Fil-qosor: Għall-vulnerabbiltà PHP2Shell ta' PHP 8.1 m'hemm ebda aġġornament uffiċjali. Il-proġett PHP jagħti għal 7.4, 8.0 u 8.1 biss backports minimi tal-kodiċi sors, mhux releases lesti. Min iħaddem dawn il-verżjonijiet jeħtieġ backport ikkonfermat mill-fornitur tiegħu jew miżuri temporanji u għandu jippjana issa l-bdil għal verżjoni appoġġjata.
Hemm aġġornament kontra l-vulnerabbiltà ta' PHP 8.1?
Mhux mill-proġett PHP. Fil-21 ta' Ottubru 2026 ħarġu korrezzjonijiet uffiċjali biss għall-friegħi appoġġjati: 8.5.12, 8.4.27, 8.3.36 u 8.2.35. PHP 8.1 u verżjonijiet eqdem ma jirċevux aktar aġġornamenti uffiċjali.
Huma affettwati xorta waħda. Skont l-istampa speċjalizzata, il-verżjonijiet vulnerabbli jmorru kważi kontinwament lura sa PHP 5.4. Min iħaddem waħda minn dawn il-verżjonijiet aċċessibbli pubblikament għandu għalhekk vulnerabbiltà kritika b'CVSS v4.0 9,2 mingħajr patch lest.
Għal ħafna kumpaniji din hija sorpriża, għax sistemi bħal dawn spiss jaħdmu stabbli u mingħajr tgħawwiġ sa minn snin. Li verżjoni ma tirċevix aktar aġġornamenti ma jinnotawx fil-ħajja ta' kuljum, sakemm ma tidhirx vulnerabbiltà bħal PHP2Shell. Il-backports tal-kodiċi sors għal 7.4, 8.0 u 8.1 huma eċċezzjoni u mhux kontinwazzjoni tal-manutenzjoni regolari.
X'jfissru l-backports tal-kodiċi sors
Għal 7.4, 8.0 u 8.1 hemm backports minimi tal-kodiċi sors. Dawn huma korrezzjonijiet fil-kodiċi sors li ġew trasferiti għal dawn il-friegħi eqdem. Mhumiex release uffiċjali b'numru ta' verżjoni, pakkett ittestjat u changelog.
Fil-prattika dan ifisser: xi ħadd irid jieħu l-backport, jibni PHP minnu mill-ġdid, jittestja u jqassam. Dan jista' jiġri fi tliet modi:
- Id-distribuzzjoni tagħkom tieħu l-korrezzjoni fil-pakketti tagħha, pereżempju fil-qafas ta' manutenzjoni fit-tul.
- Il-hoster tagħkom jibni pakketti proprji ta' PHP u jinstalla l-backport.
- Intom stess jew fornitur tas-servizzi tibnu PHP mis-sorsi. Dan huwa eżiġenti u jrid jiġi ripetut ma' kull vulnerabbiltà oħra.
Jekk is-sistema tagħkom irċeviet backport tivverifikawh mill-changelog tal-pakkett:
apt changelog php8.1-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619" # Debian/Ubuntu
rpm -q --changelog php-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619" # familja RHEL
L-ismijiet tal-pakketti jvarjaw skont id-distribuzzjoni u s-sors tal-pakketti. Jekk id-dħul jonqos, staqsu lill-fornitur. Kif taħdem il-verifika fid-dettall tarawh f'Kif tivverifikaw sewwa l-verżjoni ta' PHP u l-istat tal-patches.
Niżguraw is-server il-qadim sa dakinhar tal-migrazzjoni
Sakemm ma jkunx qed jaħdem backport ikkonfermat, japplikaw il-miżuri temporanji ta' php.net: memory_limit=-1 mhux sovrascrivibbli b'limitu tal-memorja permezz ta' cgroup, post_max_size ta' 8M jew 32M b'upload_max_filesize taħtu u session.upload_progress.enabled=0 fil-konfigurazzjoni tas-server, imbagħad erġgħu ibdew il-workers kollha. Mhumiex protezzjoni sħiħa. Dettalji f'Miżuri immedjati jekk għad ma tistgħux tippatchjaw.
Jiżdiedu miżuri li jnaqqsu l-aċċessibbiltà: oqsma ta' amministrazzjoni biss permezz ta' VPN jew indirizzi IP approvati, titfu websajts mhux meħtieġa, tillimitaw bir-reqqa l-aċċessi għas-server. Il-BSI jirrakkomanda li servers mingħajr aġġornament jitneħħew temporanjament min-netwerk. Għal applikazzjoni antika u diffiċli biex timmigra, soluzzjoni iżolata tista' tkun it-tweġiba aktar onesta minn tħaddim fl-internet miftuħ.
Jekk server b'PHP 8.1 jew eqdem kien jaħdem mingħajr protezzjoni fin-netwerk mis-17 ta' Ottubru, ħudu dan bis-serjetà: il-BSI kien jistenna sfruttament mgħaġġel fuq skala kbira. Issalvaw il-logs mill-20 ta' Ottubru 'il quddiem u ħallu jiġi vverifikat għal traċċi qabel ma timmigraw.
Nippjanaw il-migrazzjoni: għal liema verżjoni?
L-għan huwa verżjoni li l-proġett PHP jappoġġja u li l-applikazzjoni tagħkom tiflaħ. PHP 8.2 jagħlaq il-vulnerabbiltà minn 8.2.35, imma jilħaq it-tmiem tal-appoġġ fil-31/12/2026. Min jimmigra issa għalhekk għandu jmur, jekk possibbli, għal 8.3 jew aktar ġdid, sakemm l-applikazzjoni tippermetti. L-istat attwali jsemmih php.net fuq il-paġna tal-verżjonijiet appoġġjati.
Liema verżjoni ta' PHP jappoġġja s-CMS jew il-ħanut tagħkom tivverifikawh skont ir-rekwiżiti tas-sistema tal-manifattur, pereżempju fuq wordpress.org, shopware.com jew typo3.org. Ħafna drabi l-ewwel irid jiġi aġġornat l-applikazzjoni nnifisha qabel ma PHP jista' jinbidel. Każ tipiku huma ħwienet eqdem, li niddeskrivu fuq il-paġna Shopware 5. Sfond dwar il-konsegwenzi ta' verżjonijiet skaduti ssibu f'PHP End-of-Life: riskji ta' verżjonijiet skaduti.
| Pass | Kontenut |
|---|---|
| Inventarju | verżjoni ta' PHP, applikazzjoni, estensjonijiet, adattamenti proprji |
| Rekwiżiti | verżjonijiet appoġġjati ta' PHP skont il-manifattur |
| Ambjent tat-test | kopja bil-verżjoni l-ġdida ta' PHP, evalwazzjoni tal-protokoll tal-iżbalji |
| Bdil | tieqa ta' manutenzjoni ppjanata, triq lura mħejjija |
| Xogħol sussegwenti | verifika tal-valuri tranżizzjonali, twaqqif tas-sorveljanza |
Kif tgħin PHP SOS b'mod konkret?
Bil-migrazzjoni minn PHP 8.1 u eqdem inwassluk mill-verżjoni l-antika għal waħda appoġġjata:
- Niżguraw minnufih: Niċċekkjaw l-istat tal-backport, insettjaw miżuri temporanji, innaqqsu l-aċċessibbiltà.
- Niċċekkjaw it-traċċi: Insalvaw il-logs mill-20 ta' Ottubru 'il quddiem u nevalwawhom għal anomaliji.
- Inħejju l-migrazzjoni: Niċċaraw il-kompatibbiltà skont il-manifattur, nibnu ambjent tat-test, insewwu l-iżbalji.
- Nibdlu u nippruvaw: Ninstallaw il-verżjoni l-ġdida ta' PHP, nerġgħu nibdew il-proċessi kollha, niddokumentaw l-istat.
Mistoqsijiet frekwenti
PHP 8.1 huwa affettwat minn PHP2Shell?
Skont l-istampa speċjalizzata kważi l-verżjonijiet kollha lura sa PHP 5.4 huma affettwati, inkluż PHP 8.1. Il-proġett PHP ma joħrogx aktar aġġornamenti uffiċjali għal 8.1, imma biss backports minimi tal-kodiċi sors.
X'inhu backport tal-kodiċi sors?
Korrezzjoni fil-kodiċi sors li ġiet trasferita għal fergħa aktar antika. Mhix release lesta: xi ħadd irid jieħdha, jibni PHP mill-ġdid, jittestja u jqassam. Dan jistgħu jagħmluh il-fornitur tad-distribuzzjoni tagħkom, il-hoster tagħkom jew fornitur tas-servizzi.
Huwa biżżejjed li nibdel għal PHP 8.2?
Fi żmien qasir PHP 8.2.35 jagħlaq il-vulnerabbiltà. PHP 8.2 madankollu jilħaq it-tmiem tal-appoġġ fil-31/12/2026. Min jimmigra xorta waħda għalhekk għandu jivverifika jekk l-applikazzjoni, skont il-manifattur, tappoġġjax ukoll 8.3 jew aktar ġdid.
Il-ħanut tiegħi jaħdem biss b'PHP 7.4. X'nagħmel?
Allura jinħtieġu żewġ affarijiet b'mod parallel: nissiguraw is-server b'miżuri temporanji u iżolazzjoni u nġibu l-applikazzjoni għal verżjoni li tiflaħ verżjoni appoġġjata ta' PHP. Liema hi, jgħidu r-rekwiżiti tas-sistema tal-manifattur.