Fil-qosor: Min iridu jsaħħaħ is-server tiegħu għal PHP jiżgura li vulnerabbiltà waħda ma tiftaħx is-server kollu. Aħna nifirdu l-websajts minn xulxin, insettjaw PHP u s-server tal-web b'mod sigur, nillimitaw id-drittijiet u l-aċċessi u niddokumentaw kull bidla. B'hekk il-ħsara tibqa' iżgħar jekk xorta ssir xi ħaġa.
Għaliex it-tisħiħ sar aktar importanti wara PHP2Shell
PHP2Shell wera kemm malajr vulnerabbiltà f'PHP innifsu tista' ssir problema għall-websajts kollha fuq server. B'CVE-2026-109618 u CVE-2026-109619 l-attakkanti jistgħu jesegwixxu kodiċi mingħajr login. Il-patch jagħlaq dan il-bieb. It-tisħiħ iwieġeb mistoqsija oħra: x'jista' jagħmel xi ħadd li jidħol xorta waħda, permezz ta' din jew tal-vulnerabbiltà li jmiss?
Fuq server mhux imsaħħaħ ħafna drabi l-websajts kollha jaħdmu taħt l-istess utent, PHP jista' jesegwixxi kmandi tas-sistema u l-kredenzjali jinsabu moqrija għall-proċessi kollha. Dħul f'websajt żgħira sekondarja jasal allura sal-ħanut online. Tisħiħ tajjeb jifred dawn l-oqsma. Mhuwiex azzjoni darba biss, imma stat bażiku li jrid jinżamm ma' kull websajt ġdida u kull bidla ta' verżjoni.
Tisħiħ tas-server għal PHP: x'naġġustaw konkretament
Iżolazzjoni għal kull websajt
Kull websajt tirċievi utent tas-sistema proprju u pool proprju ta' PHP-FPM. B'open_basedir u drittijiet xierqa tal-fajls applikazzjoni tara biss id-direttorju tagħha stess. Aktar dwar dan f'open_basedir u iżolazzjoni għal kull websajt.
Konfigurazzjoni sigura ta' PHP
Insettjaw il-php.ini u l-konfigurazzjoni tal-pool b'tali mod li l-applikazzjonijiet ma jistgħux jissovrascrivu huma stess valuri rilevanti għas-sigurtà. Silta kif tista' tidher f'pool FPM:
; Valuri fissi fil-pool FPM, ma jistgħux jinbidlu b'ini_set()
php_admin_flag[expose_php] = off
php_admin_flag[display_errors] = off
php_admin_flag[log_errors] = on
php_admin_value[open_basedir] = /var/www/kunde1/:/tmp/
php_admin_flag[session.upload_progress.enabled] = off
php_admin_flag[allow_url_include] = off
Liema funzjonijiet jistgħu jiġu mblukkati wkoll jiddependi mill-applikazzjoni. Indikazzjonijiet dwar dan insibuhom f'Kif tikkonfiguraw php.ini b'mod sigur u Użu korrett ta' disable_functions.
Drittijiet tal-fajls u aċċess għall-kitba
Is-server tal-web jista' jikteb biss fejn hu meħtieġ, pereżempju fil-folder tal-upload. Fid-direttorji tal-upload l-eżekuzzjoni ta' PHP tiġi mwaqqfa. Il-kodiċi tal-programm jappartjeni lil utent differenti minn dak taħtu jaħdem PHP. Il-prinċipji jispjegahom Drittijiet tal-fajls fuq is-server tal-web.
Aċċessi, servizzi u logs
SSH biss b'ċavetta, interfaces ta' amministrazzjoni b'awtentikazzjoni b'żewġ fatturi, servizzi u ports mhux meħtieġa magħluqin. Il-logs jinżammu u jiġu megħjuna b'tali mod li jkunu għadhom disponibbli wara inċident. Il-backups niċċekkjawhom għall-possibbiltà ta' restawr.
Server tal-web u headers tas-sigurtà
Is-server tal-web innifsu jagħmel parti mit-tisħiħ: inħbu l-indikazzjonijiet tal-verżjoni, intfu l-listi tad-direttorji, imblukkaw l-aċċess għall-fajls tal-konfigurazzjoni, tal-backups u tal-ġestjoni tal-verżjonijiet u nsaħħu aktar l-oqsma tal-amministrazzjoni, pereżempju b'approvazzjoni tal-IP. Headers tas-sigurtà bħal Content-Security-Policy jew HSTS jipproteġu l-viżitaturi tal-websajt tagħkom fil-browser.
X'insibu spiss fl-inventarju
Ħafna dgħufijiet jirrepetu ruħhom minn server għal ieħor. Tipiċi huma diversi websajts taħt utent komuni, interfaces tad-database aċċessibbli pubblikament, installazzjonijiet qodma ta' test f'subfolders, verżjonijiet ta' PHP minsija ħdejn dik attwali u backups li jinsabu fid-direttorju tal-web u jistgħu jitniżżlu. Ħafna drabi nieqsa wkoll kull reġistrazzjoni tal-logins, jew il-logs jitħassru wara ftit jiem.
Ebda wieħed minn dawn il-punti m'hu spettakolari waħdu. Flimkien, madankollu, jiddeċiedu jekk dħul jibqax limitat għal websajt waħda jew jaffettwax is-server kollu.
Kif tgħin PHP SOS b'mod konkret?
- Inventarju: Niġbru s-sistema operattiva, is-server tal-web, il-verżjonijiet ta' PHP, il-websajts, l-utenti, is-servizzi miftuħa u l-backups eżistenti.
- Pjan ta' miżuri: Tirċievu lista prijoritizzata bl-isforz u l-effetti possibbli għal kull punt. Intom tiddeċiedu x'jiġi implimentat.
- Implimentazzjoni b'passi: Nibdlu l-konfigurazzjonijiet wara ftehim, nittestjaw il-websajts wara kull pass u nirreġistraw kif kull bidla tista' titreġġa' lura.
- Kontroll: Wara l-implimentazzjoni niċċekkjaw l-effett, pereżempju jekk websajt tistax tabilħaqq ma taqrax aktar direttorji barranin.
- Konsenja: Tirċievu dokumentazzjoni tal-istat il-ġdid li tista' ssegwiha wkoll il-hoster jew l-aġenzija tagħkom.
X'tirċievu u x'għandna bżonn
Tirċievu rapport tat-tisħiħ bis-sitwazzjoni tal-bidu, il-miżuri implimentati, il-punti mħallija miftuħa apposta bir-raġuni u rakkomandazzjoni għall-kontroll regolari. Il-bidliet fil-fajls tal-konfigurazzjoni huma ddokumentati b'mod li jistgħu jiġu segwiti.
Minnkom għandna bżonn:
- aċċess root jew ta' amministratur għas-server, u fil-każ ta' panels ukoll l-aċċess tal-panel
- lista tal-applikazzjonijiet u l-karatteristiċi speċjali tagħhom, pereżempju uploads, interfaces, cronjobs
- persuna ta' kuntatt teknika li tista' tikkonferma l-funzjonijiet wara l-bidliet
- tieqa ta' manutenzjoni għar-restarts
- backup attwali jew l-inkarigu li jinħoloq wieħed qabel
X'ma nwiegħdux
It-tisħiħ ma jagħmilx server impossibbli li jiġi attakkat. Inaqqas is-superfiċje tal-attakk u jillimita l-ħsara, imma ma jieħux post l-aġġornamenti u lanqas is-sorveljanza. Verżjoni ta' PHP mhux ippatchjata tibqa' vulnerabbli, kemm jekk il-bqija jkun issettjat tajjeb. Għalhekk inwaħħlu t-tisħiħ mas-servizz ta' patch ta' PHP u wara nirrakkomandaw appoġġ kontinwu permezz ta' kuntratt ta' manutenzjoni tas-sigurtà.
Fil-każ ta' shared hosting ħafna ma jistax jiġi ssettjat, għax il-hoster jiddetermina l-konfigurazzjoni. F'każ bħal dan nuru x'hu possibbli fil-qafas tal-pakkett tagħkom u fejn bidla għal server proprju jew amministrat tkun tagħmel sens.
Mistoqsijiet frekwenti
X'tfisser li ssaħħu server?
Li ssaħħu jfisser titfu jew tillimitaw dak kollu li mhuwiex meħtieġ għat-tħaddim. Hawnhekk jidħlu servizzi żejda, drittijiet wisq wiesgħa, ports miftuħa u issettjar standard mhux sigur. L-għan huwa li żball wieħed ma jiftaħx is-server kollu.
It-tisħiħ kien ikun jipprevjeni PHP2Shell?
Le, kontra vulnerabbiltà f'PHP innifsu jgħin biss il-patch. It-tisħiħ madankollu jillimita dak li attakkant jista' jikseb wara dħul b'suċċess, pereżempju jekk jistax jaċċessa websajts oħra jew kredenzjali.
Bit-tisħiħ il-websajt tiegħi tista' tinkiser?
Ir-riskju jeżisti jekk l-issettjar jinbidel mingħajr test. Aħna napplikaw il-bidliet pass pass, niċċekkjaw il-funzjonijiet wara kull pass u nirreġistraw kif kull bidla tista' titreġġa' lura.
Kemm-il darba għandu jiġi vverifikat it-tisħiħ?
L-iktar tard wara aġġornamenti kbar, bidla fil-verżjoni ta' PHP jew applikazzjonijiet ġodda fuq is-server. Jagħmel sens kontroll regolari fil-qafas tal-manutenzjoni kontinwa.