Glossarju: PHP u sigurtà tal-IT

125 termini tekniċi f'kliem ċar, kull wieħed b'referenza għall-paġna teknika xierqa.

#A B C D E F G H I J L M N O P R S T U V W X Z

#

2FA: 2FA (awtentikazzjoni b'żewġ fattur) teħtieġ fil-login, minbarra l-password, prova oħra, pereżempju kodiċi minn app jew ċavetta tas-sigurtà. Password misruqa waħedha mbagħad ma tibqax biżżejjed. Għall-aċċessi kollha tal-amministraturi għal CMS, panel tal-hosting u servers, 2FA għandu jkun standard. Kif tistabbilixxu awtentikazzjoni b'żewġ fatturi għall-aċċessi tal-amministraturi →

A

Apache: Apache HTTP Server huwa wieħed mill-eqdem u l-aktar servers tal-web mifruxa. PHP jaħdem fih jew bħala modulu (mod_php) jew permezz ta' PHP-FPM bil-FastCGI. B'fajls .htaccess il-konfigurazzjoni tista' tiġi adattata għal kull direttorju. Kif tassiguraw Apache b'mod_php →
Assigurazzjoni ċibernetika: Assigurazzjoni ċibernetika, skont il-kuntratt, tkopri spejjeż wara attakk, pereżempju għall-forensika, ir-restawr jew l-interruzzjoni tan-negozju. Ħafna kuntratti fihom obbligi bħal aġġornamenti fil-ħin u notifika immedjata tad-dannu. X'japplika f'kull każ individwali tiċċarawh mal-assiguratur tagħkom. Assigurazzjoni ċibernetika: x'jgħodd f'każ ta' dannu →

B

Backdoor: Backdoor (bieb sigriet) hija aċċess moħbi li bih l-attakkanti jistgħu jirritornaw wara dħul. Tista' tkun fajl, kont ta' amministratur, cronjob jew ċavetta SSH. Għalhekk f'kull tindif jappartjeni t-tiftix għat-tipi kollha ta' aċċessi, mhux biss għal fajls. Sib backdoor f'WordPress: kif issibu l-backdoors b'mod sistematiku →
Backport: Backport jittrasferixxi korrezzjoni tas-sigurtà f'verżjoni eqdem tal-programm, mingħajr ma jinbidel għall-verżjoni l-ġdida. Id-distribuzzjonijiet tal-Linux u l-hosters ħafna drabi jagħmlu dan; in-numru tal-verżjoni murija jibqa' l-istess. Jekk backport huwiex installat, jippruvawh il-changelog tal-pakkett u l-konferma tal-fornitur, mhux in-numru. Aġġornament ta' PHP jew backport? Id-deċiżjoni għal sistemi antiki →
Backup 3-2-1: Ir-regola 3-2-1 tirrakkomanda tliet kopji tad-data fuq żewġ mezzi differenti ta' ħażna, waħda minnhom f'post ieħor. Mill-inqas kopja waħda m'għandhiex tkun tista' tinbidel mis-server, biex l-attakkanti ma jkunux jistgħu jħassruha jew jikkriptawha. Backup jgħodd biss meta r-restawr ikun ġie ttestjat. Strateġija ta' backup għal servers: backups skont ir-regola 3-2-1 →
Brute Force: F'attakk brute force attakkant jipprova b'mod awtomatiku ħafna passwords għal kont. Il-miri spiss huma l-logins tal-amministraturi tas-CMS, SSH jew FTP. Protezzjoni joffru passwords b'saħħithom, awtentikazzjoni b'żewġ fattur u imblokki awtomatiċi bħal Fail2ban. Kif tipproteġu l-logins tal-amministraturi minn brute force: protezzjoni brute force għal kull login →
BSI: Il-BSI (Bundesamt für Sicherheit in der Informationstechnik) huwa l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni, l-awtorità taċ-ċibersigurtà tal-Federazzjoni Ġermaniża. Jippubblika twissijiet, rakkomandazzjonijiet u standards bħall-IT-Grundschutz. Dwar PHP2Shell il-BSI ħabbar livell ta' twissija 3 (oranġjo) u rrakkomanda aġġornament immedjat. X'jirrakkomanda l-BSI dwar PHP2Shell →

C

CDN: CDN (Content Delivery Network) jikkunsinna kontenut permezz ta' ħafna servers imqassma u b'hekk jinsab quddiem il-websajt attwali. Ħafna CDNs joffru wkoll regoli WAF, pereżempju Cloudflare kontra PHP2Shell. Il-protezzjoni taħdem biss għat-traffiku permezz tas-CDN u ma tissostitwixxix aġġornament ta' PHP. Regoli ta' protezzjoni ta' Cloudflare kontra PHP2Shell: x'jagħmlu u x'ma jagħmlux →
CERT-Bund: CERT-Bund huwa t-tim ta' rispons għall-emerġenzi tal-kompjuter (CERT) tal-amministrazzjoni federali Ġermaniża fil-BSI. Jippubblika servizzi ta' twissija u informazzjoni dwar vulnerabbiltajiet u jinnotifika lill-operaturi tan-netwerks dwar sistemi vulnerabbli. Anke dwar PHP2Shell CERT-Bund ħareġ twissija. X'jirrakkomandaw CERT-EU u CERT-Bund dwar PHP2Shell →
CERT-EU: CERT-EU huwa t-tim taċ-ċibersigurtà għall-istituzzjonijiet, il-korpi u l-aġenziji tal-Unjoni Ewropea. Skont rapporti, CERT-EU iqis possibbli li f'PHP2Shell huma affettwati verżjonijiet minn PHP 5. Jirrakkomanda li applikazzjonijiet aċċessibbli pubblikament jiġu iżolati jekk ma jistgħux jiġu ppatchjati fi żmien qasir. X'jirrakkomandaw CERT-EU u CERT-Bund dwar PHP2Shell →
CGI: CGI (Common Gateway Interface) hija interface qadima fejn is-server tal-web jibda programm estern għal kull talba u jirritorna l-output tiegħu. Hija sempliċi, imma bil-mod, u għal PHP ġiet fil-biċċa l-kbira sostitwita minn FastCGI. Setups qodma ta' CGI għadhom jinstabu fuq xi sistemi ta' hosting u Windows. CGI u FastCGI: il-bażi →
cgroups: cgroups (Control Groups) huma funzjoni tal-kernel tal-Linux li biha jistgħu jiġu llimitati l-memorja, is-CPU u riżorsi oħra għal gruppi ta' proċessi. Il-containers u systemd jużawhom, pereżempju b'MemoryMax. Bħala miżura temporanja kontra PHP2Shell php.net jirrakkomanda limitu tal-memorja permezz ta' container jew cgroup minflok RLIMIT_AS jew RLIMIT_DATA. Issettja limiti tal-memorja b'systemd u cgroups →
Chain of Custody: Il-Chain of Custody (katina tal-provi) tiddokumenta mingħajr lakuni min salva, għadda u ttratta prova u meta. Komplementata b'checksums turi li d-data ma nbidlitx. Mingħajr din id-dokumentazzjoni t-traċċi jitilfu valur quddiem il-qorti jew quddiem l-assiguraturi. Forensika tal-IT wara attakk fuq server tal-web →
Changelog: Changelog jelenka l-bidliet ta' verżjoni ta' programm jew pakkett, f'korrezzjonijiet tas-sigurtà ġeneralment bin-numru CVE. Taħt Debian u Ubuntu apt-get changelog juri l-changelog tal-pakkett, fil-familja RHEL rpm -q --changelog. Hekk backport jista' jiġi ppruvat anke b'numru ta' verżjoni identiku. Kif tipprova n-numri CVE fil-changelog tal-pakkett →
CLI: CLI (Command Line Interface) huwa PHP fuq il-linja tal-kmand, pereżempju għal cronjobs, kmandi tal-console tas-CMS u Composer. Il-PHP tas-CLI jista' jkun verżjoni differenti mill-PHP li jservi l-websajts. Il-kmand php -v għalhekk juri biss il-verżjoni tal-linja tal-kmand; iż-żewġ mogħdijiet iridu jkunu ppatchjati. PHP fuq il-linja tal-kmand (CLI) →
CloudLinux: CloudLinux hija distribuzzjoni tal-Linux għal shared hosting li tifred il-klijenti f'ambjenti limitati. B'alt-php tipprovdi ħafna verżjonijiet ta' PHP lejn xulxin, anke eqdem. Kull waħda minn dawn il-verżjonijiet trid tiġi ppatchjata individwalment. CloudLinux u alt-php: x'għandhom jafu l-klijenti tal-hosting →
Command Injection: Fil-command injection l-input jaqa' mhux ivverifikat f'kmand tas-sistema li l-applikazzjoni teżegwixxi. L-attakkant jista' hekk jibda kmandi proprji bid-drittijiet tas-server tal-web. Protezzjoni joffru li jiġu evitati sejħiet tal-shell fejn possibbli u maskerar konsistenti b'escapeshellarg(). Evita Command Injection f'PHP →
Composer: Composer huwa l-amministratur tal-pakketti għal PHP. Jinstalla libreriji skont l-indikazzjonijiet f'composer.json u jżomm il-verżjonijiet eżatti f'composer.lock. B'composer audit il-pakketti installati jistgħu jiġu vverifikati għal vulnerabbiltajiet magħrufa; vulnerabbiltajiet f'PHP innifsu l-kmand ma jsibhomx. Composer: il-ġestjoni tal-pakketti għal PHP →
Container: Container huwa ambjent tat-tħaddim iżolat li jibda applikazzjoni bid-dipendenzi kollha minn image, pereżempju b'Docker. PHP fil-container jiġi mill-image, mhux mis-sistema host. Aġġornament fuq l-host għalhekk ma jipatchjahx; l-image irid jinbena mill-ġdid u l-container jerġa' jinbeda. Tħaddim ta' PHP f'containers →
cPanel: cPanel huwa panel ta' amministrazzjoni għall-web hosting, b'WHM bħala interface għall-amministratur tas-server. Il-verżjonijiet ta' PHP hemmhekk ġeneralment jiġu pprovduti permezz ta' pakketti proprji (EasyApache). Liema builds huma ppatchjati jikkonfermaw l-istat tal-pakkett u l-hoster. cPanel u WHM: kif tassiguraw PHP →
Credential Stuffing: Fil-credential stuffing l-attakkanti jipprovaw aċċessi minn tnixxijiet ta' data preċedenti ma' servizzi oħra. Jaħdem għax ħafna nies jużaw l-istess passwords aktar minn darba. Protezzjoni joffru passwords uniċi għal kull servizz u awtentikazzjoni b'żewġ fattur. Kif tistabbilixxu awtentikazzjoni b'żewġ fatturi għall-aċċessi tal-amministraturi →
Cryptominer: Cryptominer huwa softwer malizzjuż li jikkalkula kriptovaluta fuq servers barranin. Sinjali tipiċi huma tagħbija għolja permanenti tas-CPU u proċessi mhux magħrufa. Miner juri li attakkant jista' jesegwixxi kodiċi; is-server imbagħad għandu jitqies bħala kompromess. Cryptominer fuq is-server tal-web: sinjali u proċedura →
CSP: CSP (Content Security Policy) huwa header li jiddetermina minn liema sorsi paġna tista' tgħabbi skripts, immaġini u kontenut ieħor. Iżid id-diffikultà għal XSS u għad-dħul ta' skripts barranin, pereżempju fl-skimming. CSP stretta trid tiġi ttestjata bir-reqqa, biex il-websajt tkompli taħdem. Headers tas-sigurtà għall-websajts: kif tissettjawhom sewwa →
CSRF: CSRF (Cross-Site Request Forgery) iġiegħel il-browser ta' utent illoggjat jattiva azzjoni mhux mixtieqa fuq websajt oħra. Tipiċi huma bidliet f'żoni ta' amministrazzjoni. Protezzjoni joffru tokens każwali fil-formoli u cookies bl-attribut SameSite. Protezzjoni CSRF f'applikazzjonijiet PHP →
CVE: CVE (Common Vulnerabilities and Exposures) huwa direttorju użat mad-dinja kollha li jagħti lil kull vulnerabbiltà magħrufa numru uniku, pereżempju CVE-2026-109618. In-numru jagħmel l-avviżi ta' manifatturi, awtoritajiet u distribuzzjonijiet komparabbli. Permezz tan-numru CVE jista' jiġi vverifikat ukoll fil-changelog tal-pakkett jekk korrezzjoni hijiex installata. Kif tipprova n-numri CVE fil-changelog tal-pakkett →
CVSS: CVSS (Common Vulnerability Scoring System) jivvaluta s-severità ta' vulnerabbiltà fuq skala minn 0 sa 10. Il-valutazzjoni tqis pereżempju jekk attakk huwiex possibbli mill-network u mingħajr login. Il-vulnerabbiltajiet ta' PHP2Shell għandhom kull waħda CVSS v4.0 9,2; dwar ir-riskju konkret fl-ambjent tagħkom il-valur waħdu ma jgħid xejn.

D

DDoS: Attakk DDoS (Distributed Denial of Service) jgħarraq servizz b'talbiet minn ħafna sorsi sakemm ma jibqax jintlaħaq. Id-data ġeneralment ma tinsteraqx. DDoS għandu jiġi distint minn exploit li jisfrutta vulnerabbiltà b'mod immirat. DDoS jew attakk ta' hackers? Kif tikklassifikaw l-attakki sewwa →
Defacement: Fid-defacement l-attakkanti jibdlu b'mod viżibbli l-paġna ewlenija jew il-kontenut ta' websajt, pereżempju b'messaġġi jew immaġini. Huwa ovvju, imma ħafna drabi biss is-sinjal viżibbli ta' dħul aktar fil-fond. Il-websajt għandha tiġi ttrattata bħala kompromessa sakemm tiġi ċċarata. Websajt hackjata, x'għandi nagħmel? Għajnuna ta' emerġenza mill-bogħod →
Deserjalizzazzjoni: Id-deserjalizzazzjoni tittrasforma data maħżuna lura f'oġġetti, f'PHP pereżempju b'unserialize(). Jekk id-data ġejja mill-utenti, l-attakkanti jistgħu jibnu oġġetti b'mod li meta jitgħabbew jaħdem kodiċi mhux mixtieq. Għal data tal-utenti JSON huwa l-għażla aktar sigura. Deserjalizzazzjoni mhux sikura f'PHP: unserialize u sigurtà →
disable_functions: disable_functions huwa issettjar tal-php.ini li bih jiġu diżattivati funzjonijiet individwali ta' PHP, tipikament dawk għall-eżekuzzjoni ta' kmandi tas-sistema. Jista' jiġi ffissat biss fil-php.ini, mhux fil-kodiċi tal-applikazzjoni. Jagħmel il-ħajja aktar diffiċli għall-attakkanti, imma ma jissostitwixxix la aġġornamenti u lanqas drittijiet nodfa. Kif tużaw PHP disable_functions sewwa →
display_errors: display_errors jiddetermina jekk PHP juri l-messaġġi ta' żball direttament fil-browser. Fil-produzzjoni l-valur jappartjeni fuq Off, u l-iżbalji jinkitbu minflok f'log b'log_errors. Messaġġi viżibbli inkella jiżvelaw mogħdijiet, verżjonijiet u siltiet tal-kodiċi. display_errors off: itfi l-output tal-iżbalji fil-produzzjoni →

E

EDR: EDR (Endpoint Detection and Response) huwa softwer fuq servers u workstations li josserva proċessi, aċċessi għall-fajls u konnessjonijiet tan-netwerk u jirrapporta jew iwaqqaf imġiba suspettuża. Fuq servers tal-web jista' jagħraf pereżempju li PHP-FPM jibda shell. Billi għal PHP2Shell ma hemmx IOCs ikkonfermati, analiżi bħal din tal-imġiba hija partikolarment importanti. Sinjal ta' twissija: is-server tal-web jibda shell →
Embargo: Embargo huwa l-perjodu miftiehem li matulu d-dettalji ta' vulnerabbiltà jibqgħu kunfidenzjali sakemm il-patches ikunu lesti. Hekk il-manifatturi u d-distribuzzjonijiet jistgħu jħejju aġġornamenti. F'PHP2Shell, skont diversi rapporti, id-dettalji saru pubbliċi qabel it-tmiem tal-embargo; php.net għalhekk ħabbar il-patches fl-20/10/2026. Għaliex il-vulnerabbiltà ta' PHP saret magħrufa qabel il-patch →
End of Life: End of Life (EOL) ifisser li verżjoni ta' softwer ma tirċievix aktar aġġornamenti mill-manifattur, anke mhux korrezzjonijiet tas-sigurtà. PHP 8.1 u eqdem ma jirċievux aktar aġġornamenti uffiċjali mill-proġett PHP; għal 7.4, 8.0 u 8.1 hemm biss backports minimi tas-sors. Sistemi b'softwer EOL jeħtieġu pjan ta' upgrade. PHP End of Life: ir-riskji ta' verżjonijiet skaduti →
Exploit: Exploit huwa kodiċi jew proċedura li effettivament tisfrutta vulnerabbiltà speċifika. Hekk kif joħroġ patch, l-attakkanti jistgħu janalizzawh u jiġġeneraw exploits. Għalhekk wara l-pubblikazzjoni ta' patch iż-żmien sal-attakki spiss jitqassar b'mod sinifikanti. It-tieqa taż-żmien bejn patch u attakk →
expose_php: expose_php jikkontrolla jekk PHP jiżvelax il-verżjoni tiegħu fl-header HTTP X-Powered-By. Fil-produzzjoni l-issettjar għandu jkun Off, biex l-attakkanti ma jarawx mill-ewwel liema verżjoni ta' PHP taħdem. Din hija protezzjoni tal-informazzjoni, mhux sostitut għal aġġornament. expose_php u Server-header: aħbi l-indikazzjonijiet tal-verżjoni →
Extension: Extension (estensjoni) ixxandar lil PHP b'funzjonijiet, pereżempju għal databases, immaġini jew kriptaġġ. L-estensjonijiet jaħdmu fl-istess proċess ta' PHP u għandhom l-istess drittijiet. Li tiddiżattiva l-estensjonijiet mhux meħtieġa jnaqqas is-superfiċje ta' attakk. Nifhmu l-estensjonijiet (Extensions) ta' PHP →

F

Fail2ban: Fail2ban jaqra fajls tal-log u jimblokka temporanjament indirizzi IP fil-firewall wara tentattivi falluti ripetuti. Oqsma tipiċi ta' użu huma SSH, posta u logins tal-amministraturi tal-websajts. Kontra attakki mqassma minn ħafna indirizzi jgħin biss b'mod limitat. Stabbilixxi Fail2ban għal servers tal-web →
FastCGI: FastCGI huwa protokoll li bih server tal-web jgħaddi talbiet lil proċessi tal-programm li jaħdmu b'mod permanenti, pereżempju PHP-FPM. B'differenza mis-CGI klassiku, ma jinbeda l-ebda proċess ġdid għal kull talba. Billi l-proċessi jittrattaw diversi talbiet wara xulxin, restart nadif wara l-aġġornamenti huwa importanti. CGI u FastCGI: il-bażi →
Forensika: Il-forensika tal-IT teżamina b'mod metodiku wara inċident x'ġara: kif daħal l-attakkant, x'għamel u liema data hija affettwata. Il-bażi huma kopji salvati ta' mezzi ta' ħażna, ta' memorja u ta' logs. Ir-riżultati huma importanti għall-obbligi ta' notifika, l-assigurazzjoni u r-rapport lill-pulizija. Forensika tal-IT wara attakk fuq server tal-web →
FPM-Pool: Pool huwa grupp ta' proċessi PHP-FPM b'konfigurazzjoni proprja, socket proprju u, idealment, utent tas-sistema proprju. Pool għal kull websajt jifred il-websajts minn xulxin, biex dħul f'paġna waħda ma jaqbadx direttament il-fajls tal-oħrajn. Fil-pool l-issettjar jista' jiġi fissat b'php_admin_value. Iżola pools PHP-FPM għal kull websajt →
FrankenPHP: FrankenPHP huwa server ta' applikazzjonijiet modern għal PHP ibbażat fuq is-server tal-web Caddy. PHP hemmhekk huwa inkorporat direttament, fil-modalità tal-workers l-applikazzjoni tibqa' fil-memorja bejn it-talbiet. FrankenPHP, skont it-tim ta' PHP, jagħmel parti mill-modalitajiet tat-tħaddim affettwati; wara l-aġġornament is-server irid jerġa' jinbeda b'PHP ġdid. Kif tassiguraw FrankenPHP →
Ftehim ta' pproċessar tad-data (AVV): Ftehim ta' pproċessar tad-data (AVV) skont l-Art. 28 GDPR huwa meħtieġ meta fornitur jipproċessa data personali f'isem ieħor jew jista' jaċċessaha. Dan ħafna drabi japplika wkoll għal hosters, aġenziji u fornituri tal-IT b'aċċess għas-server. Il-kuntratt jirregola, fost oħrajn, struzzjonijiet, miżuri ta' protezzjoni u mogħdijiet ta' notifika. Ipproċessar tad-data meta fornituri jaċċessaw servers →

G

GDPR Art. 33: L-Art. 33 GDPR jobbliga lir-responsabbli jirrapportaw ksur tal-protezzjoni tad-data personali, jekk possibbli fi żmien 72 siegħa minn meta jsiru jafu, lill-awtorità superviżorja kompetenti. L-obbligu jaqa' biss jekk mhux probabbli li jkun hemm riskju għall-persuni affettwati. F'kull każ individwali jagħtu pariri l-uffiċjali tal-protezzjoni tad-data jew l-avukati. Obbligu ta' notifika skont il-GDPR: 72 siegħa wara l-inċident →
GDPR Art. 34: L-Art. 34 GDPR jirregola n-notifika tal-persuni affettwati stess. Hija meħtieġa meta ksur tad-data probabbilment iwassal għal riskju għoli għad-drittijiet u l-libertajiet tagħhom. Jekk dan japplikax għandu jiġi vvalutat mal-uffiċjali tal-protezzjoni tad-data jew mal-avukati. Obbligu ta' notifika skont il-GDPR: 72 siegħa wara l-inċident →
GHSA: GHSA huwa l-identifikatur ta' GitHub Security Advisory, jiġifieri avviż tas-sigurtà fid-database ta' GitHub. Ħafna proġetti open source, anke PHP, jippubblikaw l-avviżi tagħhom hemm barra n-numru CVE. Għal PHP2Shell dawn huma GHSA-w8hw-w9fx-j79w u GHSA-6wmf-4rv5-p3rp.

H

Headers tas-sigurtà: Headers tas-sigurtà huma linji tar-risposta HTTP li jagħtu lill-browser regoli ta' protezzjoni, pereżempju Content-Security-Policy, Strict-Transport-Security jew X-Content-Type-Options. Jipproteġu lill-viżitaturi minn ċerti attakki fil-browser. Kontra vulnerabbiltajiet fuq is-server bħal PHP2Shell ma jgħinux. Headers tas-sigurtà għall-websajts: kif tissettjawhom sewwa →
HSTS: HSTS (HTTP Strict Transport Security) huwa header li bih websajt tgħid lill-browser li għal perjodu ta' żmien għandu jiftaħha biss permezz ta' HTTPS. Dan jipprevjeni li konnessjonijiet jitnaqqsu għal HTTP mhux ikkriptat. Qabel ma jiġi mixgħul, HTTPS għandu jaħdem b'mod affidabbli fuq id-dominji kollha affettwati. Headers tas-sigurtà għall-websajts: kif tissettjawhom sewwa →
.htaccess: Il-fajls .htaccess huma fajls ta' konfigurazzjoni għal kull direttorju għal Apache u servers kompatibbli bħal LiteSpeed. Is-CMS jużawhom għal ridirezzjonijiet u protezzjoni tal-aċċess, l-attakkanti għal ridirezzjonijiet moħbija. Nginx ma jevalwax .htaccess; regoli ta' protezzjoni hemmhekk iridu jidħlu fil-konfigurazzjoni tas-server. Ikkonfigura Apache għal PHP b'mod sigur →

I

Image digest: Image digest huwa valur hash (sha256) li jiffissa b'mod uniku l-kontenut ta' image ta' container. B'differenza minn tag bħal php:8.3-fpm, li jista' jiġi mċaqlaq lejn builds ġodda, digest ma jinbidel qatt. Min jiffissa images b'digest irid jaġġornah b'mod konxju wara aġġornament tas-sigurtà. Images uffiċjali Docker ta' PHP: tags, digests u bini mill-ġdid →
Incident Response: Incident response hija t-trattament ordnat ta' inċident tas-sigurtà: tagħraf, tillimita, issalva t-traċċi, tnaddaf, terġa' tistabbilixxi u ssegwi. Proċess stabbilit jipprevjeni li fil-għaġla jinqerdu provi jew jintnesew backdoors. Importanti huma responsabbiltajiet ċari u dokumentazzjoni mingħajr lakuni. Incident Response f'attakki fuq servers →
ini_set(): ini_set() hija funzjoni ta' PHP li biha skript ibiddel issettjar waqt it-tħaddim. X'jista' jibdel skript jiddependi mill-modalità ta' bidla tal-issettjar. Billi anke kodiċi malizzjuż jista' jsejjaħ ini_set(), l-issettjar protettiv jappartjeni fil-konfigurazzjoni tas-server jew tal-pool, mhux fil-kodiċi tal-applikazzjoni. Il-php.ini spjegata: struttura, livelli u prijorità →
IOC: IOC (Indicator of Compromise) huma traċċi konkreti ta' attakk, pereżempju ismijiet ta' fajls, valuri hash, indirizzi IP jew dominji. Bihom is-sistemi jistgħu jiġu vverifikati b'mod immirat għal attakk magħruf. Għal PHP2Shell ma hemmx IOCs ippubblikati u kkonfermati; is-skoperta tistrieħ fuq l-analiżi tal-imġiba. Diġà kompromessi? Sinjali wara PHP2Shell →
ISO 27001: ISO/IEC 27001 huwa l-istandard internazzjonali għal sistemi ta' ġestjoni tas-sigurtà tal-informazzjoni (ISMS). Jeħtieġ trattament irregolat tar-riskji, miżuri u titjib, inkluż ġestjoni tal-vulnerabbiltajiet u tal-inċidenti. Il-kumpaniji jistgħu jiċċertifikaw ruħhom skontu. ISO 27001 u TISAX: x'jolqot is-servers tal-web →
IT-Grundschutz: L-IT-Grundschutz tal-BSI huwa metodoloġija b'blokok u rekwiżiti għas-sigurtà tal-informazzjoni f'kumpaniji u awtoritajiet. Hemm blokok proprji pereżempju għas-servers tal-web u l-applikazzjonijiet tal-web. Jista' jintuża bħala bażi għal ISMS jew għal ċertifikazzjoni. CIS Benchmarks u blocks tal-BSI għal web servers →

J

JIT: JIT (Just-in-Time compiler) jittraduċi waqt it-tħaddim kodiċi PHP li jiġi eżegwit ta' spiss f'kodiċi tal-magna. Wasal ma' PHP 8.0 u huwa parti minn OPcache. Għal websajts tipiċi l-qligħ fil-prestazzjoni ġeneralment huwa żgħir, għal kompiti li jeħtieġu ħafna kalkolu huwa akbar. JIT u prestazzjoni f'PHP 8 →

L

Least Privilege: Least Privilege (prinċipju tad-drittijiet minimi) ifisser li kull utent u kull proċess jirċievi biss id-drittijiet li verament jeħtieġ. Jekk PHP jaħdem b'drittijiet limitati, attakkant jista' jagħmel inqas ħsara wara dħul. Dan jolqot utenti tas-sistema, drittijiet tal-fajls, kontijiet tad-database u aċċessi tal-amministraturi. Least Privilege: id-drittijiet tal-utent tas-server tal-web →
Lessons Learned: Lessons learned hija t-tħejjija wara inċident: x'ġara, x'mar tajjeb, x'jrid jinbidel? L-għan huma miżuri konkreti b'persuni responsabbli u dati, mhux ħtija. Ir-riżultati jidħlu fil-pjan ta' emerġenza, fil-proċess tal-patches u fit-taħriġ. Lessons learned: titjiebu wara l-inċident →
LFI: LFI (Local File Inclusion) iseħħ meta applikazzjoni tinkludi fajl lokali li l-mogħdija tiegħu l-attakkant jista' jinfluwenza. Hekk jistgħu jinqraw fajls ta' konfigurazzjoni jew f'ċerti każijiet jiġi eżegwit kodiċi introdott. Protezzjoni joffru listi permessi fissi minflok ismijiet ta' fajls mill-input tal-utenti. Kif tevitaw Local File Inclusion f'PHP: LFI u RFI →
LiteSpeed: LiteSpeed huwa server tal-web li huwa fil-biċċa l-kbira kompatibbli ma' konfigurazzjonijiet ta' Apache bħal .htaccess u jgħaqqad PHP permezz tal-interface proprja LSAPI. Huwa mifrux għand il-hosters; OpenLiteSpeed huwa l-varjant liberu. LiteSpeed, skont it-tim ta' PHP, jagħmel parti mill-modalitajiet tat-tħaddim affettwati minn PHP2Shell. LiteSpeed u LSAPI: kif taġġornaw PHP →
Livell ta' twissija: Il-BSI jikklassifika s-sitwazzjoni tat-theddid fl-avviżi tas-sigurtà f'livelli li huma wkoll immarkati bil-kulur. Il-livell 3 (oranġjo) jirrappreżenta sitwazzjoni kritika għan-negozju b'indeboliment massiv possibbli tat-tħaddim regolari. Għal PHP2Shell japplika livell ta' twissija 3 / oranġjo. Livell ta' twissija oranġjo tal-BSI: x'tfisser l-klassifikazzjoni →

M

Managed server: F'managed server il-fornitur jipprovdi server proprju u jieħu f'idejh partijiet tat-tħaddim iffissati kuntrattwalment, ħafna drabi aġġornamenti tas-sistema operattiva u ta' PHP. X'jappartjeni eżattament jinsab fil-kuntratt u jvarja ħafna bejn il-fornituri. Fil-każ ta' dubju r-responsabbiltà għall-patches għandha tiġi kkonfermata bil-miktub. Managed server: nikkjarifikaw ir-responsabbiltà →
memory_limit: memory_limit jillimita kemm jista' jokkupa skript wieħed ta' PHP mill-memorja; l-istandard huwa 128 MB. Meta jintlaħaq il-limitu, PHP jieqaf b'żball ta' out-of-memory. Kontra CVE-2026-109618 php.net jirrakkomanda b'mod temporanju memory_limit=-1, iffissat, u limitu tal-memorja permezz ta' container jew cgroup. Issettja memory_limit sew →
mod_php: mod_php huwa l-modulu ta' PHP għas-server tal-web Apache. PHP jaħdem direttament fil-proċess ta' Apache u ġeneralment bid-drittijiet tal-utent tiegħu. It-tim ta' PHP jikklassifika r-riskju minn PHP2Shell bħala l-ogħla għal mod_php; hemmhekk intwera exploit qabel ma jibda jaħdem xi kodiċi tal-applikazzjoni. mod_php spjegat: PHP fil-proċess ta' Apache →
ModSecurity: ModSecurity huwa WAF open source mifrux li jaħdem bħala modulu f'Apache, Nginx jew servers tal-web oħra. Jevalwa t-talbiet skont regoli u jista' jirreġistrahom jew jimblokkahom. Ħafna drabi jintuża flimkien mal-OWASP Core Rule Set. Uża ModSecurity u l-OWASP Core Rule Set →
Monitoring: Monitoring huwa s-sorveljanza kontinwa tas-sistemi, pereżempju d-disponibbiltà, it-tagħbija, il-fajls tal-log u l-bidliet fil-fajls. Il-monitoring tas-sigurtà jfittex b'mod immirat anomaliji bħal fajls ġodda ta' PHP jew shells li jinbdew mis-server tal-web. Jgħin biss jekk xi ħadd jivvaluta wkoll l-avviżi fi żmien raġonevoli. Monitoraġġ tas-sigurtà għas-servers tal-web →

N

Nginx: Nginx huwa server tal-web u reverse proxy mifrux. Ma jesegwixxix PHP waħdu, imma jgħaddi t-talbiet permezz ta' FastCGI lil PHP-FPM. Importanti hija konfigurazzjoni li tgħaddi lil PHP biss fajls veri ta' PHP u teskludi l-folders tal-upload. Kif tassiguraw Nginx b'PHP-FPM →
NIS2: NIS2 hija direttiva tal-UE li għal ħafna kumpaniji u entitajiet tistabbilixxi obbligi ta' ġestjoni tar-riskju u ta' notifika ta' inċidenti tas-sigurtà. Taffettwa ħafna aktar setturi u daqsijiet ta' kumpaniji mir-regolament preċedenti. Jekk il-kumpanija tagħkom hijiex koperta għandkom tivverifikawh skont l-implimentazzjoni nazzjonali u b'konsulenza legali. NIS2 u s-sigurtà tas-servers tal-web →

O

OPcache: OPcache huwa l-cache tal-bytecode inkluż ma' PHP. Jaħżen kodiċi diġà tradott fil-memorja kondiviża, biex il-fajls tal-PHP ma jiġux ikkompilati mill-ġdid ma' kull talba. Wara aġġornament jew tindif il-cache irid jitbattal jew PHP jerġa' jinbeda, inkella kodiċi qadim jista' jkompli jaħdem. OPcache spjegat: il-cache tal-bytecode ta' PHP →
open_basedir: open_basedir jillimita għal liema direttorji jistgħu jaċċessaw l-iskripts ta' PHP bil-funzjonijiet tal-fajls. Fuq servers b'diversi websajts dan jipprevjeni li paġna tinqara sempliċement il-fajls ta' oħra. Mhuwiex iżolament sħiħ; jagħmlu parti minnu utenti tas-sistema separati u pools FPM. open_basedir u iżolament għal kull websajt →
Origin server: L-origin server huwa s-server attwali tal-web wara CDN jew reverse proxy. Jekk jintlaħaq ukoll direttament permezz tal-indirizz IP tiegħu, l-attakkanti jistgħu jevitaw il-protezzjoni quddiemu. Għalhekk l-origin għandu jaċċetta biss konnessjonijiet mis-CDN jew mill-proxy. Regoli ta' protezzjoni ta' Cloudflare kontra PHP2Shell: x'jagħmlu u x'ma jagħmlux →
Out of Memory: Out of Memory jindika l-istat fejn programm ma jieħu l-ebda memorja oħra u jrid jieqaf. F'PHP jiġri meta memory_limit jinqabeż. F'CVE-2026-109618 waqfa bħal din tista' tinterrompi lil PHP waqt li d-data tat-talba tkun inizjalizzata biss parzjalment. memory_limit u Out-of-Memory: x'jiġri ġewwa →
OWASP CRS: L-OWASP Core Rule Set (CRS) huwa sett ta' regoli disponibbli liberament għal ModSecurity u WAFs kompatibbli. Jagħraf klassijiet tipiċi ta' attakk bħal SQL injection jew command injection. Ir-regoli jridu jiġu adattati għall-applikazzjoni, inkella jimblokkaw ukoll talbiet leġittimi. Uża ModSecurity u l-OWASP Core Rule Set →
OWASP Top 10: L-OWASP Top 10 hija lista aġġornata regolarment tar-riskji l-aktar importanti għall-applikazzjonijiet tal-web, ippubblikata mill-OWASP Foundation mingħajr skop ta' qligħ. Isservi bħala bażi għall-iżvilupp, il-verifiki u t-taħriġ. B'mod komplementari OWASP toffri l-Cheat Sheets b'miżuri kontra konkreti.

P

Patch: Patch huwa korrezzjoni tal-manifattur li tagħlaq vulnerabbiltà fil-kodiċi tal-programm. Taħdem biss meta tkun installata u l-proċessi kollha li jaħdmu jkunu tqabbdu mill-ġdid. Patch ma jneħħix softwer malizzjuż diġà introdott u ma jippruvax li qabel ma ġara xejn. Servizz ta' patch ta' PHP: aġġornament bi restart u prova →
Patching virtwali: Il-patching virtwali jimblokka attakki fuq vulnerabbiltà magħrufa qabel l-applikazzjoni, ġeneralment b'WAF, mingħajr ma jinbidel il-kodiċi vulnerabbli. Jaqla' ħin sakemm l-aġġornament veru jkun possibbli. F'PHP2Shell, pereżempju, Cloudflare iwissi li regoli bbażati fuq id-data tat-talba waħedha mhumiex biżżejjed; l-aġġornament jibqa' obbligatorju. WAF u virtual patching għal PHP →
PECL: PECL (PHP Extension Community Library) huwa d-direttorju tal-estensjonijiet ta' PHP li huma miktuba bi C u ma jagħmlux parti mill-ambitu standard. Estensjonijiet bħal dawn iridu jaqblu mal-verżjoni installata ta' PHP. Wara bidla tal-verżjoni ewlenija ta' PHP ħafna drabi jridu jinbnew mill-ġdid jew jiġu sostitwiti. Nifhmu l-estensjonijiet (Extensions) ta' PHP →
PHP: PHP huwa lingwa ta' skripts li taħdem l-aktar fuq servers tal-web u hemmhekk toħloq websajts. Ħafna CMS u sistemi ta' ħwienet użati ħafna, bħal WordPress, TYPO3 jew Shopware, huma miktuba bi PHP. Vulnerabbiltà fl-interpretatur ta' PHP għalhekk taffettwa l-applikazzjonijiet kollha li jaħdmu fuqu, indipendentement mill-istat tal-aġġornament tagħhom stess. X'inhu PHP? Il-lingwa tal-programmar spjegata →
php-cgi: php-cgi huwa l-programm PHP għat-tħaddim permezz ta' CGI jew FastCGI. Skont it-tim ta' PHP jagħmel parti mill-modalitajiet tat-tħaddim affettwati minn PHP2Shell. Fejn php-cgi għadu jintuża, jixraq li jiġi vverifikat jekk hux possibbli li tinbidel għal PHP-FPM. php-cgi: wirt qadim b'riskju →
PHP-FPM: PHP-FPM (FastCGI Process Manager) huwa servizz separat li jamministra proċessi ta' PHP f'pools u jaċċetta talbiet mis-server tal-web permezz ta' FastCGI. Illum hija l-modalità tat-tħaddim tas-soltu ma' Nginx u fuq ħafna servers Apache. Wara aġġornament ta' PHP, PHP-FPM irid jerġa' jinbeda, biex ma jibqgħux jaħdmu proċessi qodma. PHP-FPM spjegat: maniġer tal-proċessi, pools u workers →
php.ini: Il-php.ini huwa l-fajl ċentrali ta' konfigurazzjoni ta' PHP. Jiffissa limiti u issettjar tas-sigurtà u tal-żbalji, pereżempju memory_limit jew display_errors. Ħafna drabi hemm php.ini separat għal kull SAPI (FPM, CLI, Apache) li jrid jinżamm separatament. Il-php.ini spjegata: struttura, livelli u prijorità →
PHP2Shell: PHP2Shell huwa l-isem għal żewġ vulnerabbiltajiet kritiċi f'PHP innifsu, CVE-2026-109618 u CVE-2026-109619, kull waħda b'CVSS v4.0 9,2. Jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod mingħajr login. Huma rranġati f'PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, ippubblikati fil-21/10/2026. X'inhu PHP2Shell? Il-vulnerabbiltà spjegata sempliċi →
php_admin_value: php_admin_value jiffissa issettjar ta' PHP fil-pool FPM jew fil-konfigurazzjoni ta' Apache b'mod li l-applikazzjonijiet ma jistgħux jegħlbuh b'ini_set() jew .htaccess. Għall-iswitches hemm php_admin_flag. php.net jirrakkomanda din it-triq għall-miżuri temporanji kontra PHP2Shell, pereżempju għal memory_limit. php_admin_value: ibblokka l-issettjar kontra sostituzzjoni →
Pjan ta' emerġenza: Pjan ta' emerġenza tal-IT jiffissa min jagħmel x'f'każ ta' inċident: kuntatti, mogħdijiet ta' deċiżjoni, l-ewwel passi, ritorn għall-operat. Irid ikun disponibbli wkoll offline, jekk is-sistemi jfallu. Eżerċizzji regolari juru jekk jaħdimx fl-emerġenza. Kif toħolqu pjan ta' emerġenza tal-IT għas-servers tal-web →
Plesk: Plesk huwa panel ta' amministrazzjoni użat ħafna għal servers tal-web, li bih jistgħu jiġu ffissati dominji, verżjonijiet ta' PHP u handlers għal kull websajt. Jiġi ma' pakketti proprji ta' PHP, imma jista' juża wkoll il-pakketti ta' PHP tad-distribuzzjoni. F'każ ta' backports Plesk jista' jkompli juri numru aktar qadim bħal 8.2.34, għalkemm ikun ippatchjat. Server Plesk: verifika u patching tal-verżjonijiet ta' PHP →
post_max_size: post_max_size jiffissa kemm jista' jkun kbir il-kontenut totali ta' talba POST; l-istandard huwa 8 MB. Bħala miżura temporanja kontra PHP2Shell php.net jemmen 8M għal websajts mingħajr uploads u 32M b'uploads. upload_max_filesize irid ikun taħtu. Illimita post_max_size u upload_max_filesize b'mod sensibbli →
Proof of Concept: Proof of Concept (PoC) huwa prova li vulnerabbiltà tista' tiġi sfruttata, spiss bħala kodiċi sempliċi ta' dimostrazzjoni. Isservi lill-manifatturi u lir-riċerkaturi għall-valutazzjoni, imma jista' jservi wkoll bħala mudell għall-attakkanti. PoC ippubblikat ġeneralment iżid għalhekk l-urġenza li tapplika l-patches.

R

Ransomware: Ransomware jikkripta d-data u jitlob ħlas għall-dekriptaġġ, ħafna drabi marbut mat-theddida li data misruqa tiġi ppubblikata. Server tal-web kompromess jista' jkun il-punt tad-dħul għal dan. L-aqwa protezzjoni huma backups separati u ttestjati u pjan ta' emerġenza. Strateġija ta' backup għal servers: backups skont ir-regola 3-2-1 →
RCE: RCE (Remote Code Execution) ifisser li attakkant jista' jesegwixxi kodiċi proprju mill-bogħod fuq sistema barranija. Jekk ma jkunx meħtieġ login, wieħed jitkellem dwar RCE mhux awtentikat, l-itqal klassi ta' vulnerabbiltajiet tas-servers tal-web. B'RCE attakkant jista' jaqra data, joħloq backdoors u jkompli jabbuża mis-server. X'inhu PHP2Shell? Il-vulnerabbiltà spjegata sempliċi →
Release-Zyklus: Kull verżjoni ta' PHP l-ewwel tirċievi korrezzjonijiet tal-bugs u wara perjodu ta' żmien biss korrezzjonijiet tas-sigurtà. Meta tintemm liema verżjoni, il-proġett PHP jippubblikaha fuq php.net taħt il-verżjonijiet appoġġati. PHP 8.2, skont php.net, jilħaq it-tmiem tal-appoġġ fil-31/12/2026. Verżjonijiet ta' PHP u ċiklu tar-rilaxx →
Reverse Proxy: Reverse proxy jaċċetta talbiet mill-internet u jgħaddihom lil server wieħed jew aktar warajh. Jista' jieħu f'idejh it-TLS, iqassam it-tagħbija u jservi bħala post għal regoli ta' filtru jew WAF. Joffri protezzjoni biss jekk is-servers warajh ma jintlaħqux ukoll direttament. Iffiltra talbiet tal-upload fuq il-ġnub: opportunitajiet u riskji →
RFI: RFI (Remote File Inclusion) hija l-varjant fejn applikazzjoni tgħabbi u teżegwixxi kodiċi minn indirizz barrani. F'PHP l-issettjar allow_url_include=Off, li ilu standard, jipprevjeni l-inklużjoni ta' fajls remoti. Applikazzjonijiet u konfigurazzjonijiet qodma għandhom jiġu vverifikati għal dan. Kif tevitaw Local File Inclusion f'PHP: LFI u RFI →
Root server: Root server huwa server mikri li fuqu l-klijent għandu drittijiet sħaħ ta' amministratur. B'hekk ir-responsabbiltà sħiħa għall-aġġornamenti, it-tisħiħ u s-sorveljanza tkun tal-klijent. Il-fornitur jipprovdi biss il-hardware u n-netwerk. Kif tassiguraw waħdek root server u vServer →

S

Salvataġġ tal-provi: Salvataġġ tal-provi ifisser li t-traċċi ta' inċident jinżammu qabel ma jintilfu minħabba tindif, restart jew installazzjoni mill-ġdid. Hekk jappartjenu l-fajls tal-log, immaġini tal-mezzi ta' ħażna u, skont il-każ, il-memorja. L-istampa tekniċa, wara PHP2Shell, tirrakkomanda li l-logs tas-server jinżammu mill-20/10/2026. Salva l-provi qabel ma terġa' tinstalla s-server →
SAPI: SAPI (Server Application Programming Interface) hija l-interface li permezz tagħha PHP jikkomunika mal-ambjent tiegħu, pereżempju ma' Apache, PHP-FPM jew il-linja tal-kmand. Liema SAPI tintuża jiddetermina kif il-proċessi ta' PHP jinbdew, jerġgħu jintużaw u jerġgħu jinbdew. F'PHP2Shell, skont it-tim ta' PHP, huma affettwati diversi modalitajiet tat-tħaddim, b'mod_php bl-ogħla riskju. SAPI spjegata: kif PHP titkellem mas-server tal-web →
SEO spam: SEO spam huma paġni, links jew ridirezzjonijiet introdotti li bihom l-attakkanti jpoġġu offerti barranin fil-magni tat-tiftix. Ħafna drabi biss il-magni tat-tiftix jew il-viżitaturi minn Google jaraw il-kontenut manipulat. Minbarra t-tindif hija meħtieġa wara verifika fil-Google Search Console. SEO spam u paġni barranin fl-indiċi ta' Google →
serialize_handler: session.serialize_handler jiddetermina f'liema format PHP jaħżen id-data tas-session, pereżempju php, php_binary jew php_serialize. L-avviż dwar CVE-2026-115560 jolqot biss konfigurazzjoni mhux tas-soltu, fejn dan il-format jinbidel waqt it-tħaddim u session upload progress huwa attiv. Soluzzjoni sal-bugfix release li jmiss hija session.upload_progress.enabled=0. CVE-2026-115560: avviż dwar session upload progress →
Session: Session torbot diversi talbiet tal-istess viżitatur, pereżempju għal-login jew il-basket. PHP jaħżen id-data fuq is-server u jagħti lill-browser ID tas-session, awtomatikament fil-cookie PHPSESSID. Min jaf ID ta' session barranija jista' f'ċerti każijiet jidher bħala dak l-utent.
session.upload_progress: Session upload progress hija funzjoni ta' PHP li taħżen il-progress tal-uploads tal-fajls li għaddejjin fis-session; hija mixgħula awtomatikament. php.net jirrakkomanda b'mod temporanju session.upload_progress.enabled=0 fil-php.ini, fil-pool FPM jew fil-konfigurazzjoni tas-server, u wara li jerġgħu jinbdew il-workers kollha. L-issettjar waħdu, skont rapporti tekniċi, ma jagħlaqx iż-żewġ vulnerabbiltajiet ta' PHP2Shell; l-aġġornament jibqa' obbligatorju. Itfi session.upload_progress: sew u b'mod permanenti →
Shared hosting: Fis-shared hosting ħafna klijenti jaqsmu server li jħaddem il-hoster. Il-hoster huwa responsabbli għal PHP, is-sistema operattiva u s-server tal-web, il-klijent għall-applikazzjoni tiegħu. F'PHP2Shell dan ifisser: staqsu lill-hoster dwar l-istat tal-patch u ivverifikaw il-websajt proprja għal traċċi. Shared hosting: dak li jagħmel il-hoster u dak li jridu jagħmlu intom →
SIEM: SIEM (Security Information and Event Management) jiġbor ċentralment id-data tal-log minn ħafna sistemi u janalizzaha għal avvenimenti tas-sigurtà. Hekk jistgħu jingħarfu rabtiet li fil-logs individwali jinħbew. SIEM jeħtieġ regoli miżmuma u nies li jittrattaw l-avviżi. Monitoraġġ tas-sigurtà għas-servers tal-web →
Skeda taż-żmien: Skeda taż-żmien (timeline) tirranġa t-traċċi kollha ta' inċident kronoloġikament: entrati tal-log, bidliet fil-fajls, logins, proċessi. Turi meta beda l-attakk u x'ġara f'liema sekwenza. Importanti hija żona tal-ħin uniformi, aħjar UTC. Oħloq l-iskeda taż-żmien ta' inċident →
Skimming: Fl-skimming fil-ħwienet online l-attakkanti jdaħħlu JavaScript fiċ-checkout li jaqra u jibgħat id-data tal-ħlas u tal-klijenti. Il-kodiċi spiss jinsab fil-fajls tat-theme, fl-iskripts ta' traċċar jew f'entrati tad-database. Il-klijenti ma jinduna bih xejn, in-negozjant spiss biss permezz ta' tagħrif mill-fornituri tal-pagamenti. Ħanut online hackjat? Sigurtà tal-IT għan-negozjanti →
SQL injection: F'SQL injection attakkant idaħħal permezz ta' input kmandi tad-database proprji fl-applikazzjoni. Hekk id-data tista' titqara jew tinbidel. Protezzjoni joffru statements ippreparati (prepared statements) b'placeholders minflok testi SQL maħluqin bil-ġbir. Kif tevitaw SQL injection f'PHP →
SSRF: SSRF (Server-Side Request Forgery) iġiegħel applikazzjoni tibgħat f'isem l-attakkant talbiet lejn indirizzi oħra, anke lejn sistemi interni. Hekk isiru aċċessibbli servizzi li minn barra suppost huma protetti. Protezzjoni joffru listi permessi ta' destinazzjonijiet u l-imblukkar ta' firxiet ta' indirizzi interni. Evita Server-Side Request Forgery (SSRF) f'PHP →
Superglobals: Superglobals huma varjabbli li PHP jipprovdi f'kull skript, pereżempju $_GET, $_POST, $_COOKIE, $_FILES, $_SERVER u $_SESSION. Fihom id-data tat-talba attwali, li l-biċċa l-kbira tagħha ġejja mill-viżitatur. Dak kollu li hemm fihom irid jiġi ttrattat bħala mhux affidabbli u vverifikat.
sury.org: sury.org huwa repożitorju ta' pakketti ta' Ondřej Surý b'verżjonijiet attwali u eqdem ta' PHP għal Debian u Ubuntu. Huwa offerta ta' parti terza u mhux l-arkivju tas-sigurtà ta' Debian. Skont rapporti hemmhekk ġew ipprovduti builds għall-fergħat kollha minn 5.6 sa 8.5. Ir-repository sury.org: pakketti ta' PHP minn sors terz →

T

Threat Hunting: Threat hunting huwa t-tiftix attiv ta' attakkanti fin-netwerk proprju, mingħajr ma jkun hemm twissija. Il-punt tat-tluq huma ipoteżijiet, pereżempju: proċess tas-server tal-web beda shell mill-20/10? B'hekk jinstabu dħul li l-għodod awtomatiċi jaqbżu. Sinjal ta' twissija: is-server tal-web jibda shell →
TISAX: TISAX huwa proċess ta' verifika u skambju għas-sigurtà tal-informazzjoni fl-industrija tal-karozzi. Huwa bbażat fuq katalgu ta' rekwiżiti tal-assoċjazzjoni tal-industrija tal-karozzi Ġermaniża u jitħaddem mill-ENX Association. Il-fornituri jridu bih juru lill-manifatturi l-livell ta' sigurtà tagħhom. ISO 27001 u TISAX: x'jolqot is-servers tal-web →
Tisħiħ: Tisħiħ (hardening) ifisser li sistema tiġi kkonfigurata b'mod li toffri l-inqas superfiċje ta' attakk possibbli: biss servizzi meħtieġa, drittijiet limitati, issettjar awtomatiku sigur. Fuq servers tal-PHP jagħmlu parti minnu pereżempju pools separati, funzjonijiet imblukkati u l-ebda eżekuzzjoni ta' PHP f'folders tal-upload. It-tisħiħ jillimita l-ħsara, imma ma jissostitwixxix aġġornamenti. Tisħiħ tas-servers tal-web tal-PHP →
TLS: TLS (Transport Layer Security) jikkripta l-konnessjoni bejn il-browser u s-server; jidher minn HTTPS. Bħalissa huma rakkomandati TLS 1.2 u 1.3, verżjonijiet eqdem tal-protokoll għandhom ikunu diżattivati. TLS jipproteġi d-data fit-triq, mhux minn vulnerabbiltajiet fuq is-server innifsu. Kif tikkonfiguraw TLS u HTTPS sewwa →
Type Juggling: Type juggling jissejjaħ it-trasformazzjoni awtomatika tat-tipi f'PHP, pereżempju fil-paragun laxk b'==. Hekk valuri jistgħu jitqiesu ugwali meta ma humiex, u dan isir perikoluż fil-verifiki tal-passwords jew tat-tokens. Protezzjoni joffru paraguni stretti b'=== u hash_equals() għas-sigrieti. Type Juggling f'PHP: tqabbil laxk bħala riskju ta' sigurtà →

U

upload_max_filesize: upload_max_filesize jillimita d-daqs ta' fajl wieħed mgħobbi; l-istandard huwa 2 MB. Il-valur irid ikun iżgħar minn post_max_size, għax il-fajl huwa parti mit-talba POST. Valuri ġeneruż żżejjed ikabbru s-superfiċje ta' attakk mingħajr benefiċċju. Illimita post_max_size u upload_max_filesize b'mod sensibbli →
.user.ini: Il-fajls .user.ini huma issettjar ta' PHP għal kull direttorju li jiġu evalwati minn PHP-FPM u CGI. Bihom is-sidien tal-websajts jistgħu jibdlu valuri individwali mingħajr aċċess għas-server, imma biss dawk li PHP jippermetti għal dan. Prerekwiżiti tas-sigurtà bħal session.upload_progress.enabled=0 kontra PHP2Shell, skont php.net, m'għandhomx jiġu ffissati permezz ta' .user.ini. Il-php.ini spjegata: struttura, livelli u prijorità →

V

VdS 10000: VdS 10000 huwa linja gwida ta' VdS Schadenverhütung għas-sigurtà tal-informazzjoni f'kumpaniji żgħar u medji. Huwa eħfef minn ISO 27001 u mfassal għall-possibbiltajiet tal-SMEs. Ċertifikazzjoni skontu hija possibbli. VdS 10000: sigurtà tal-informazzjoni għal kumpaniji żgħar u ta' daqs medju →
Verifika tal-integrità: F'verifika tal-integrità l-fajls jitqabblu ma' stat oriġinali magħruf, ġeneralment permezz ta' checksums. Ħafna CMS joffru kmandi proprji għal dan, pereżempju għal WordPress, Nextcloud jew Matomo. Fajls adattati, uploads u kontenut tad-database ma jiġux koperti minn paragun bħal dan. Qabbel il-fajls ewlenin tas-CMS mal-oriġinal →
vServer: vServer (server virtwali) huwa kompjuter virtwali fuq hardware kondiviż, b'sistema operattiva proprja u ġeneralment aċċess root. Għas-sigurtà japplika l-istess bħal root server: l-aġġornamenti u t-tisħiħ huma kwistjoni tal-klijent. Ħafna vServers jaħdmu b'panels preinstallati bħal Plesk. Kif tassiguraw waħdek root server u vServer →

W

WAF: WAF (Web Application Firewall) jivverifika t-talbiet HTTP qabel l-applikazzjoni u jimblokka mudelli magħrufa ta' attakk. Jista' jaħdem bħala servizz cloud, bħala proxy jew bħala modulu tas-server tal-web. Jaqla' ħin, imma ma jissostitwixxix aġġornament, u jiġi evitat jekk is-server jintlaħaq ukoll direttament. WAF u virtual patching għal PHP →
Webshell: Webshell hija skript li l-attakkanti jpoġġu fuq server tal-web biex jikkontrollawh mill-bogħod permezz tal-browser. Ħafna drabi hija żgħira, moħbija u moħbija f'folders tal-upload jew tal-cache. Webshell tibqa' wara aġġornament ta' PHP jew tas-CMS u trid tiġi mfittxija speċifikament. Kif tagħrfu u tneħħu webshell →

X

XSS: XSS (Cross-Site Scripting) ifisser li JavaScript barrani jiġi eżegwit permezz ta' websajt fil-browser ta' viżitaturi oħra. Hekk jistgħu jittieħdu sessions jew jinqraw dak li jiddaħħal fil-formoli. Protezzjoni joffru kodifikazzjoni konsistenti tal-outputs kollha u Content Security Policy. Evita XSS f'PHP: kif tiddefendu b'mod sikur kontra Cross-Site Scripting →
XXE: XXE (XML External Entities) jisfrutta li l-parsers tal-XML jistgħu jgħabbu referenzi esterni f'dokumenti. Hekk jistgħu f'ċerti każijiet jinqraw fajls mis-server jew jiġu attivati talbiet interni. Protezzjoni toffri d-diżattivazzjoni tat-tagħbija ta' entitajiet esterni meta tiġi pproċessata data XML mhux affidabbli. Evita XML External Entities (XXE) f'PHP →

Z

ZAC: Iż-Zentrale Ansprechstellen Cybercrime (ZAC) tal-pulizija Ġermaniża huma punti ta' kuntatt speċjalizzati għal kumpaniji u awtoritajiet li saru vittmi ta' attakk ċibernetiku. Jeżistu fl-istati federali kollha u fil-BKA. Jaċċettaw rapporti u jagħtu pariri dwar il-passi li jmiss. Nagħmlu rapport: Punti Ċentrali ta' Kuntatt għaċ-Ċibermiżdiet →
Zend Engine: Iż-Zend Engine hija l-qalba tal-interpretatur ta' PHP. Hija tittraduċi l-kodiċi PHP f'kmandi interni (opcodes), teżegwixxihom u tamministra l-memorja. Żbalji fiz-Zend Engine jaffettwaw kull applikazzjoni tal-PHP u jistgħu jiġu rranġati biss b'aġġornament ta' PHP. Iz-Zend Engine: il-qalb ta' PHP →
Zero-Day: Zero-Day hija vulnerabbiltà li tiġi sfruttata jew hija magħrufa pubblikament qabel ma l-manifattur jipprovdi patch. L-operaturi għandhom allura żero jiem ta' żmien. Sal-patch jgħinu biss miżuri temporanji, iżolament u sorveljanza. It-tieqa taż-żmien bejn patch u attakk →

Kuntatt immedjat

Kull siegħa tgħodd. Iktbu lilna issa.

Iddeskrivu fil-qosor is-sistema, il-verżjoni ta' PHP u dak li osservajtu. Nikkuntattjawkom, niċċaraw is-sitwazzjoni u naħdmu mill-bogħod sakemm l-inċident jingħalaq u jiġi ddokumentat.

Emerġenza WhatsApp Ċemplu