# Fajls phpinfo(): għaliex iridu jisparixxu

> Fajl phpinfo minsi jiżvela mogħdijiet, moduli u xi kultant dettalji tal-aċċess. Hekk issib fajls bħal dawn, tneħħihom u tivverifika PHP b'mod aktar sigur.

Sors: https://phpsos.de/mt/blog/phpinfo-dateien-entfernen/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Fajl li jsejjaħ biss `phpinfo()` juri lil kull viżitatur il-verżjoni, il-moduli, il-mogħdijiet u l-issettjar ta' PHP, spiss ukoll variabbli tal-ambjent bid-dettalji tal-aċċess. Għas-sigurtà ta' phpinfo għalhekk japplika: tħallux fajls bħal dawn permanentement fil-webroot, ħassruhom wara l-użu u ivverifikaw l-istat ta' PHP aħjar permezz tal-ġestjoni tal-pakketti u tal-konfigurazzjoni. L-istat tal-patch kontra PHP2Shell output ta' phpinfo xorta waħda ma jippruvahx.

## Il-fajl tat-test li jibqa'

Mill-21/10/2026 eluf ta' admins qed jivverifikaw liema verżjoni ta' PHP jagħtu l-websajts tagħhom. L-aktar mod mgħaġġel huwa magħruf: oħloq fajl `info.php` b'linja waħda, ċempel fil-browser, aqra r-riżultat. Dan jaħdem. Il-problema tibda wara, meta l-fajl jintesa.

Fajls bħal dawn jgħixu sorprendentement fit-tul. Jimxu mat-trasferimenti, jispiċċaw fil-backups u jidhru wara snin f'direttorji li ħadd ma jafhom aktar. Scanners awtomatizzati jitolbu b'mod kontinwu ismijiet tipiċi ta' fajls. Dak li għall-admin kien għajnuna, għall-attakkant huwa struzzjoni ta' kostruzzjoni tas-server.

Partikolarment affettwati huma aġenziji u hosters b'ħafna websajts ta' klijenti. Min f'ġimgħa mgħaġġla jivverifika għexieren ta' websajts, malajr joħloq għexieren ta' fajls tat-test. Folder minsi wieħed biżżejjed biex il-fajl ikun għadu jista' jinġieb xhur wara.

## X'jiżvela phpinfo() u għaliex dan jgħodd għas-sigurtà

Skont il-manwal ta' PHP, `phpinfo()` joħroġ l-istat attwali ta' PHP. Permezz ta' kostanti jista' jiġi kkontrollat liema partijiet jidhru; mingħajr indikazzjoni huwa kollox.

| Qasam (kostanti) | Kontenut skont il-manwal | Għaliex delikat |
|---|---|---|
| `INFO_GENERAL` | Build, post tal-php.ini, server tal-web, sistema | jiżvela s-sistema operattiva u l-mogħdijiet |
| `INFO_CONFIGURATION` | valuri lokali u master tad-direttivi kollha | juri jekk `disable_functions` jew `open_basedir` jaħdmux |
| `INFO_MODULES` | estensjonijiet mgħobbija bl-issettjar | l-attakkanti jaraw liema funzjonijiet huma disponibbli |
| `INFO_ENVIRONMENT` | variabbli tal-ambjent | hawn spiss jinsabu dettalji tal-aċċess tad-database jew tal-API |
| `INFO_VARIABLES` | variabbli predefiniti (Environment, GET, POST, Cookie, Server) | fih headers u cookies tat-talba attwali |

L-aktar perikolużi huma l-aħħar żewġ linji. Applikazzjonijiet moderni jħobbu jgħabbu dettalji tal-aċċess minn variabbli tal-ambjent, pereżempju minn fajl `.env` jew mill-konfigurazzjoni tal-container. Dawn il-valuri mbagħad jidhru bħala test ċar fl-output. Kif tipproteġu sigrieti bħal dawn bħala prinċipju jiddeskrivi l-artiklu [Ipproteġi sewwa d-dettalji tal-aċċess u l-fajls .env](https://phpsos.de/mt/blog/env-dateien-schuetzen/).

Ta' dan jiżdied: L-output juri l-valuri tat-talba li għaddejja, għalhekk anke cookies u headers. Jekk attakkant jista' jidderieġi viżitatur lejn il-paġna u jaqra t-tweġiba, pereżempju permezz ta' vulnerabbiltà Cross-Site Scripting x'imkien ieħor, anke cookies immarkati bħala HttpOnly isiru viżibbli.

## Għaliex phpinfo mhuwiex prova kontra PHP2Shell

Ħafna għadhom kif ħolqu l-fajl biex jivverifikaw l-istat tal-patch. Eżattament għal dan huwa adattat biss b'mod limitat. Distribuzzjonijiet u hosters spiss jinstallaw korrezzjonijiet bħala backport; skont rapporti, pereżempju Ubuntu 24.04 wara l-aġġornament ikompli juri 8.3.6. In-numru murija għalhekk jgħid ftit. Bil-maqlub, numru attwali ma jippruvax li l-workers kollha reġgħu nbdew.

Soda hija l-istat tal-pakkett bin-numri CVE fil-changelog, issupplimentat mir-restart tal-proċessi kollha ta' PHP. Kif issir din jispjegaha l-artiklu [Ivverifika sewwa l-verżjoni u l-istat tal-patch ta' PHP](https://phpsos.de/mt/php2shell/php-version-pruefen/).

Output temporanju fil-kuntest tal-web madankollu għandu postu: juri liema php.ini u liema valuri jgħoddu fil-fatt għall-websajt, għax il-linja tal-kmand spiss taqra konfigurazzjoni differenti. L-isfond dwar livelli u preċedenza jispjegah [Il-php.ini spjegat](https://phpsos.de/mt/php/php-ini-erklaert/). Jekk teħtieġuh, allura protett mill-aċċess, b'isem każwali tal-fajl u biss għal ftit minuti.

Għal ħafna mistoqsijiet hemm modi aħjar xorta waħda. Il-verżjoni ta' PHP ta' pool ta' FPM tinsab fil-konfigurazzjoni tiegħu u fil-lista tal-proċessi. Valuri individwali jistgħu jiġu mitluba b'skript barra mill-webroot permezz ta' `ini_get()`, mingħajr ma jiġi espost kollox. U f'panels tal-hosting l-interface turi l-verżjoni assenjata għal kull websajt, għalkemm mingħajr tgħid dwar backports.

## Sib fajls minsija: passi konkreti ta' verifika

Hekk issib bqijiet qodma fuq server Linux. Il-kmandi jaqraw biss u ma jibdlu xejn.

1. **Fittex fajls bis-sejħa phpinfo** (adatta l-mogħdija):

```bash
grep -rlE "phpinfo[[:space:]]*\(" /var/www --include="*.php" 2>/dev/null
```

2. **Ivverifika ismijiet tipiċi ta' fajls**, anke mingħajr hits fil-kontenut:

```bash
find /var/www -type f \( -iname "info.php" -o -iname "phpinfo.php" -o -iname "test.php" -o -iname "i.php" \) 2>/dev/null
```

3. **Evalwa l-hits:** Mhux kull sejba hija fajl tat-test. Għodod ta' amministrazzjoni, panels jew frameworks jistgħu jużaw `phpinfo()` wara login. Id-deċiżiv hu jekk il-fajl huwiex aċċessibbli mill-internet mingħajr login.

4. **Ara l-aċċessi fil-log** qabel ma tħassar:

```bash
grep -E "GET /(info|phpinfo|test|i)\.php" /var/log/nginx/access.log* 2>/dev/null | tail -n 50
```

5. **Ħassar u biddel is-sigrieti:** Jekk fl-output kien hemm password jew ċavetta u l-fajl kien pubbliku, il-valur jitqies magħruf. Biddluh.

> **Suġġeriment:**
> Sejba b'data tal-ħolqien mhux magħrufa u kontenut notevoli maġenb is-sejħa phpinfo tista' tkun ukoll bieb ta' wara. Mbagħad ma tħassarx biss, imma żomm u ivverifika, ara [Agħraf u neħħi webshells](https://phpsos.de/mt/ratgeber/webshell-erkennen/).

## Evita b'mod permanenti minflok tnaddaf

Tliet miżuri jiżguraw li s-suġġett ma jerġax jidher. L-ewwel: daħħal `phpinfo` fil-lista `disable_functions` tal-php.ini għall-kuntest tal-web. Ivverifikaw minn qabel jekk il-panel tagħkom jeħtieġx il-funzjoni għal paġna tal-istatus. Kif taħdem l-issettjar u fejn huma l-limiti tagħha tinsab f'[Uża disable_functions sewwa](https://phpsos.de/mt/ratgeber/disable-functions/).

```ini
; php.ini għal FPM jew Apache, wara erġa' ibda l-proċessi kollha ta' PHP
disable_functions = phpinfo
expose_php = Off
```

It-tieni: provvista biss permezz ta' proċess fiss, pereżempju b'Git jew build pipeline, biex ma jaslux fajls individwali bl-id fil-webroot. It-tielet: tagħrif dwar l-istatus jappartjeni fil-monitoraġġ jew fl-inventarju, mhux f'paġna pubblika.

`expose_php = Off` ineħħi barra minn hekk l-header li bih PHP jikkomunika l-verżjoni tiegħu f'kull tweġiba. Dan ma jissostitwix aġġornament, imma jneħħi lil scanners awtomatizzati informazzjoni komda. Min għandu diversi nies b'aċċess għas-server għandu jaqbel ukoll fuq regola sempliċi: fajls tat-test jitħassru fl-istess pass tax-xogħol li fih jinħolqu, u mhux „aktar tard“.

## Kif tgħin PHP SOS b'mod konkret?

- Infittxu fil-webroots tagħkom għal fajls phpinfo, skripts tat-test u bqijiet qodma oħra u nevalwaw kull sejba.
- Nevalwaw l-aċċessi għall-fajls misjuba u ngħidulkom liema sigrieti għandkom tibdlu.
- Nippruvaw l-istat tal-patch kontra PHP2Shell permezz tal-changelog tal-pakkett u tal-bidu tal-proċess minflok permezz ta' wiri tal-verżjoni.
- Napplikaw `disable_functions`, `expose_php` u hardening ieħor b'mod permanenti fil-qafas tal-[Hardening tas-server](https://phpsos.de/mt/leistungen/server-haertung/).

**Konklużjoni:** Fajl phpinfo jinħoloq f'sekondi u jintesa daqshekk malajr. Min issa jfittxu u jneħħih, jagħlaq tnixxija ta' data bla bżonn u jistrieħ, għall-istat tal-patch, fuq provi soda.


## Mistoqsijiet frekwenti

**Fajl phpinfo huwa fih innifsu vulnerabbiltà?**  
Ma jiftaħx aċċess, imma jagħti lill-attakkanti deskrizzjoni dettaljata tas-server: verżjoni, moduli, mogħdijiet, issettjar u, skont l-ambjent, ukoll variabbli tal-ambjent. Dan jiffaċilita attakki mmirati u jista' jesponi dettalji tal-aċċess.

**In-numru tal-verżjoni f'phpinfo jippruvax li PHP2Shell huwa ppatchjat?**  
Le. Distribuzzjonijiet u hosters spiss jinstallaw korrezzjonijiet bħala backport, in-numru murija mbagħad jibqa' l-istess. L-istat tal-patch jippruvah il-changelog tal-pakkett u l-konferma tal-fornitur, flimkien mar-restart tal-proċessi kollha ta' PHP.

**X'għandi nagħmel jekk fajl phpinfo kien pubbliku għal żmien twil?**  
Ħassar il-fajl, ara fl-access log min talbu, u biddel is-sigrieti kollha li kienu fl-output, pereżempju passwords tad-database jew ċwievet tal-API minn variabbli tal-ambjent.

**Nista' ntemm phpinfo() għalkollox?**  
Iva, permezz ta' disable_functions fil-php.ini tal-kuntest tal-web. Ivverifikaw minn qabel jekk panel jew applikazzjoni jużawx il-funzjoni għal paġni tal-istatus, u erġgħu ibdew il-proċessi ta' PHP wara.

## Sorsi

- [Manwal ta' PHP: phpinfo()](https://www.php.net/manual/de/function.phpinfo.php)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
- [php.net: avviżi ta' sigurtà](https://www.php.net/)