# PHP2Shell: is-sitwazzjoni tal-ewwel ġimgħa

> PHP2Shell aġġornat: x'inhu ppruvat wara ġimgħa, kif il-BSI u s-CERTs jivvalutaw is-sitwazzjoni, x'inhu magħruf dwar l-attakki u x'jivverifikaw l-operaturi.

Sors: https://phpsos.de/mt/blog/lagebild-erste-woche/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Ġimgħa wara l-ewwel tentattiv ta' attakk osservat, PHP2Shell bħalissa hija l-aktar mistoqsija ta' implimentazzjoni: Il-patches għal PHP 8.2 sa 8.5 jinsabu mill-21 ta' Ottubru, id-distribuzzjonijiet il-kbar ġabu l-ħin, il-BSI iwissi bil-livell oranġjo. Tentattivi ta' attakk ġew osservati, attakki b'suċċess ikkonfermati fuq skala wiesgħa il-BSI għall-ewwel ma rrapportax. Jibqgħu miftuħa l-verżjonijiet qodma, servers mhux imqabbdin mill-ġdid u l-mistoqsija x'ġara qabel il-patch.

## Is-sitwazzjoni fi tliet sentenzi

PHP2Shell huma żewġ vulnerabbiltajiet kritiċi fl-interpretatur ta' PHP innifsu, CVE-2026-109618 u CVE-2026-109619, kull waħda ivvalutata b'CVSS v4.0 9,2. Jippermettu eżekuzzjoni ta' kodiċi mill-bogħod mingħajr login, jiġifieri l-każ li l-esperti tas-sigurtà jibżgħu l-aktar minnu. Affettwati huma PHP-FPM, Apache b'mod_php, php-cgi, FrankenPHP u LiteSpeed; l-ogħla riskju it-tim ta' PHP jarah f'mod_php.

Din il-ħarsa ġenerali tikklassifika l-istat tal-25 ta' Ottubru 2026 skont l-atturi. Il-kors jum b'jum issibu fil-[kronoloġija ta' PHP2Shell](https://phpsos.de/mt/ratgeber/php2shell-chronologie/), hawn tidher l-istampa ġenerali.

## X'inhu ppruvat wara ġimgħa

Ippruvati huma d-dikjarazzjonijiet tal-proġett PHP: Ir-releases 8.5.12, 8.4.27, 8.3.36 u 8.2.35 tal-21 ta' Ottubru jagħlqu ż-żewġ vulnerabbiltajiet. Għal PHP 7.4, 8.0 u 8.1 hemm biss backports minimi tas-sors, l-ebda releases uffiċjali. php.net jenfasizza li ma hemmx miżuri temporanji kompluti u li l-aġġornament huwa l-unika triq sigura.

Fit-23 ta' Ottubru żdied avviż dwar CVE-2026-115560. Jikkonċerna biss konfigurazzjoni mhux tas-soltu tas-session; bħala rimedju php.net isemmi `session.upload_progress.enabled=0` sar-release li jmiss tal-bugfix.

Id-distribuzzjonijiet il-kbar ukoll ħadu pożizzjoni. Ivverifikajna r-rapporti uffiċjali:

| Fornitur | Stat skont ir-rapport uffiċjali |
|---|---|
| Ubuntu | USN-8948-1 għal 22.04, 24.04, 26.04 u 26.10; USN-8948-2 għal 14.04 sa 20.04 permezz ta' Ubuntu Pro |
| Debian | Pakketti rranġati għal bookworm (php8.2, DLA-4848-1) u trixie (php8.4, DSA-6574-1) |
| Red Hat | Bulletin RHSB-2026-013 għal RHEL 7 sa 10; xi aġġornamenti disponibbli, oħrajn għaddejjin |

Red Hat jikklassifika CVE-2026-109618 b'valutazzjoni proprja bħala “Important” u jiġġustifika dan b'kumplessità ogħla tal-attakk. Din hija metodu ta' valutazzjoni differenti minn dak tal-proġett PHP u mhix raġuni biex l-aġġornament jiġi pospost.

## Kif l-awtoritajiet jivvalutaw is-sitwazzjoni

Il-BSI ħabbar il-livell ta' twissija 3 / oranġjo. Jirrakkomanda aġġornament immedjat u, jekk dan ma jkunx possibbli minnufih, li s-servers tal-web affettwati jitneħħew temporanjament min-netwerk. Il-BSI kien jistenna sfruttament mgħaġġel u fuq skala kbira. X'tfisser il-klassifikazzjoni tispjegah il-paġna [X'jirrakkomanda l-BSI dwar PHP2Shell](https://phpsos.de/mt/compliance/bsi-empfehlungen/).

Skont rapporti, CERT-EU iqis possibbli li huma affettwati l-verżjonijiet minn PHP 5, u jirrakkomanda li applikazzjonijiet aċċessibbli pubblikament jiġu iżolati jekk ma jistgħux jiġu ppatchjati fi żmien qasir. CERT-Bund u l-kumpanija tas-sigurtà Huntress ukoll wissew.

Ir-rakkomandazzjoni li fl-emerġenza jsir għeluq ġiet implimentata b'mod viżibbli. Skont rapporti tal-midja, il-belt ta' Mainz neħħiet il-portal ċentrali tal-web tagħha min-netwerk b'mod prekawzjonarju; l-uffiċċji baqgħu jintlaħqu bit-telefon u bl-email. Fil-Hessen, skont hessenschau, paġni tal-gvern tal-Istat, tal-BKA kif ukoll tal-bliet ta' Kassel u Wiesbaden kienu temporanjament offline. Il-Kanċellerija tal-Istat ma rrapportat l-ebda attakk, il-paġni reġgħu kienu aċċessibbli l-għaxija. Komuni oħra, universitajiet u kliniki, skont rapporti, aġixxew bl-istess mod.

## X'inhu magħruf dwar l-attakki

Hawnhekk id-distinzjoni bejn osservazzjoni u konferma hija partikolarment importanti.

- **Osservat:** Skont rapporti tal-midja, fis-17 ta' Ottubru kien hemm l-ewwel tentattiv ta' attakk, li osservah Amazon. Cloudflare u Patchstack irrappurtaw tentattivi ta' attakk; Cloudflare ra wkoll mudelli ta' attakk mibdula.
- **Irriprodott:** watchTowr irriproduċa CVE-2026-109618, skont rapporti, skont dak li ddikjara hu stess.
- **Mhux ikkonfermat:** Il-BSI għall-ewwel ma rrapportax sfruttament b'suċċess ikkonfermat fuq skala wiesgħa. Huntress ma ra l-ebda attakk fl-ambjenti tal-imsieħba fil-mument tar-rapport tiegħu.
- **Mhux magħruf:** Ma hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati. Min irid jivverifika jekk server huwiex affettwat irid jagħti kas ta' mudelli ta' mġiba.

Dwar id-daqs ċirkolaw żewġ numri. Ir-riċerkaturi ta' Unit 42 f'Palo Alto Networks waslu għal aktar minn 22,6 miljun istanza potenzjalment vulnerabbli li huma aċċessibbli min-netwerk. CybelAngel isemmi madwar 2,24 miljun host ta' PHP aċċessibbli, li minnhom, skont l-evalwazzjoni tiegħu stess, 59 fil-mija fuq verżjonijiet mingħajr fix uffiċjali li ġej. It-tnejn jkejlu affarijiet differenti u ma jistgħux jitqabblu direttament. Klassifikazzjoni toffri l-artikolu [Kif jinftiehmu n-numri sew](https://phpsos.de/mt/blog/exponierte-instanzen-einordnen/).

## X'inhu miftuħ

Tliet mistoqsijiet jiddeterminaw il-ġimgħat li ġejjin:

1. **Verżjonijiet qodma:** Parti kbira mill-installazzjonijiet ta' PHP aċċessibbli taħdem, skont l-evalwazzjonijiet imsemmija, fuq fergħat mingħajr fix uffiċjali. Jekk l-offerti kummerċjali fit-tul jgħattux PHP2Shell, irid jiġi kkonfermat bil-miktub mill-fornitur kull darba.
2. **Aġġornamenti mhux kompluti:** Pakketti ġodda jaħdmu biss meta l-proċessi kollha ta' PHP ikunu tqabbdu mill-ġdid. Red Hat jindika espliċitament li reload sempliċi mhuwiex biżżejjed.
3. **Iż-żmien qabel il-patch:** Bejn is-17 u l-21 ta' Ottubru s-servers kienu vulnerabbli waqt li diġà kienu għaddejjin tentattivi ta' attakk. Patch ma jipprovax li f'dan iż-żmien ma ġara xejn.

> **Importanti:**
> Żommu l-logs tas-server tal-web u ta' PHP mill-20 ta' Ottubru, kif jirrakkomanda l-istampa tekniċa. Mingħajr logs il-mistoqsija miftuħa l-aktar importanti għas-server tagħkom aktar tard ma tistax tiġi mwieġba.

## X'għandhom jivverifikaw l-operaturi issa

Għall-valutazzjoni proprja tas-sitwazzjoni huma biżżejjed erba' punti ta' verifika għal kull server: PHP huwa fi stat irranġat jew backport ikkonfermat? Il-proċessi kollha jaħdmu mill-aġġornament 'l hawn? `session.upload_progress.enabled` huwa diżattivat min-naħa tas-server, sakemm l-advisory dwar CVE-2026-115560 ma jkunx ħareġ? Hemm anomaliji mis-17 ta' Ottubru?

Għall-aħħar punt tgħin il-paġna [Diġà ġejt kompromess?](https://phpsos.de/mt/php2shell/bin-ich-gehackt-anzeichen/). Proċess tas-server tal-web li jibda shell, fajls ġodda ta' PHP f'folders tal-upload, cronjobs jew ċwievet SSH mhux magħrufa huma sinjali ta' twissija li jiġġustifikaw investigazzjoni eżatta.

## Kif tgħin PHP SOS b'mod konkret?

- Nivvalutaw l-istat tal-patch ta' kull server abbażi tal-istat tal-pakkett, tal-changelog u tal-ħinijiet tat-tluq tal-proċessi.
- Fejn ma hemm l-ebda patch disponibbli, napplikaw il-miżuri temporanji ta' php.net u niċċaraw it-triq lejn il-verżjoni appoġġata.
- Nissalvaw il-logs mill-20 ta' Ottubru u nfittxu traċċi minn qabel il-patch.
- Bl-[għajnuna immedjata għal PHP2Shell](https://phpsos.de/mt/leistungen/php2shell-soforthilfe/) niġbru dawn il-passi għal negozji li jeħtieġu ċarezza malajr.


## Mistoqsijiet frekwenti

**PHP2Shell diġà qed tiġi sfruttata b'mod attiv?**  
Cloudflare u Patchstack irrappurtaw tentattivi ta' attakk. Attakki b'suċċess ikkonfermati fuq skala wiesgħa il-BSI għall-ewwel ma rrapportax. Huntress ma ra l-ebda attakk fl-ambjenti tal-imsieħba fil-mument tar-rapport tiegħu.

**Il-periklu għadda wara l-patches?**  
Le. Il-patches jipproteġu biss servers li installawhom u reġgħu bdew il-proċessi kollha ta' PHP. Sistemi fuq PHP 8.1 u eqdem jibqgħu vulnerabbli mingħajr backport ikkonfermat, u patch ma jneħħix softwer malizzjuż introdott qabel.

**Għaliex il-websajts tal-awtoritajiet kienu offline?**  
Skont rapporti tal-midja, fost l-oħrajn il-belt ta' Mainz u diversi entitajiet fil-Hessen għalqu l-websajts tagħhom b'mod prekawzjonarju. Dan jikkorrispondi mar-rakkomandazzjoni tal-BSI għal servers li ma jistgħux jiġu aġġornati minnufih. Għeluq ma jfissirx li seħħ attakk.

**Hemm sinjali ta' rikonoxximent għal attakk ta' PHP2Shell?**  
Indicators of Compromise ippubblikati u kkonfermati s'issa ma hemmx. Ir-rikonoxximent jistrieħ fuq analiżi tal-imġiba, pereżempju fuq proċessi ta' PHP li jibdew shell jew fuq fajls ġodda ta' PHP f'folders tal-upload.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [BSI](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [hessenschau: Behörden-Webseiten in Hessen abgeschaltet](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [Ubuntu Security Notice USN-8948-1](https://ubuntu.com/security/notices/USN-8948-1)