Fil-qosor: Il-vulnerabbiltà ta' Laravel li bħalissa ħafna żviluppaturi qed ifittxu hija PHP2Shell u tinsab f'PHP innifsu. Aġġornament ta' Laravel ma jagħlaqhiex. Importanti huma PHP ippatchjat, ir-restart tal-proċessi kollha inklużi l-queue workers u Octane, u verifika ta' .env, storage u public.
X'jfisser PHP2Shell għall-applikazzjonijiet ta' Laravel
Laravel huwa l-pedament ta' ħafna żviluppi proprji: portals tal-klijenti, għodod interni, sistemi ta' prenotazzjoni, APIs għal apps. Skont it-tim ta' PHP, il-vulnerabbiltajiet ta' PHP CVE-2026-109618 u CVE-2026-109619 jippermettu kodiċi malizzjuż mill-bogħod mingħajr login. Kemm il-kodiċi ta' Laravel huwa nadif ma jaqbel xejn f'dan.
Huma affettwati l-modalitajiet tat-tħaddim PHP-FPM, Apache bi mod_php, php-cgi, FrankenPHP u LiteSpeed. Laravel Octane jista' juża FrankenPHP bħala server; allura PHP jinsab fil-programm FrankenPHP jew fl-image tal-container u jiġi aġġornat miegħu. Kif dan jidher f'FrankenPHP jiddeskrivih Sigurizzaw FrankenPHP.
Vulnerabbiltà ta' Laravel: ivverifikaw il-verżjoni ta' PHP u l-proċessi
Fil-linja tal-kmand php artisan about juri l-verżjoni ta' PHP, il-verżjoni ta' Laravel u issettjar importanti bħall-ambjent u l-modalità tad-debug. Din hija, madankollu, il-verżjoni tal-PHP tas-CLI. It-talbiet tal-web jittrattahom PHP-FPM jew Octane, u dan jista' jkun verżjoni differenti. Jekk għandkom dubju, ħallu lill-operatur jikkonferma liema stat tal-pakkett jaħdem fuq it-toroq kollha.
Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35, il-backports jistgħu jġorru numri eqdem. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Laravel tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fid-dokumentazzjoni fuq laravel.com.
Wara l-aġġornament jiġi l-parti li f'Laravel tintesa l-aktar spiss: il-proċessi li jaħdmu fit-tul.
# Uri l-verżjonijiet u l-konfigurazzjoni
php artisan about
# Ordna lill-queue workers jieqfu wara l-job attwali
php artisan queue:restart
# Waqqaf Horizon, biex il-maniġer tal-proċessi jerġa' jibdih
php artisan horizon:terminate
Il-workers jerġgħu jibdew wara biss jekk maniġer tal-proċessi bħal Supervisor jew systemd jissorveljahom. Servers Octane u containers iridu jerġgħu jinbdew kompletament jew jiġu nstallati b'image ġdid. Għas-setups bil-containers japplika Ippatchjaw PHP fil-containers ta' Docker.
Fejn l-applikazzjonijiet ta' Laravel huma vulnerabbli
| Post | Kontenut | Punt ta' verifika |
|---|---|---|
.env |
APP_KEY, database, mail, ċwievet tal-API |
Qatt ma għandu jkun aċċessibbli mill-web |
bootstrap/cache/config.php |
Konfigurazzjoni fil-cache bis-sigrieti | Drittijiet, data tal-bidla |
public/ |
Għerq tad-dokumenti b'index.php |
Fajls PHP addizzjonali |
storage/app/public |
Uploads, aċċessibbli permezz ta' public/storage |
L-ebda fajl PHP |
storage/logs/ |
laravel.log, spiss b'data tat-talbiet |
Issalvawh, mhux pubbliku |
vendor/ |
Pakketti ta' Composer | composer audit, paragun ma' composer.lock |
Il-folder storage/app/public huwa aċċessibbli permezz ta' link simboliku taħt public/storage. Fajl PHP mpoġġi hemm jista', skont il-konfigurazzjoni tas-server, jiġi eżegwit direttament. Ibblokkaw dan fil-livell tas-server tal-web.
APP_DEBUG irid ikun false fil-produzzjoni. Paġna ta' żball bl-output tad-debug tista' turi bidliet tal-ambjent, mogħdijiet u partijiet mill-kodiċi u tgħin lil kull attakkant.
Interfaces tal-admin u pakketti bħala riskju
L-applikazzjonijiet ta' Laravel m'għandhomx interface uniformi tal-admin. Spiss huma żoni proprji jew pakketti bħal Filament jew Nova. Ivverifikaw min għandu drittijiet ta' admin, jekk il-login għandux stadju b'żewġ fattur u jekk ir-rotot tal-admin iridu verament ikunu aċċessibbli minn barra. Anke tokens tal-API, pereżempju minn Sanctum jew Passport, għandhom wara suspett jiġu revokati u maħruġin mill-ġdid.
Ivverifikaw barra minn hekk jekk għodod tal-iżvilupp humiex aċċessibbli fil-produzzjoni, pereżempju debug bars, Telescope jew rotot tat-test. Spiss juru talbiet, queries u konfigurazzjoni u jappartjenu wara login jew għandhom jitneħħew għal kollox mill-ambjent tal-produzzjoni.
Il-pakketti ta' Composer huma t-tieni blokk kbir. Kull dipendenza ġġib kodiċi proprju, u pakketti mingħajr manutenzjoni aktar tard jippreveni upgrades ta' PHP. composer audit juri vulnerabbiltajiet magħrufa, imma ma jissostitwixxix verifika tal-kodiċi proprju.
X'jista' jagħmel aġġornament ta' Laravel u x'ma jistax
Aġġornament ta' Laravel jew ta' pakketti individwali jagħlaq żbalji magħrufa f'dan il-kodiċi. Ma jipatchjax PHP, ma jibdiex mill-ġdid workers, ma jġeddidx APP_KEY li ħareġ u ma jneħħix fajls minn storage jew public. Jekk qabel il-patch ġarax xi ħaġa jista' jiġi ċċarat biss b'verifika tal-logs, tal-fajls u tad-database.
Għat-timijiet b'pipeline tad-deployment japplika: l-aġġornament ta' PHP jappartjeni wkoll fl-ambjent tal-build u fl-images bażi, inkella d-deployment li jmiss iġib mill-ġdid verżjoni qadima. Ivverifikaw barra minn hekk jekk l-ambjenti ta' staging jew ta' review humiex aċċessibbli pubblikament. Spiss jaħdmu b'APP_DEBUG=true u data vera u faċilment jintnesew f'aġġornamenti tas-sigurtà.
Kif tgħin PHP SOS b'mod konkret?
- Niċċekkjaw il-PHP tal-web, tas-CLI u tal-workers tal-applikazzjoni ta' Laravel tagħkom u nakkumpanjaw ir-restart ordnat tal-proċessi kollha.
- Insalvaw il-logs mill-20/10/2026, id-database u l-istat tal-kodiċi u nqabbluh mar-repożitorju tagħkom.
- Niċċekkjaw
.env, il-cache tal-konfigurazzjoni,storage,public, il-kontijiet tal-admin u t-tokens tal-API. - Għal verifika aktar fonda tal-kodiċi proprju nirranġaw awditu tas-sigurtà jew penetration test permezz ta' imsieħba speċjalizzati.
Mistoqsijiet frekwenti
Irrid naġġorna Laravel minħabba PHP2Shell?
Aġġornament ta' Laravel ma jagħlaqx PHP2Shell, għax il-vulnerabbiltà tinsab fl-interpretatur ta' PHP. Madankollu żommu Laravel aġġornat. Għal PHP2Shell għandkom bżonn PHP ippatchjat u r-restart tal-proċessi kollha ta' PHP, anke tal-workers.
Għaliex restart ta' PHP-FPM spiss ma jkunx biżżejjed f'Laravel?
Il-queue workers, Horizon, Octane u l-scheduler jaħdmu bħala proċessi PHP separati mil-linja tal-kmand. Jgħabbu PHP darba biss meta jibdew u wara jkomplu jaħdmu bil-verżjoni l-qadima fil-memorja sakemm jerġgħu jinbdew.
X'jista' jsir jekk il-fajl .env jista' jkun ħareġ?
Allura għandkom iġeddu APP_KEY, il-password tad-database u ċ-ċwievet kollha għal servizzi esterni. Innotaw li APP_KEY ġdid ittemm is-sessions eżistenti u jagħmel data kriptata bliċ-ċavetta l-qadima mhux qarrejja aktar; ippjanawh mal-iżviluppaturi tagħkom.