Fil-qosor: Il-virtual patching għal PHP jgħaddi ż-żmien sakemm jiġi installat l-aġġornament veru. Għal dan nikkombinaw regoli ta' Web Application Firewall mal-miżuri temporanji li php.net ippubblika dwar PHP2Shell, u niddeterminaw minnufih it-triq lejn il-patch regolari. Ma joffrix protezzjoni sħiħa, imma jnaqqas ir-riskju fil-perjodu temporanju.
Meta l-virtual patching għal PHP ikollu sens
Il-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) jirrakkomanda fil-każ ta' PHP2Shell aġġornament immedjat u, jekk dan ma jistax isir, li s-servers tal-web jitneħħew temporanjament min-netwerk. Għal ħafna kumpaniji t-tnejn mhumiex fattibbli minnufih: ħanut irid jibqa' aċċessibbli, żvilupp proprju jeħtieġ test qabel l-aġġornament, jew is-server jaħdem b'PHP 8.1 jew eqdem, li għalih m'hemmx aktar aġġornamenti uffiċjali.
F'dawn il-każijiet il-virtual patching huwa pont. Ma jieħux post id-deċiżjoni dwar jekk tħaddim offline ikunx aktar xieraq. Din il-konsiderazzjoni tagħmluha intom, aħna nipprovdu l-valutazzjoni teknika.
Għaliex WAF waħedha mhix biżżejjed
Cloudflare rrapporta tentattivi ta' attakk osservati u qiegħed regoli ta' protezzjoni, imma jwissi li regoli bbażati biss fuq id-data tat-talba mhumiex biżżejjed. Ir-raġuni tinsab fin-natura tal-vulnerabbiltajiet. F'CVE-2026-109618 kundizzjoni ta' out-of-memory tista' tinterrompi PHP filwaqt li d-data tat-talba hija inizjalizzata biss parzjalment. F'CVE-2026-109619 stat intern jista' jibqa' wara li titneħħa l-memorja u jintuża minn talba aktar tard fl-istess worker. Żbalji bħal dawn jiddependu mill-istat tas-server, mhux biss mill-kontenut ta' talba waħda.
Għalhekk nistrieħu fuq diversi saffi: regoli WAF quddiem is-server, miżuri temporanji f'PHP innifsu u sorveljanza msaħħa tas-server. Kull saff jaqbad parti, ebda wieħed waħdu mhu biżżejjed. Flimkien jagħtuk iż-żmien biex l-aġġornament jiġi installat b'mod ordnat.
Il-miżuri temporanji skont php.net
php.net isemmi diversi issettjar li jbaxxu r-riskju, espliċitament mingħajr protezzjoni sħiħa. Importanti hu li l-applikazzjonijiet ma jistgħux jissovrascrivu dawn il-valuri. Eżempju għal pool PHP-FPM b'uploads:
; Miżuri temporanji PHP2Shell (mhux protezzjoni sħiħa), wara erġgħu ibdew il-workers kollha
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 32M
php_admin_value[upload_max_filesize] = 30M
php_admin_flag[session.upload_progress.enabled] = off
; PHP 8.5 biss:
php_admin_flag[fatal_error_backtraces] = off
Mingħajr uploads php.net jirrakkomanda post_max_size = 8M. Billi memory_limit jitneħħa, jaqa' għal limitu tal-memorja fil-livell ta' kontenitur jew cgroup, mhux permezz ta' RLIMIT_AS jew RLIMIT_DATA. L-issettjar session.upload_progress.enabled=0 jappartjeni fil-php.ini, fil-pool FPM jew fil-konfigurazzjoni tas-server, mhux f'ini_set() jew .user.ini. Fl-istess ħin huwa r-rimedju għan-nota dwar CVE-2026-115560. Il-miżuri kollha fil-qosor tarahom f'Miżuri immedjati jekk għad ma tistgħux tippatchjaw.
Il-miżuri temporanji jaħdmu biss wara restart tal-workers kollha ta' PHP. U jipproteġu biss minn attakki futuri: jekk xi ħadd kienx diġà daħal qabel, ma jweġbux.
Meta t-tħaddim offline huwa l-għażla aħjar
Il-virtual patching mhuwiex it-tweġiba t-tajba f'kull sitwazzjoni. F'ċerti kostellazzjonijiet nirrakkomandaw li ssegwu l-BSI u titneħħa temporanjament is-server tal-web min-netwerk sakemm jiġi ppatchjat:
- is-server jaħdem b'Apache u mod_php, fejn it-tim ta' PHP jikklassifika r-riskju bħala l-ogħla u exploit intwera qabel ma jibda jaħdem xi kodiċi tal-applikazzjoni
- fuq is-server hemm data li jimmerita protezzjoni speċjali, pereżempju data tas-saħħa, tal-klijenti ta' studji legali jew tal-pagamenti
- ma hemm ebda possibbiltà li l-miżuri temporanji jitqiegħdu b'mod fiss fil-konfigurazzjoni tas-server, pereżempju f'ċerti pakketti ta' shared hosting
- diġà hemm sinjali li s-server ġie attakkat
Tħaddim offline temporanju ma jfissirx li l-websajt tagħkom ġiet hackjata. Xi fornituri neħħew websajts offline b'kawtela. Paġna ta' avviż qasira u fattwali għall-viżitaturi hija għalhekk ġeneralment soluzzjoni aħjar minn waqfa mhux spjegata.
Kif tgħin PHP SOS b'mod konkret?
- Niċċekkjaw is-sitwazzjoni: Niġbru l-verżjonijiet ta' PHP, il-modalitajiet tat-tħaddim u s-saffi ta' protezzjoni eżistenti bħal CDN, WAF jew reverse proxy. Fil-każ ta' mod_php nindikaw ir-riskju miżjud li t-tim ta' PHP jara hemmhekk.
- Nibnu s-saffi: Naħdmu jew inżidu regoli WAF, insettjaw il-miżuri temporanji b'mod fiss fil-konfigurazzjoni tas-server u nillimitaw il-memorja permezz ta' kontenitur jew cgroup. Għal setups ta' Nginx norjentaw ruħna fuq Kif tissiguraw Nginx ma' PHP-FPM.
- Restart u test: Il-proċessi kollha ta' PHP jerġgħu jinbdew, imbagħad niċċekkjaw uploads, formoli, login u kaxxa.
- Nosservaw: Fil-perjodu temporanju nagħtu attenzjoni akbar lil crashes tal-workers, ogħla spikes tal-memorja u proċessi mhux tas-soltu.
- Nippjanaw il-patch: Niddeterminaw meta u kif jiġi l-aġġornament regolari u nimplimentawh permezz tas-servizz ta' patch ta' PHP.
X'tirċievu, x'għandna bżonn u x'ma nwiegħdux
Tirċievu dokumentazzjoni tar-regoli u tal-issettjar kollu li ġie applikat bir-raġunijiet, ir-riżultati tat-testijiet u pjan ta' skeda u miżuri għall-patch veru. Minnkom għandna bżonn aċċess tas-server jew tal-panel, aċċess għas-CDN jew għall-WAF, jekk teżisti, persuna ta' kuntatt teknika u dettalji dwar il-funzjonijiet tal-upload tal-applikazzjonijiet tagħkom.
Ma nwiegħdux li l-virtual patching jipprevjeni attakk. Inaqqas ir-riskju għal żmien limitat. Għal PHP 8.1 u eqdem mhuwiex stat permanenti; hawnhekk il-migrazzjoni għal verżjoni appoġġjata tappartjeni fil-pjan.
Mistoqsijiet frekwenti
X'inhu l-virtual patching?
Virtual patching ifisser li vulnerabbiltà magħrufa tiġi mħarsa quddiem l-applikazzjoni, minflok ma jinbidel il-kodiċi nnifsu. Dan jiġri l-aktar permezz ta' Web Application Firewall jew bidliet fil-konfigurazzjoni. Hija soluzzjoni temporanja, mhux sostitut tal-aġġornament.
Il-WAF tal-fornitur tas-CDN tiegħi hija biżżejjed kontra PHP2Shell?
Waħedha ġeneralment le. Cloudflare qiegħed regoli ta' protezzjoni, imma jwissi huwa stess li regoli bbażati biss fuq id-data tat-talba mhumiex biżżejjed. Il-WAF hija saff addizzjonali ħdejn il-miżuri temporanji u l-patch.
Kemm żmien nista' nserraħ fuq il-virtual patching?
Kemm jista' jkun inqas. Għandu jgħaddi ż-żmien sa aġġornament regolari, pereżempju sakemm tinfetaħ tieqa ta' manutenzjoni jew sakemm applikazzjoni tiġi ttestjata. Għal PHP 8.1 u eqdem jagħmel parti minnu pjan ta' migrazzjoni.
Il-miżuri temporanji jistgħu jaffettwaw il-websajt tiegħi?
Iva, huwa possibbli. Limiti iżgħar tal-upload jistgħu jipprevjenu uploads ta' fajls kbar, u t-twaqqif tal-upload progress tas-sessjoni jaffettwa indikaturi tal-progress waqt it-tlugħ. Niċċekkjaw il-funzjonijiet l-aktar importanti wara kull bidla.