Fil-qosor: Parti kbira mis-sistemi ta' ġestjoni tal-kontenut (CMS) u mis-sistemi tal-ħwienet użati ħafna hija miktuba bi PHP, fosthom WordPress ma' WooCommerce, TYPO3, Joomla, Drupal, Contao, Shopware, Magento rispettivament Adobe Commerce u PrestaShop. Jiżdiedu applikazzjonijiet interni bħal Nextcloud, Moodle, MediaWiki u Matomo. Min jopera waħda minn dawn is-sistemi huwa affettwat minn vulnerabbiltajiet fl-interpretatur ta' PHP bħal PHP2Shell, irrispettivament minn kemm hu aġġornat iċ-CMS nnifsu.
Għaliex ħafna websajts jaħdmu fuq PHP
PHP hija mfassla għas-servers tal-web mis-snin disgħin u hija disponibbli għand prattikament kull hoster tal-web. CMS bbażat fuq PHP jista' għalhekk jitħaddem mingħajr infrastruttura proprja ta' server, u dan kien u għadu attraenti speċjalment għal intrapriżi żgħar u medji, assoċjazzjonijiet u awtoritajiet.
Għall-operaturi dan ifisser: il-websajt mhijiex biss „WordPress“ jew „Shopware“, imma munzell ta' diversi saffi. Isfel jaħdem is-sistema operattiva, fuqha s-server tal-web, imbagħad l-interpretatur ta' PHP u fuq nett iċ-CMS bl-estensjonijiet. Kull saff jeħtieġ aġġornamenti proprji. Vulnerabbiltà f'PHP tolqot is-sistemi kollha li jibnu fuqha.
Jiżdiedu l-estensjonijiet: plugins, themes, moduli u interfaces tal-ħwienet huma wkoll kodiċi PHP, spiss minn fornituri żgħar. Jaħdmu bl-istess drittijiet bħaċ-CMS u jiġu eżegwiti mill-istess runtime ta' PHP. CMS b'ħafna estensjonijiet għalhekk għandu wiċċ ta' attakk akbar minn installazzjoni raqiqa, anki jekk il-qalba hija aġġornata.
Numri dwar it-tixrid tas-sistemi individwali ma nagħtuhomx hawn. M'hemm l-ebda sors li nikklassifikaw bħala affidabbli u paragunabbli.
CMS u sistemi ta' ħwienet mifruxa bbażati fuq PHP
It-tabella issemmi sistemi magħrufa u dak li l-manifatturi stess jgħidu dwar il-bażi teknika tagħhom. Rekwiżiti ta' verżjonijiet ma nsemmuhomx apposta, għax jinbidlu ma' kull rilaxx.
| Sistema | Tip | Indikazzjoni dwar il-bażi teknika |
|---|---|---|
| WordPress, WooCommerce | CMS, estensjoni tal-ħanut | applikazzjoni PHP, MySQL jew MariaDB skont ir-rekwiżiti |
| TYPO3 | CMS | teħtieġ, skont id-dokumentazzjoni, server tal-web, PHP u database SQL |
| Joomla | CMS | PHP b'MySQL, MariaDB jew PostgreSQL |
| Drupal | CMS | PHP; estensjonijiet tal-qalba f'core/composer.json |
| Contao | CMS | skont il-manifattur fuq il-Symfony Full-Stack Framework |
| Craft CMS | CMS | il-manifattur isemmi Yii fost l-għodod użati |
| Shopware 6 | Ħanut | id-dokumentazzjoni għall-iżviluppaturi titratta l-plugins bħala Symfony bundles |
| Magento Open Source, Adobe Commerce | Ħanut | PHP u Composer fir-rekwiżiti tas-sistema |
| PrestaShop | Ħanut | PHP b'tabella proprja ta' kompatibbiltà |
| Nextcloud | Ħażna tal-fajls | Apache b'mod_php jew PHP-FPM, Nginx b'PHP-FPM |
| Moodle | Pjattaforma tat-tagħlim | żviluppata bi PHP skont id-dokumentazzjoni |
| MediaWiki, Matomo | Wiki, statistika | PHP skont ir-rekwiżiti tal-installazzjoni |
Ħafna minn dawn is-sistemi jużaw ġewwa blokok mill-frameworks ta' PHP u jgħabbu libreriji permezz ta' Composer. Għall-biċċa l-kbira tagħhom għandna paġni proprji b'indikazzjonijiet dwar l-assigurar, pereżempju WordPress, Shopware 6 u TYPO3.
Kif insib jekk il-websajt tiegħi taħdimx fuq PHP?
Ħafna kumpaniji ma jafux eżattament liema sistemi jaħdmu għandhom, speċjalment jekk aġenzija bniet il-websajt. Dawn il-passi jġibu ċarezza:
- Joħolqu inventarju: Elenkaw id-dominji kollha, is-subdominji u l-interfaces interni tal-web, anki sistemi tat-test u paġni qodma ta' kampanji.
- Staqsu lill-hoster jew lill-aġenzija: Liema sistema, liema verżjoni ta' PHP, liema modalità tat-tħaddim (PHP-FPM, mod_php, LiteSpeed)? Itolbu tweġiba bil-miktub.
- Ħarsu lejn il-panel tal-hosting: Fi Plesk, cPanel u interfaces simili tidher il-verżjoni ta' PHP għal kull websajt. Innotaw li l-backports tad-distribuzzjoni ma jibdlux in-numru murni.
- Ivverifikaw fuq is-server: L-amministraturi jaraw mill-proċessi u mill-konfigurazzjoni tas-server tal-web liema runtime ta' PHP qed iwassal tassew.
- Ma tinsewx l-apparat: Sistemi NAS, routers u appliances spiss ikollhom interface tal-web li tista' wkoll taħdem fuq PHP.
# Fuq is-server: Liema proċessi ta' PHP jaħdmu?
ps -eo user,cmd | grep -E 'php-fpm|lsphp|php-cgi|frankenphp' | grep -v grep
Ħudu r-rekwiżiti tas-sistema bis-serjetà
Kull manifattur jippubblika b'liema verżjonijiet ta' PHP is-softwer tiegħu ġie ttestjat. Dawn l-indikazzjonijiet huma l-bażi ta' kull ippjanar ta' aġġornament: aġġornament ta' PHP għal verżjoni li ċ-CMS għadu ma jappoġġjax jista' jwaqqaf il-websajt. CMS li jaħdem biss b'verżjoni ta' PHP mingħajr aġġornamenti tas-sigurtà huwa riskju permanenti.
Ivverifikaw għalhekk skont ir-rekwiżiti tas-sistema tal-manifattur għall-verżjoni eżatta tagħkom liema verżjonijiet ta' PHP jistgħu jiġu kkunsidrati, u qabblu dan mal-verżjonijiet irranġati ta' PHP. Għal sistemi li jaħdmu biss b'PHP 8.1 jew eqdem, il-proġett PHP m'għandux aktar aġġornamenti uffiċjali.
X'tfisser PHP2Shell għall-operaturi ta' CMS u ħwienet
PHP2Shell tikkonsisti mill-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 fl-interpretatur ta' PHP, it-tnejn b'CVSS 9,2. Jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mingħajr login. Ġew rranġati f'PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Aġġornament ta' CMS ma jagħlaqx dawn il-vulnerabbiltajiet; għaliex jispjega l-artikolu tagħna Għaliex aġġornament ta' WordPress ma jgħinx kontra PHP2Shell.
Għall-ħwienet dan jiżen b'mod speċjali, għax hemmhekk jinsabu d-dejta tal-klijenti, l-ordnijiet u l-aċċessi għas-servizzi tal-ħlas u tal-ispedizzjoni. Patch barra minn hekk ma jneħħix softwer malizzjuż li jkun ġie injettat qabel, u ma jippruvax li ma ġara xejn.
Kif jgħin PHP SOS konkretament?
- Nistabbilixxu inventarju tal-websajts bbażati fuq PHP u tal-applikazzjonijiet interni tagħkom bis-sistema, il-verżjoni ta' PHP u l-modalità tat-tħaddim.
- Inqabblu r-rekwiżiti tal-manifatturi mal-verżjonijiet irranġati ta' PHP u nippjanaw l-aġġornament għal kull sistema.
- Nitfgħu l-aġġornamenti ta' PHP, nerġgħu nibdew il-proċessi kollha u mbagħad nivverifikaw jekk iċ-CMS u l-ħanut jaħdmux sew.
- F'każ ta' suspett ta' inċident neżaminaw is-sistema fil-qafas tal-għajnuna immedjata għal PHP2Shell.
Mistoqsijiet frekwenti
WordPress taħdem fuq PHP?
Iva. WordPress hija applikazzjoni PHP u, skont ir-rekwiżiti uffiċjali, teħtieġ PHP kif ukoll database MySQL jew MariaDB. B'hekk vulnerabbiltajiet fl-interpretatur ta' PHP jolqtu kull installazzjoni ta' WordPress, indipendentement mill-istat ta' WordPress nnifsu.
Aġġornament taċ-CMS jgħin kontra PHP2Shell?
Le. Il-vulnerabbiltà tinsab f'PHP, mhux fiċ-CMS. Skont drweb.de, WordPress.org għalhekk ma jippjanax lanqas aġġornament proprju kontriha. Tingħalaq biss b'verżjoni rranġata ta' PHP u r-restart tal-proċessi kollha ta' PHP.
Kif insir naf liema verżjoni ta' PHP jeħtieġ il-ħanut tiegħi?
Mir-rekwiżiti tas-sistema tal-manifattur għall-verżjoni konkreta tagħkom. Dawn l-indikazzjonijiet jinbidlu ma' kull rilaxx ikbar, għalhekk għandkom taqrawhom direttament għand il-manifattur u mhux tieħduhom minn gwidi eqdem.
Applikazzjonijiet interni huma affettwati wkoll?
Iva, jekk jaħdmu fuq PHP. Ħażniet tal-fajls bħal Nextcloud, pjattaformi tat-tagħlim bħal Moodle, wikis interni b'MediaWiki jew Matomo għall-istatistika huma applikazzjonijiet PHP. Fl-inventarji spiss jintnesew.
Websajt mingħajr .php fl-indirizz mhix PHP?
Mhux neċessarjament. Sistemi moderni jgħaddu l-indirizzi kollha minn index.php ċentrali, hekk li fl-URL ma jidhirx qatt .php. Sigur huwa biss li wieħed iħares lejn is-server jew jitlob tweġiba mill-hoster jew mill-aġenzija.