Mistoqsijiet frekwenti
Imwieġba fil-qosor. Dettalji sħaħ issibu fil-paġni ta' għarfien marbuta.
X'inhu PHP2Shell?
PHP2Shell jirreferi għal żewġ vulnerabbiltajiet kritiċi f'PHP innifsu (CVE-2026-109618 u CVE-2026-109619, CVSS 9,2). Jistgħu jippermettu lill-attakkanti jesegwixxu kodiċi malizzjuż fuq is-server mingħajr login. Il-patches huma disponibbli mill-21/10/2026.
Liema verżjonijiet ta' PHP huma siguri?
Il-korrezzjonijiet jinsabu f'PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Il-hosters u d-distribuzzjonijiet xi kultant jinstallaw backports mingħajr ma jibdlu n-numru tal-verżjoni. Id-deċiżiv huwa l-istat tal-pakkett jew il-konferma bil-miktub tal-fornitur.
Huwa biżżejjed aġġornament ta' WordPress jew tal-ħanut?
Le. Il-vulnerabbiltà tinsab f'PHP, mhux fis-CMS. Aġġornament tas-CMS ma jagħlaqhiex. U patch ta' PHP ma jneħħix kodiċi malizzjuż li jkun diġà ddaħħal qabel.
Kemm tistgħu tgħinu malajr?
Naħdmu mill-bogħod u nibdew hekk kif jaslu l-aċċessi. Iktbu lilna fuq WhatsApp is-sistema, il-verżjoni ta' PHP u dak li osservajtu. Imbagħad niċċaraw il-passi direttament.
Taħdmu wkoll għal aġenziji u klijenti tal-hosters?
Iva. Naħdmu direttament għal kumpaniji, fl-isfond f'isem aġenziji u b'koordinazzjoni mal-hoster tagħkom meta dan jamministra s-server.
Irridu nirrapportaw l-inċident?
Meta tista' tkun affettwata data personali, skont l-Art. 33 GDPR ġeneralment japplika terminu ta' notifika ta' 72 siegħa minn meta ssiru tafu. Jekk japplikax tiċċarawh mal-uffiċjal tal-protezzjoni tad-data. Aħna nipprovdu d-dokumentazzjoni teknika għal dan.
PHP2Shell hija vulnerabbiltà ta' WordPress?
Le. Il-vulnerabbiltajiet jinsabu f'PHP, jiġifieri fil-lingwa tal-programmazzjoni li fuqha jaħdmu WordPress, Shopware, TYPO3 u ħafna sistemi oħra. Aġġornament tas-CMS għalhekk ma jagħlaqhomx. Id-deċiżiv huwa l-istat ta' PHP fuq is-server.
Bħala klijent ta' hoster, jien stess għandi nagħmel xi ħaġa?
F'shared hosting ġeneralment il-hoster jinstalla l-aġġornament ta' PHP. Madankollu għandkom titolbu konferma bil-miktub li l-verżjoni ta' PHP li qed tużaw ġiet ippatchjata u mibdija mill-ġdid. Jekk xi ħaġa ġrat qabel il-patch, l-aġġornament ma jweġibx.
Minn fejn ġej l-isem PHP2Shell?
L-isem jiddeskrivi l-konsegwenza: permezz ta' PHP attakkant jista', fl-agħar każ, jikseb linja tal-kmand, jiġifieri shell, fuq is-server. Id-denominazzjonijiet uffiċjali huma n-numri CVE CVE-2026-109618 u CVE-2026-109619.
Il-websajt tiegħi ġiet diġà attakkata jekk ġiet imneħħija min-netwerk?
Mhux neċessarjament. Xi fornituri neħħew websajts min-netwerk b'kawtela, kif jirrakkomanda l-BSI meta aġġornament ma jistax isir minnufih. Din hija miżura ta' protezzjoni u mhix prova ta' attakk.
Huwa biżżejjed jekk il-hoster tiegħi aġġorna PHP?
Jista' jkun biżżejjed jekk il-hoster jikkonferma bil-miktub l-istat tal-pakketti u l-proċessi kollha ta' PHP ġew mibdija mill-ġdid. In-numru tal-verżjoni li jidher waħdu mhuwiex prova, għax id-distribuzzjonijiet jinstallaw backports. Jekk is-server kienx diġà ġie attakkat qabel, patch ma jweġibx f'kull każ.
Il-websajt tiegħi trid titneħħa online għall-għajnuna immedjata?
Mhux neċessarjament. Il-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) jirrakkomanda li s-servers tal-web jitneħħew temporanjament min-netwerk jekk l-aġġornament ma jkunx possibbli immedjatament. Jekk dan huwiex meħtieġ f'sitwazzjoni tagħkom, niddeċiedu flimkien wara l-inventarju.
Aġġornament ta' WordPress jew Shopware jipproteġi minn PHP2Shell?
Le. PHP2Shell jinsab f'PHP innifsu, mhux fis-CMS. Aġġornament tas-CMS jibqa' sensat, imma ma jagħlaqx din il-vulnerabbiltà.
X'jiġri b'PHP 8.1 jew eqdem?
Għal dawn il-verżjonijiet il-proġett PHP m'għadux joħroġ aġġornamenti uffiċjali, ħlief backports minimi tal-kodiċi sors għal 7.4, 8.0 u 8.1. Nissiguraw is-server temporanjament u nippjanaw magħkom il-bidla għal verżjoni appoġġjata.
Minn meta jibdew jgħaddu l-72 siegħa?
Skont l-Art. 33 GDPR, minn meta l-kontrollur isir jaf bil-ksur. Meta dan jitqies li seħħ f'każ speċifiku hija evalwazzjoni legali. Għalhekk iddokumentaw eżattament meta min kellu liema informazzjoni.
Kull vulnerabbiltà tas-sigurtà trid tiġi nnotifikata?
Le. Vulnerabbiltà waħedha mhijiex għadha ksur tal-protezzjoni tad-data personali. Jista' jinqala' obbligu ta' notifika meta jkun hemm indikazzjonijiet li persuni mhux awtorizzati kellhom jew setgħu kellhom aċċess għal dik id-data, u minn dan jirriżulta riskju għall-persuni kkonċernati.
U jekk wara 72 siegħa għadni ma nafx kollox?
L-Art. 33(4) GDPR jippermetti li l-informazzjoni tiġi ppreżentata gradwalment meta ma tkunx tista' tiġi pprovduta fl-istess ħin. Notifika tard trid tiġi ġustifikata. Li wieħed jistenna ċarezza sħiħa għalhekk ġeneralment mhuwiex raġuni biex iħalli jiskadi t-terminu.
Min jinnotifika jekk il-hoster kien affettwat?
Obbligat jinnotifika huwa l-kontrollur, jiġifieri ġeneralment il-kumpanija li taħdem il-websajt. Pproċessur bħall-hoster irid jinforma lill-kontrollur mingħajr dewmien skont l-Art. 33(2) GDPR.
Fejn nirrapporta ksur tad-data?
Lill-awtorità superviżorja kompetenti tal-protezzjoni tad-data; għal kumpaniji fil-Ġermanja ġeneralment l-awtorità tal-Bundesland fejn għandhom is-sede. Il-biċċa l-kbira tal-awtoritajiet joffru formoli online għal dan.
Kull siegħa tgħodd. Iktbu lilna issa.
Iddeskrivu fil-qosor is-sistema, il-verżjoni ta' PHP u dak li osservajtu. Nikkuntattjawkom, niċċaraw is-sitwazzjoni u naħdmu mill-bogħod sakemm l-inċident jingħalaq u jiġi ddokumentat.