vietni. CMS, kas darbojas tikai ar PHP versiju bez drošības atjauninājumiem, ir pastāvīgs risks.
Tāpēc pēc ražotāja sistēmas prasībām jūsu precīzajai versijai pārbaudiet, kuras PHP versijas ir iespējamas, un salīdziniet to ar labotajām PHP versijām. Sistēmām, kas darbojas tikai ar PHP 8.1 vai vecāku, PHP projekts oficiālu atjauninājumu vairs nesniedz.
Ko PHP2Shell nozīmē CMS un veikalu operatoriem
PHP2Shell sastāv no ievainojamībām CVE-2026-109618 un CVE-2026-109619 PHP interpretatorā, abām ar CVSS 9.2. Tās ļauj izpildīt ļaunprātīgu kodu bez pieteikšanās. Novērstas tās ir PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35. CMS atjauninājums šīs ievainojamības neaizver; kāpēc, izskaidro mūsu raksts Kāpēc WordPress atjauninājums pret PHP2Shell nepalīdz.
Veikaliem tas ir īpaši smagi, jo tur atrodas klientu dati, pasūtījumi un piekļuves dati maksājumu un piegādes pakalpojumiem. Ielāps turklāt nenoņem ļaunprogrammatūru, kas ievadīta iepriekš, un nepierāda, ka nekas nav noticis.
Kā PHP SOS palīdz konkrēti?
- Mēs izveidojam jūsu uz PHP balstīto vietņu un iekšējo lietojumprogrammu inventāru ar sistēmu, PHP versiju un darbības režīmu.
- Mēs salīdzinām ražotāju prasības ar labotajām PHP versijām un plānojam atjauninājumu katrai sistēmai.
- Mēs ieviešam PHP atjauninājumus, pārstartējam visus procesus un pēc tam pārbaudām, vai CMS un veikals darbojas pareizi.
- Aizdomu par incidentu gadījumā mēs sistēmu izmeklējam PHP2Shell tūlītējās palīdzības ietvaros.
Biežāk uzdotie jautājumi
Vai WordPress darbojas uz PHP?
Jā. WordPress ir PHP lietojumprogramma, un saskaņā ar oficiālajām prasībām tai vajadzīgs PHP, kā arī MySQL vai MariaDB datubāze. Tādējādi ievainojamības PHP interpretatorā skar katru WordPress instalāciju neatkarīgi no paša WordPress stāvokļa.
Vai CMS atjauninājums palīdz pret PHP2Shell?
Nē. Ievainojamība atrodas PHP, nevis CMS. Saskaņā ar drweb.de WordPress.org tāpēc arī neplāno savu atjauninājumu pret to. Aizvērt to var tikai ar labotu PHP versiju un visu PHP procesu pārstartēšanu.
Kā uzzināt, kura PHP versija vajadzīga manam veikalam?
No ražotāja sistēmas prasībām jūsu konkrētajai versijai. Šīs norādes mainās ar katru lielāku izlaidumu, tāpēc tās jālasa tieši pie ražotāja, nevis jāpārņem no vecākām instrukcijām.
Vai skar arī iekšējās lietojumprogrammas?
Jā, ja tās darbojas uz PHP. Failu glabātuves, piemēram, Nextcloud, mācību platformas, piemēram, Moodle, iekšējās wiki ar MediaWiki vai Matomo statistikai ir PHP lietojumprogrammas. Apzinot esošo stāvokli, tās bieži aizmirst.
Vai vietne bez .php adresē nav PHP?
Ne obligāti. Modernās sistēmas visas adreses vada caur centrālo index.php, tāpēc URL .php nekad neparādās. Droši ir tikai ieskats serverī vai hostinga sniedzēja vai aģentūras atbilde.