Fil-qosor: Is-sigurtà ta' Craft CMS wara PHP2Shell tiddependi mill-PHP tas-server, mhux minn Craft. Propju l-aġenziji b'ħafna websajts ta' Craft għandhom jivverifikaw issa kull server individwalment. Wara l-patch u r-restart jappartjenu fuq il-bank tal-verifika .env, is-Security Key, devMode, l-għerq tad-dokumenti u l-paragun tal-Project Config.
X'jfisser PHP2Shell għall-websajts ta' Craft
Craft CMS huwa popolari għand l-aġenziji, għax joffri mudelli flessibbli tal-kontenut u templates nodfa. Skont dan, ħafna aġenziji jamministraw għexieren ta' websajts ta' Craft fuq servers u pakketti tal-hosting differenti. Skont it-tim ta' PHP, il-vulnerabbiltajiet ta' PHP CVE-2026-109618 u CVE-2026-109619 jippermettu kodiċi malizzjuż mill-bogħod mingħajr login, indipendentement mill-verżjoni ta' Craft.
Għall-aġenziji l-aktar mistoqsija importanti hija għalhekk organizzattiva: liema websajt taħdem fejn, b'liema PHP, u min huwa responsabbli għall-aġġornament? Lista tal-installazzjonijiet kollha bil-hoster, l-istat ta' PHP u persuna ta' kuntatt hija l-ewwel pass. Kif ngħinu lill-aġenziji f'dan jiddeskrivih Sieħeb tas-sigurtà għall-aġenziji.
Sigurtà ta' Craft CMS: ivverifikaw il-verżjoni ta' PHP
Fil-Control Panel, Utilities > System Report juri l-verżjoni ta' PHP, id-database u l-plugins installati. Din hija l-verżjoni li biha l-websajt taħdem fuq il-web. Il-console ta' Craft php craft, l-ipproċessar tal-kju u l-cronjobs, min-naħa l-oħra, jużaw il-PHP tal-linja tal-kmand. It-tnejn iridu jkunu ppatchjati.
Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Ħafna hosters jinstallaw korrezzjonijiet bħala backport; allura n-numru jibqa' l-istess. Liema verżjonijiet huma affettwati juri Liema verżjonijiet ta' PHP huma affettwati?. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Craft tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fid-dokumentazzjoni fuq craftcms.com.
Craft jipproċessa kompiti fl-isfond f'kju. Jekk dan jaħdem bħala proċess permanenti taħt maniġer tal-proċessi, anke dan irid jerġa' jinbeda wara l-aġġornament ta' PHP.
Direttorji u konfigurazzjoni f'Craft
| Post | Kontenut | Punt ta' verifika |
|---|---|---|
.env |
Aċċess tad-database, CRAFT_SECURITY_KEY, ċwievet oħra |
Ġeddu l-valuri wara suspett |
config/general.php |
devMode, allowAdminChanges, mogħdija lejn il-Control Panel |
Kodiċi PHP miżjud |
config/project/ |
Project Config bħala YAML | Paragun ma' Git |
web/ |
Għerq tad-dokumenti b'index.php, cpresources/, spiss uploads |
Fajls PHP addizzjonali |
storage/ |
Logs, fajls tal-runtime, spiss backups tad-database | Mhux aċċessibbli mill-web |
templates/ |
Templates Twig | JavaScript barrani |
modules/, vendor/ |
Moduli proprji u plugins | Fajls mibdula, composer audit |
Punt spiss maqbuż huwa storage/backups/. Craft jaħżen hemmhekk backups tad-database li jistgħu jkun fihom data sħiħa tal-klijenti u tal-formoli. Dan il-folder qatt m'għandu jkun taħt l-għerq tad-dokumenti.
Verifiki mingħajr periklu fil-linja tal-kmand:
# Uri d-differenzi bejn il-Project Config u d-database
php craft project-config/diff
# Fajls PHP fl-għerq tad-dokumenti ħlief index.php
find web -type f -name "*.php" ! -name "index.php"
composer audit
Fil-produzzjoni devMode jappartjeni fuq false. Bil-devMode mixgħul Craft juri messaġġi dettaljati ta' żball bi mogħdijiet u siltiet tal-kodiċi li jgħinu lill-attakkanti.
Control Panel, utenti u plugins
Il-Control Panel jinsab b'mod standard taħt /admin. Ivverifikaw liema utenti għandhom drittijiet ta' amministratur u neħħu l-aċċessi ta' impjegati u freelancers ta' qabel. Craft jappoġġja login b'żewġ fattur; uzawh għall-kontijiet kollha b'drittijiet ogħla.
Issettjaw fil-produzzjoni allowAdminChanges fuq false. Allura fields, sections u l-issettjar tal-plugins jistgħu jinbidlu biss permezz tal-Project Config taħt il-kontroll tal-verżjonijiet, u kull differenza tidher fil-paragun ma' Git. Il-plugins mill-Plugin Store jġibu kodiċi PHP proprju; ivverifikaw jekk kollha għadhom jiġu mmaniġġjati u jaqblux mal-verżjoni mixtieqa ta' PHP.
// config/general.php, siltiet għall-ambjent tal-produzzjoni
'devMode' => false,
'allowAdminChanges' => false,
X'jista' jagħmel aġġornament ta' Craft u x'ma jistax
Aġġornament ta' Craft jew ta' plugin jagħlaq żbalji f'dan il-kodiċi u jista' jippermetti verżjonijiet ġodda ta' PHP. Ma jipatchjax PHP, ma jibdiex mill-ġdid la PHP-FPM u lanqas il-kju, ma jġeddidx Security Key li ħarġet u ma jneħħix fajls barranin minn web/ jew storage/.
Għall-aġenziji b'ħafna installazzjonijiet ta' Craft, wara l-patch jgħodd l-aktar li l-proċess ikun jista' jiġi ripetut. Żommu għal kull websajt bil-miktub liema verżjoni ta' PHP taħdem fuq il-web u fuq il-linja tal-kmand, meta ġie kkonfermat ir-restart u jekk il-verifiki kinux notevoli. Din is-sommarju jgħin f'mistoqsijiet mill-klijenti u f'rapporti futuri. Aħsbu wkoll fl-ambjenti ta' staging u ta' żvilupp aċċessibbli pubblikament. Spiss jaħdmu b'devMode, bi stati aktar qodma u b'data vera tal-klijenti u faċilment jintnesew fl-aġġornamenti. Jekk hemm dubju jekk websajt ta' klijent hijiex affettwata, informaw lill-klijent b'mod fattwali, minflok tistennew.
Kif tgħin PHP SOS b'mod konkret?
- Nirreġistraw miegħekom l-installazzjonijiet kollha ta' Craft bil-hoster, l-istat ta' PHP u r-responsabbiltà.
- Nikkonfermaw il-patch u r-restart għal kull server u nsalvaw il-logs mill-20/10/2026.
- Niċċekkjaw l-għerq tad-dokumenti,
storage, il-konfigurazzjoni, l-utenti u l-paragun tal-Project Config. - Jekk tixtiequ, nieħdu ħsieb is-sigurtà kontinwa tal-websajts tal-klijenti tagħkom fil-kuntratt ta' manutenzjoni tas-sigurtà, anke taħt ismek.
Mistoqsijiet frekwenti
Craft CMS huwa affettwat minn PHP2Shell?
Craft CMS innifsu m'għandux vulnerabbiltà ġdida. Imma jaħdem fuq PHP, u PHP2Shell jinsab f'PHP. Kull installazzjoni ta' Craft fuq server mhux ippatchjat hija għalhekk potenzjalment vulnerabbli, indipendentement mill-verżjoni ta' Craft.
Fejn juri Craft il-verżjoni ta' PHP?
Fil-Control Panel taħt Utilities > System Report. Hemmhekk jinsabu l-verżjoni ta' PHP, id-database u l-plugins installati. Backport installat ma jistax jingħaraf min-numru; dan jikkonfermah il-hoster tagħkom.
X'inhi s-Security Key f'Craft u għaliex għandha tiġi mġedda?
Is-Security Key mill-fajl .env isservi biex tiffirma u tikkripta data. Min jafha jista' f'ċerti ċirkostanzi jiffalsifika sessions jew data tal-formoli. Wara suspett għandkom iġġeddduha b'ftehim mal-aġenzija tagħkom.
X'jgħin allowAdminChanges fuq false?
Hekk fields, sections u l-issettjar tal-plugins ma jistgħux jinbidlu aktar permezz tal-Control Panel fil-produzzjoni. Il-bidliet jiġu biss permezz tal-Project Config taħt il-kontroll tal-verżjonijiet, u dan jagħmel il-manipulazzjonijiet aktar diffiċli u aktar viżibbli.