Fil-qosor: Workaround għall-vulnerabbiltà ta' PHP PHP2Shell jista' jbaxxi r-riskju, imma ma jieħux post l-aġġornament. php.net isemmi għal dan limiti fissi tal-memorja u tal-upload, it-tfi ta' session upload progress u fuq PHP 8.5 fatal_error_backtraces=0. Jekk anke dan ma jkunx possibbli fi żmien qasir, il-BSI jirrakkomanda li s-server tal-web jitneħħa temporanjament min-netwerk.
X'jista' jagħmel workaround u x'ma jistax
Il-miżuri temporanji ta' php.net għandhom isirsu diffiċli l-kundizzjonijiet li taħthom il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jistgħu jiġu sfruttati. Espliċitament mhumiex protezzjoni sħiħa. Il-vulnerabbiltajiet huma rranġati biss f'PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 jew f'backport ikkonfermat tal-fornitur tagħkom.
Il-miżuri jagħmlu sens jekk l-aġġornament għal raġuni konkreta għad ma jistax isir: tieqa ta' manutenzjoni għadha pendenti, applikazzjoni trid tiġi ttestjata l-ewwel, jew iħaddmu PHP 8.1 jew eqdem, li għalih m'hemmx aktar aġġornament uffiċjali. Allura huma pont, mhux mira.
Għalhekk ippjanaw l-aġġornament flimkien mal-workaround: min jimplimentah, f'liema tieqa ta' manutenzjoni, u min jivverifika wara li l-workers kollha ġew mibdija mill-ġdid? Tranżizzjoni mingħajr data tat-tmiem tirriskja li ssir stat permanenti.
Għażla 1: neħħu s-server temporanjament min-netwerk
Il-BSI ħareġ twissija ta' livell 3 (oranġjo) u jirrakkomanda li s-servers tal-web affettwati jitneħħew temporanjament min-netwerk jekk l-aġġornament ma jkunx possibbli minnufih. Xi fornituri għamlu hekk b'kawtela; dan ma jfissirx li dawn il-paġni ġew hackjati.
Għal ħafna kumpaniji waqfa tal-ħanut jew tal-portal hija għalja. Konsiderazzjoni tista' tkun sensata: aċċess biss permezz ta' VPN jew indirizzi IP approvati, paġna statika ta' manutenzjoni minflok l-applikazzjoni PHP jew it-tfi ta' websajts individwali mhux meħtieġa fuq is-server. Kemm inqas PHP huwa aċċessibbli minn barra, kemm tkun iżgħar is-superfiċje tal-attakk.
Importanti li d-deċiżjoni tittieħed b'mod konxju u tiġi rreġistrata: min iddeċieda meta li s-server jibqa' online, u b'liema miżuri ta' protezzjoni? Dan jgħin aktar tard quddiem l-assikuratur, il-protezzjoni tad-data u d-direzzjoni.
Il-miżuri temporanji ta' php.net
| Miżura | Valur | Nota |
|---|---|---|
memory_limit |
-1, mhux sovrascrivibbli |
Il-limitu tal-memorja imbagħad jiġi ssettjat permezz ta' kontenitur jew cgroup |
post_max_size |
8M mingħajr uploads, 32M b'uploads |
upload_max_filesize taħtu |
| Limitu tal-memorja | permezz ta' kontenitur/cgroup | mhux permezz ta' RLIMIT_AS jew RLIMIT_DATA |
session.upload_progress.enabled |
0 |
fil-php.ini, pool jew konfigurazzjoni tas-server, mhux permezz ta' ini_set() jew .user.ini |
fatal_error_backtraces |
0 |
PHP 8.5 biss |
L-issettjar session.upload_progress.enabled=0 huwa fl-istess ħin ir-rimedju għall-vulnerabbiltà rrapportata fit-23 ta' Ottubru CVE-2026-115560.
Kif tissettjaw sewwa l-workaround għall-vulnerabbiltà ta' PHP
Id-deċiżiv huwa l-post. Il-valuri jridu jiġu ssettjati b'tali mod li applikazzjoni ma tistax tissovrascrivihom. Paths u ismijiet tas-servizzi jvarjaw skont id-distribuzzjoni; l-eżempji jassumu PHP 8.3.
PHP-FPM, fil-pool (pereż. /etc/php/8.3/fpm/pool.d/www.conf):
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 8M
php_admin_value[upload_max_filesize] = 6M
php_admin_flag[session.upload_progress.enabled] = off
; PHP 8.5 biss:
; php_admin_flag[fatal_error_backtraces] = off
Apache b'mod_php, fil-konfigurazzjoni tas-server jew fil-VirtualHost:
php_admin_value memory_limit -1
php_admin_value post_max_size 32M
php_admin_value upload_max_filesize 24M
php_admin_flag session.upload_progress.enabled off
Limitu tal-memorja permezz ta' cgroup, hawn permezz ta' systemd għas-servizz FPM. Il-valur taġġustawh għas-server tagħkom:
# sudo systemctl edit php8.3-fpm
[Service]
MemoryMax=2G
Imbagħad erġgħu ibdew il-workers kollha, inkella xejn minn dan ma jaħdem: systemctl restart php8.3-fpm jew, b'mod_php, Apache. Kif tivverifikaw li ma jibqa' jaħdem ebda proċess qadim tarawh f'Restart ta' PHP-FPM u tal-workers kollha. Tisħiħ ġenerali tal-konfigurazzjoni jiddeskrivih Kif tikkonfiguraw php.ini b'mod sigur.
Ittestjaw uploads u formoli kbar wara l-bidla. post_max_size skars wisq jista' jimblokka ordnijiet, formoli tal-applikazzjoni jew uploads tal-midja. Din hija raġuni biex l-aġġornament ma jiġix posponut għal żmien twil.
Saffi addizzjonali ta' protezzjoni
Web Application Firewall jew virtual patching jistgħu jgħinu bħala saff addizzjonali. Cloudflare qiegħed regoli ta' protezzjoni, imma huwa stess iwissi li regoli bbażati biss fuq id-data tat-talba mhumiex biżżejjed. WAF għalhekk hija kumpliment, mhux sostitut. Aktar dwar dan f'WAF u virtual patching.
Issalvaw ukoll il-logs tas-server mill-20 ta' Ottubru 'il quddiem. Skont rapporti tal-midja, l-ewwel tentattiv ta' attakk ġie osservat diġà fis-17 ta' Ottubru; il-logs huma l-bażi jekk aktar tard jeħtieġ jiġi ċċarat jekk xi ħaġa ġrat qabel il-patch.
Kif tgħin PHP SOS b'mod konkret?
- Niċċaraw is-sitwazzjoni: Niċċekkjaw jekk aġġornament huwiex possibbli fi żmien qasir jew jekk hemmx bżonn tranżizzjoni, u niddiskutu magħkom l-għażla li partijiet jitneħħew min-netwerk.
- Nissettjaw il-miżuri: Niddaħħlu l-valuri ta' php.net fil-post it-tajjeb, insettjaw il-limitu cgroup u nerġgħu nibdew il-workers kollha.
- Nittestjaw il-funzjoni: Formoli, uploads u proċessi tal-ordnijiet niċċekkjawhom wara l-bidla.
- Nwasslu għall-patch: Permezz tas-servizz ta' patch ta' PHP nippjanaw l-aġġornament u wara nneħħu b'mod ikkontrollat il-valuri tranżizzjonali fejn jiddisturbaw.
Mistoqsijiet frekwenti
Il-workaround jipproteġi kompletament minn PHP2Shell?
Le. php.net jiddeskrivi l-miżuri espliċitament bħala tranżizzjoni u mhux protezzjoni sħiħa. Inaqqsu r-riskju sakemm jiġi installat l-aġġornament. Il-BSI jirrakkomanda li servers mingħajr patch jitneħħew temporanjament min-netwerk.
Nista' nissettja l-issettjar permezz ta' .htaccess jew .user.ini?
Għal session.upload_progress.enabled php.net jeskludi espliċitament ini_set() u .user.ini. Għal memory_limit ukoll japplika: il-valur irid jiġi ssettjat b'tali mod li l-applikazzjoni ma tistax tissovrascrivih. Dan jirnexxi fil-php.ini, fil-pool FPM b'php_admin_value jew fil-konfigurazzjoni tas-server ta' Apache.
Web Application Firewall hija biżżejjed bħala workaround?
Bħala saff addizzjonali tista' tgħin. Cloudflare qiegħed regoli ta' protezzjoni, imma huwa stess jindika li regoli bbażati biss fuq id-data tat-talba mhumiex biżżejjed. WAF ma tieħux post l-aġġornament u lanqas il-miżuri temporanji fuq is-server.
X'nagħmel jekk għandi biss shared hosting?
Allura l-php.ini u r-restart jinsabu għand il-hoster. Staqsu b'mod konkret jekk l-aġġornament ġiex installat jew il-miżuri temporanji ġewx ssettjati u jekk il-proċessi kollha ta' PHP ġewx mibdija mill-ġdid.