# Miżuri immedjati jekk għad ma tistgħux tippatchjaw

> Workaround għal PHP2Shell: il-miżuri temporanji ta' php.net, issettjati sew, bil-limiti tagħhom u indikazzjonijiet għat-triq lejn il-patch.

Sors: https://phpsos.de/mt/php2shell/sofortmassnahmen-ohne-patch/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Workaround għall-vulnerabbiltà ta' PHP PHP2Shell jista' jbaxxi r-riskju, imma ma jieħux post l-aġġornament. php.net isemmi għal dan limiti fissi tal-memorja u tal-upload, it-tfi ta' session upload progress u fuq PHP 8.5 `fatal_error_backtraces=0`. Jekk anke dan ma jkunx possibbli fi żmien qasir, il-BSI jirrakkomanda li s-server tal-web jitneħħa temporanjament min-netwerk.

## X'jista' jagħmel workaround u x'ma jistax

Il-miżuri temporanji ta' php.net għandhom isirsu diffiċli l-kundizzjonijiet li taħthom il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jistgħu jiġu sfruttati. Espliċitament **mhumiex protezzjoni sħiħa**. Il-vulnerabbiltajiet huma rranġati biss f'PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35 jew f'backport ikkonfermat tal-fornitur tagħkom.

Il-miżuri jagħmlu sens jekk l-aġġornament għal raġuni konkreta għad ma jistax isir: tieqa ta' manutenzjoni għadha pendenti, applikazzjoni trid tiġi ttestjata l-ewwel, jew iħaddmu PHP 8.1 jew eqdem, li għalih m'hemmx aktar aġġornament uffiċjali. Allura huma pont, mhux mira.

Għalhekk ippjanaw l-aġġornament flimkien mal-workaround: min jimplimentah, f'liema tieqa ta' manutenzjoni, u min jivverifika wara li l-workers kollha ġew mibdija mill-ġdid? Tranżizzjoni mingħajr data tat-tmiem tirriskja li ssir stat permanenti.

## Għażla 1: neħħu s-server temporanjament min-netwerk

Il-BSI ħareġ twissija ta' livell 3 (oranġjo) u jirrakkomanda li s-servers tal-web affettwati jitneħħew temporanjament min-netwerk jekk l-aġġornament ma jkunx possibbli minnufih. Xi fornituri għamlu hekk b'kawtela; dan ma jfissirx li dawn il-paġni ġew hackjati.

Għal ħafna kumpaniji waqfa tal-ħanut jew tal-portal hija għalja. Konsiderazzjoni tista' tkun sensata: aċċess biss permezz ta' VPN jew indirizzi IP approvati, paġna statika ta' manutenzjoni minflok l-applikazzjoni PHP jew it-tfi ta' websajts individwali mhux meħtieġa fuq is-server. Kemm inqas PHP huwa aċċessibbli minn barra, kemm tkun iżgħar is-superfiċje tal-attakk.

Importanti li d-deċiżjoni tittieħed b'mod konxju u tiġi rreġistrata: min iddeċieda meta li s-server jibqa' online, u b'liema miżuri ta' protezzjoni? Dan jgħin aktar tard quddiem l-assikuratur, il-protezzjoni tad-data u d-direzzjoni.

## Il-miżuri temporanji ta' php.net

| Miżura | Valur | Nota |
|---|---|---|
| `memory_limit` | `-1`, mhux sovrascrivibbli | Il-limitu tal-memorja imbagħad jiġi ssettjat permezz ta' kontenitur jew cgroup |
| `post_max_size` | `8M` mingħajr uploads, `32M` b'uploads | `upload_max_filesize` taħtu |
| Limitu tal-memorja | permezz ta' kontenitur/cgroup | mhux permezz ta' `RLIMIT_AS` jew `RLIMIT_DATA` |
| `session.upload_progress.enabled` | `0` | fil-php.ini, pool jew konfigurazzjoni tas-server, mhux permezz ta' `ini_set()` jew `.user.ini` |
| `fatal_error_backtraces` | `0` | PHP 8.5 biss |

L-issettjar `session.upload_progress.enabled=0` huwa fl-istess ħin ir-rimedju għall-vulnerabbiltà rrapportata fit-23 ta' Ottubru [CVE-2026-115560](https://phpsos.de/mt/php2shell/cve-2026-115560/).

## Kif tissettjaw sewwa l-workaround għall-vulnerabbiltà ta' PHP

Id-deċiżiv huwa l-post. Il-valuri jridu jiġu ssettjati b'tali mod li applikazzjoni ma tistax tissovrascrivihom. Paths u ismijiet tas-servizzi jvarjaw skont id-distribuzzjoni; l-eżempji jassumu PHP 8.3.

**PHP-FPM, fil-pool** (pereż. `/etc/php/8.3/fpm/pool.d/www.conf`):

```ini
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 8M
php_admin_value[upload_max_filesize] = 6M
php_admin_flag[session.upload_progress.enabled] = off
; PHP 8.5 biss:
; php_admin_flag[fatal_error_backtraces] = off
```

**Apache b'mod_php,** fil-konfigurazzjoni tas-server jew fil-VirtualHost:

```apache
php_admin_value memory_limit -1
php_admin_value post_max_size 32M
php_admin_value upload_max_filesize 24M
php_admin_flag session.upload_progress.enabled off
```

**Limitu tal-memorja permezz ta' cgroup,** hawn permezz ta' systemd għas-servizz FPM. Il-valur taġġustawh għas-server tagħkom:

```ini
# sudo systemctl edit php8.3-fpm
[Service]
MemoryMax=2G
```

Imbagħad erġgħu ibdew il-workers kollha, inkella xejn minn dan ma jaħdem: `systemctl restart php8.3-fpm` jew, b'mod_php, Apache. Kif tivverifikaw li ma jibqa' jaħdem ebda proċess qadim tarawh f'[Restart ta' PHP-FPM u tal-workers kollha](https://phpsos.de/mt/php2shell/php-fpm-neustart/). Tisħiħ ġenerali tal-konfigurazzjoni jiddeskrivih [Kif tikkonfiguraw php.ini b'mod sigur](https://phpsos.de/mt/ratgeber/php-ini-sicher-konfigurieren/).

> **Importanti:**
> Ittestjaw uploads u formoli kbar wara l-bidla. `post_max_size` skars wisq jista' jimblokka ordnijiet, formoli tal-applikazzjoni jew uploads tal-midja. Din hija raġuni biex l-aġġornament ma jiġix posponut għal żmien twil.

## Saffi addizzjonali ta' protezzjoni

Web Application Firewall jew virtual patching jistgħu jgħinu bħala saff addizzjonali. Cloudflare qiegħed regoli ta' protezzjoni, imma huwa stess iwissi li regoli bbażati biss fuq id-data tat-talba mhumiex biżżejjed. WAF għalhekk hija kumpliment, mhux sostitut. Aktar dwar dan f'[WAF u virtual patching](https://phpsos.de/mt/leistungen/waf-virtuelles-patching/).

Issalvaw ukoll il-logs tas-server mill-20 ta' Ottubru 'il quddiem. Skont rapporti tal-midja, l-ewwel tentattiv ta' attakk ġie osservat diġà fis-17 ta' Ottubru; il-logs huma l-bażi jekk aktar tard jeħtieġ jiġi ċċarat jekk xi ħaġa ġrat qabel il-patch.

## Kif tgħin PHP SOS b'mod konkret?

- **Niċċaraw is-sitwazzjoni:** Niċċekkjaw jekk aġġornament huwiex possibbli fi żmien qasir jew jekk hemmx bżonn tranżizzjoni, u niddiskutu magħkom l-għażla li partijiet jitneħħew min-netwerk.
- **Nissettjaw il-miżuri:** Niddaħħlu l-valuri ta' php.net fil-post it-tajjeb, insettjaw il-limitu cgroup u nerġgħu nibdew il-workers kollha.
- **Nittestjaw il-funzjoni:** Formoli, uploads u proċessi tal-ordnijiet niċċekkjawhom wara l-bidla.
- **Nwasslu għall-patch:** Permezz tas-[servizz ta' patch ta' PHP](https://phpsos.de/mt/leistungen/php-patch-service/) nippjanaw l-aġġornament u wara nneħħu b'mod ikkontrollat il-valuri tranżizzjonali fejn jiddisturbaw.


## Mistoqsijiet frekwenti

**Il-workaround jipproteġi kompletament minn PHP2Shell?**  
Le. php.net jiddeskrivi l-miżuri espliċitament bħala tranżizzjoni u mhux protezzjoni sħiħa. Inaqqsu r-riskju sakemm jiġi installat l-aġġornament. Il-BSI jirrakkomanda li servers mingħajr patch jitneħħew temporanjament min-netwerk.

**Nista' nissettja l-issettjar permezz ta' .htaccess jew .user.ini?**  
Għal session.upload_progress.enabled php.net jeskludi espliċitament ini_set() u .user.ini. Għal memory_limit ukoll japplika: il-valur irid jiġi ssettjat b'tali mod li l-applikazzjoni ma tistax tissovrascrivih. Dan jirnexxi fil-php.ini, fil-pool FPM b'php_admin_value jew fil-konfigurazzjoni tas-server ta' Apache.

**Web Application Firewall hija biżżejjed bħala workaround?**  
Bħala saff addizzjonali tista' tgħin. Cloudflare qiegħed regoli ta' protezzjoni, imma huwa stess jindika li regoli bbażati biss fuq id-data tat-talba mhumiex biżżejjed. WAF ma tieħux post l-aġġornament u lanqas il-miżuri temporanji fuq is-server.

**X'nagħmel jekk għandi biss shared hosting?**  
Allura l-php.ini u r-restart jinsabu għand il-hoster. Staqsu b'mod konkret jekk l-aġġornament ġiex installat jew il-miżuri temporanji ġewx ssettjati u jekk il-proċessi kollha ta' PHP ġewx mibdija mill-ġdid.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)