# Sigurtà ta' Craft CMS wara PHP2Shell: kif tissigurizzaw websajts ta' aġenziji

> Sigurizzaw Craft CMS wara PHP2Shell: iċċekkjaw PHP fis-System Report, ipproteġu .env u s-Security Key, ixgħelu devMode u qabblu l-Project Config.

Sors: https://phpsos.de/mt/plattformen/craft-cms/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Is-sigurtà ta' Craft CMS wara PHP2Shell tiddependi mill-PHP tas-server, mhux minn Craft. Propju l-aġenziji b'ħafna websajts ta' Craft għandhom jivverifikaw issa kull server individwalment. Wara l-patch u r-restart jappartjenu fuq il-bank tal-verifika `.env`, is-Security Key, `devMode`, l-għerq tad-dokumenti u l-paragun tal-Project Config.

## X'jfisser PHP2Shell għall-websajts ta' Craft

Craft CMS huwa popolari għand l-aġenziji, għax joffri mudelli flessibbli tal-kontenut u templates nodfa. Skont dan, ħafna aġenziji jamministraw għexieren ta' websajts ta' Craft fuq servers u pakketti tal-hosting differenti. Skont it-tim ta' PHP, il-vulnerabbiltajiet ta' PHP CVE-2026-109618 u CVE-2026-109619 jippermettu kodiċi malizzjuż mill-bogħod mingħajr login, indipendentement mill-verżjoni ta' Craft.

Għall-aġenziji l-aktar mistoqsija importanti hija għalhekk organizzattiva: liema websajt taħdem fejn, b'liema PHP, u min huwa responsabbli għall-aġġornament? Lista tal-installazzjonijiet kollha bil-hoster, l-istat ta' PHP u persuna ta' kuntatt hija l-ewwel pass. Kif ngħinu lill-aġenziji f'dan jiddeskrivih [Sieħeb tas-sigurtà għall-aġenziji](https://phpsos.de/mt/branchen/agenturen-white-label/).

## Sigurtà ta' Craft CMS: ivverifikaw il-verżjoni ta' PHP

Fil-Control Panel, **Utilities > System Report** juri l-verżjoni ta' PHP, id-database u l-plugins installati. Din hija l-verżjoni li biha l-websajt taħdem fuq il-web. Il-console ta' Craft `php craft`, l-ipproċessar tal-kju u l-cronjobs, min-naħa l-oħra, jużaw il-PHP tal-linja tal-kmand. It-tnejn iridu jkunu ppatchjati.

Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Ħafna hosters jinstallaw korrezzjonijiet bħala backport; allura n-numru jibqa' l-istess. Liema verżjonijiet huma affettwati juri [Liema verżjonijiet ta' PHP huma affettwati?](https://phpsos.de/mt/php2shell/betroffene-php-versionen/). Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Craft tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fid-dokumentazzjoni fuq craftcms.com.

Craft jipproċessa kompiti fl-isfond f'kju. Jekk dan jaħdem bħala proċess permanenti taħt maniġer tal-proċessi, anke dan irid jerġa' jinbeda wara l-aġġornament ta' PHP.

## Direttorji u konfigurazzjoni f'Craft

| Post | Kontenut | Punt ta' verifika |
|---|---|---|
| `.env` | Aċċess tad-database, `CRAFT_SECURITY_KEY`, ċwievet oħra | Ġeddu l-valuri wara suspett |
| `config/general.php` | `devMode`, `allowAdminChanges`, mogħdija lejn il-Control Panel | Kodiċi PHP miżjud |
| `config/project/` | Project Config bħala YAML | Paragun ma' Git |
| `web/` | Għerq tad-dokumenti b'`index.php`, `cpresources/`, spiss uploads | Fajls PHP addizzjonali |
| `storage/` | Logs, fajls tal-runtime, spiss backups tad-database | Mhux aċċessibbli mill-web |
| `templates/` | Templates Twig | JavaScript barrani |
| `modules/`, `vendor/` | Moduli proprji u plugins | Fajls mibdula, `composer audit` |

Punt spiss maqbuż huwa `storage/backups/`. Craft jaħżen hemmhekk backups tad-database li jistgħu jkun fihom data sħiħa tal-klijenti u tal-formoli. Dan il-folder qatt m'għandu jkun taħt l-għerq tad-dokumenti.

Verifiki mingħajr periklu fil-linja tal-kmand:

```bash
# Uri d-differenzi bejn il-Project Config u d-database
php craft project-config/diff
# Fajls PHP fl-għerq tad-dokumenti ħlief index.php
find web -type f -name "*.php" ! -name "index.php"
composer audit
```

> **Importanti:**
> Fil-produzzjoni `devMode` jappartjeni fuq `false`. Bil-`devMode` mixgħul Craft juri messaġġi dettaljati ta' żball bi mogħdijiet u siltiet tal-kodiċi li jgħinu lill-attakkanti.

## Control Panel, utenti u plugins

Il-Control Panel jinsab b'mod standard taħt `/admin`. Ivverifikaw liema utenti għandhom drittijiet ta' amministratur u neħħu l-aċċessi ta' impjegati u freelancers ta' qabel. Craft jappoġġja login b'żewġ fattur; uzawh għall-kontijiet kollha b'drittijiet ogħla.

Issettjaw fil-produzzjoni `allowAdminChanges` fuq `false`. Allura fields, sections u l-issettjar tal-plugins jistgħu jinbidlu biss permezz tal-Project Config taħt il-kontroll tal-verżjonijiet, u kull differenza tidher fil-paragun ma' Git. Il-plugins mill-Plugin Store jġibu kodiċi PHP proprju; ivverifikaw jekk kollha għadhom jiġu mmaniġġjati u jaqblux mal-verżjoni mixtieqa ta' PHP.

```php
// config/general.php, siltiet għall-ambjent tal-produzzjoni
'devMode' => false,
'allowAdminChanges' => false,
```

## X'jista' jagħmel aġġornament ta' Craft u x'ma jistax

Aġġornament ta' Craft jew ta' plugin jagħlaq żbalji f'dan il-kodiċi u jista' jippermetti verżjonijiet ġodda ta' PHP. Ma jipatchjax PHP, ma jibdiex mill-ġdid la PHP-FPM u lanqas il-kju, ma jġeddidx Security Key li ħarġet u ma jneħħix fajls barranin minn `web/` jew `storage/`.

Għall-aġenziji b'ħafna installazzjonijiet ta' Craft, wara l-patch jgħodd l-aktar li l-proċess ikun jista' jiġi ripetut. Żommu għal kull websajt bil-miktub liema verżjoni ta' PHP taħdem fuq il-web u fuq il-linja tal-kmand, meta ġie kkonfermat ir-restart u jekk il-verifiki kinux notevoli. Din is-sommarju jgħin f'mistoqsijiet mill-klijenti u f'rapporti futuri. Aħsbu wkoll fl-ambjenti ta' staging u ta' żvilupp aċċessibbli pubblikament. Spiss jaħdmu b'`devMode`, bi stati aktar qodma u b'data vera tal-klijenti u faċilment jintnesew fl-aġġornamenti. Jekk hemm dubju jekk websajt ta' klijent hijiex affettwata, informaw lill-klijent b'mod fattwali, minflok tistennew.

## Kif tgħin PHP SOS b'mod konkret?

- Nirreġistraw miegħekom l-installazzjonijiet kollha ta' Craft bil-hoster, l-istat ta' PHP u r-responsabbiltà.
- Nikkonfermaw il-patch u r-restart għal kull server u nsalvaw il-logs mill-20/10/2026.
- Niċċekkjaw l-għerq tad-dokumenti, `storage`, il-konfigurazzjoni, l-utenti u l-paragun tal-Project Config.
- Jekk tixtiequ, nieħdu ħsieb is-sigurtà kontinwa tal-websajts tal-klijenti tagħkom fil-[kuntratt ta' manutenzjoni tas-sigurtà](https://phpsos.de/mt/leistungen/security-wartungsvertrag/), anke taħt ismek.


## Mistoqsijiet frekwenti

**Craft CMS huwa affettwat minn PHP2Shell?**  
Craft CMS innifsu m'għandux vulnerabbiltà ġdida. Imma jaħdem fuq PHP, u PHP2Shell jinsab f'PHP. Kull installazzjoni ta' Craft fuq server mhux ippatchjat hija għalhekk potenzjalment vulnerabbli, indipendentement mill-verżjoni ta' Craft.

**Fejn juri Craft il-verżjoni ta' PHP?**  
Fil-Control Panel taħt Utilities > System Report. Hemmhekk jinsabu l-verżjoni ta' PHP, id-database u l-plugins installati. Backport installat ma jistax jingħaraf min-numru; dan jikkonfermah il-hoster tagħkom.

**X'inhi s-Security Key f'Craft u għaliex għandha tiġi mġedda?**  
Is-Security Key mill-fajl .env isservi biex tiffirma u tikkripta data. Min jafha jista' f'ċerti ċirkostanzi jiffalsifika sessions jew data tal-formoli. Wara suspett għandkom iġġeddduha b'ftehim mal-aġenzija tagħkom.

**X'jgħin allowAdminChanges fuq false?**  
Hekk fields, sections u l-issettjar tal-plugins ma jistgħux jinbidlu aktar permezz tal-Control Panel fil-produzzjoni. Il-bidliet jiġu biss permezz tal-Project Config taħt il-kontroll tal-verżjonijiet, u dan jagħmel il-manipulazzjonijiet aktar diffiċli u aktar viżibbli.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [Craft CMS](https://craftcms.com/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [Verżjonijiet appoġġjati ta' PHP](https://www.php.net/supported-versions.php)