Fil-qosor: Sigurtà ta' Symfony wara PHP2Shell tfisser: ippatchjaw PHP, erġgħu ibdew il-proċessi kollha inklużi l-Messenger workers u wara ivverifikaw secrets, cache u profiler. Il-vulnerabbiltà tinsab f'PHP, mhux f'Symfony; aġġornament ta' Symfony waħdu ma jagħlaqhiex.
Għaliex PHP2Shell jolqot kull proġett ta' Symfony
Symfony huwa l-bażi ta' ħafna applikazzjonijiet ta' intrapriżi, APIs u portals u jinsab ukoll f'sistemi bħal Shopware 6 u Contao. Skont it-tim ta' PHP, il-vulnerabbiltajiet ta' PHP CVE-2026-109618 u CVE-2026-109619 jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mingħajr login. Jekk l-applikazzjoni hijiex ipprogrammata sew ma jaqbel xejn f'dan.
It-tim ta' PHP jikklassifika r-riskju bħala l-ogħla ma' mod_php, imma huma affettwati wkoll PHP-FPM, php-cgi, FrankenPHP u LiteSpeed. Proġetti ta' Symfony li jaħdmu permezz ta' Symfony Runtime ma' FrankenPHP jew servers oħra li jaħdmu b'mod permanenti jeħtieġu wara l-aġġornament restart sħiħ jew image ġdid.
Sigurtà ta' Symfony: ivverifikaw il-verżjoni ta' PHP u l-proċessi
php bin/console about juri l-verżjoni ta' Symfony, l-ambjent, il-modalità tad-debug u l-verżjoni ta' PHP tal-linja tal-kmand. It-talbiet tal-web, madankollu, jgħaddu minn PHP-FPM jew minn server tal-applikazzjoni, u dan jista' jkun verżjoni differenti. Ivverifikaw iż-żewġ toroq jew ħallu lill-operatur jikkonfermahom.
Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35; il-backports tad-distribuzzjonijiet spiss iġorru numri eqdem. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Symfony tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fid-dokumentazzjoni fuq symfony.com.
# Uri l-ambjent, il-modalità tad-debug u l-verżjoni ta' PHP
php bin/console about
# Ħalli lill-Messenger workers jieqfu wara l-messaġġ attwali
php bin/console messenger:stop-workers
# Vulnerabbiltajiet magħrufa fid-dipendenzi
composer audit
Jekk diversi istanzi jaħdmu wara load balancer jew f'containers, kull waħda individwali trid tkun ippatchjata u mibdija mill-ġdid. Istanza minsija tkompli sservi parti mit-talbiet bil-PHP il-qadim.
Il-Messenger workers, il-kmandi tal-cron u proċessi oħra fl-isfond jgħabbu PHP darba biss meta jibdew. Sakemm jerġgħu jinbdew jaħdmu bil-PHP il-qadim fil-memorja. Maniġer tal-proċessi jrid jerġa' jqajjimhom wara l-waqfa.
Fejn l-applikazzjonijiet ta' Symfony huma vulnerabbli
| Post | Kontenut | Punt ta' verifika |
|---|---|---|
.env, .env.local, .env.local.php |
Varjabbli tal-ambjent, spiss database u ċwievet tal-API | Mhux aċċessibbli fil-webroot, ġeddu l-valuri wara suspett |
config/secrets/prod/ |
Secrets kriptati | Iċ-ċavetta privata tad-dekriptaġġ ma tappartjenix fir-repożitorju |
public/ |
Għerq tad-dokumenti b'index.php |
Fajls PHP addizzjonali |
var/cache/prod/ |
Container u templates iġġenerati bħala PHP | Ħassruh u erġgħu oħolquh wara suspett |
var/log/ |
Protokolli | Issalvawhom |
config/packages/security.yaml |
Firewalls, rwoli, regoli ta' aċċess | Bidliet mhux mistennija |
Il-cache hija moħba sottovalutata. Symfony joħloq hemmhekk fajls PHP li jitgħabbew ma' kull talba. Bidla f'dawn il-fajls ma tidhirx fir-repożitorju, għax il-cache mhijiex taħt il-kontroll tal-verżjonijiet.
Fil-produzzjoni jappartjenu APP_ENV=prod u APP_DEBUG=0, u l-WebProfilerBundle ma jistax ikun attiv hemm. Profiler aċċessibbli pubblikament taħt /_profiler jikxef il-konfigurazzjoni u d-data tat-talbiet.
Żoni tal-admin, bundles u dipendenzi
Il-proġetti ta' Symfony, skont l-istruttura, għandhom żoni proprji tal-admin, spiss b'bundles bħal EasyAdmin jew Sonata. Ivverifikaw f'security.yaml liema mogħdijiet jeħtieġu liema rwoli, u fid-database min għandu dawn ir-rwoli. Mogħdijiet tal-admin li huma meħtieġa biss internament għandhom jiġu llimitati fil-livell tas-server tal-web għal netwerks magħrufa.
Il-bundles u l-pakketti ta' Composer huma kodiċi barrani b'vulnerabbiltajiet proprji. composer audit juri problemi magħrufa; aktar fid-dettall taħt Ivverifikaw id-dipendenzi ta' Composer għal vulnerabbiltajiet. Pakketti skaduti huma wkoll ir-raġuni l-aktar frekwenti għaliex upgrade ta' PHP f'proġetti ta' Symfony jieħu aktar żmien milli ppjanat.
X'jagħmel aġġornament ta' Symfony u x'ma jagħmilx
Aġġornament ta' komponenti ta' Symfony jagħlaq żbalji fil-framework. Ma jipatchjax PHP, ma jibdiex mill-ġdid workers, ma jġeddidx secrets li ħarġu u ma jneħħix cache manipulata. Jekk hemmx sinjali ta' attakk tiddeskrivih Jien diġà kompromess?. Billi ma hemm l-ebda indikaturi ta' kompromess (IOCs) ikkonfermati, jgħin l-aktar l-osservazzjoni ta' mġiba mhux tas-soltu, pereżempju proċessi mhux mistennija jew konnessjonijiet ħerġin.
Jekk il-proġett jiġi kkonsenjat bħala container, il-PHP il-ġdid jappartjeni fl-image bażi. Ibnu l-image mill-ġdid, anke jekk il-kodiċi ma nbidel xejn, u mexxuh fl-ambjenti kollha. Ħarsa lejn id-Dockerfile turi liema image bażi qed jintuża; tag antik iffissat inkella jipprevjeni li r-rikostruzzjoni tirċievi l-PHP ippatchjat. Id-dettalji jinsabu taħt Ippatchjaw PHP fil-containers ta' Docker.
Kif tgħin PHP SOS b'mod konkret?
- Nistabbilixxu liema PHP jużaw il-web, is-CLI u l-workers tal-proġett ta' Symfony tagħkom u nakkumpanjaw ir-restart ordnat.
- Insalvaw il-logs mill-20/10/2026 u nqabblu l-kodiċi fuq is-server mar-repożitorju tagħkom.
- Niċċekkjaw il-fajls tal-ambjent, is-secrets, il-cache, l-issettjar tal-profiler u r-rwoli tal-admin.
- Għas-sorveljanza kontinwa tal-proċessi u tal-konnessjonijiet noffru security monitoring.
Mistoqsijiet frekwenti
Symfony huwa affettwat minn PHP2Shell?
Symfony innifsu m'għandux vulnerabbiltà ġdida. PHP2Shell jinsab f'PHP, jiġifieri fl-ambjent tat-tħaddim ta' kull applikazzjoni ta' Symfony. Il-vulnerabbiltà tingħalaq b'aġġornament ta' PHP jew b'backport ikkonfermat u bir-restart tal-proċessi kollha ta' PHP.
Kif inwaqqaf il-Messenger workers wara aġġornament ta' PHP?
B'php bin/console messenger:stop-workers il-workers li jkunu qed jaħdmu jiġu ordnati jieqfu wara l-messaġġ attwali. Maniġer tal-proċessi bħal Supervisor jew systemd imbagħad jerġa' jibdihom bil-PHP il-ġdid.
Għaliex il-profiler ta' Symfony huwa perikoluż fil-produzzjoni?
Il-profiler juri talbiet, konfigurazzjoni u spiss varjabbli tal-ambjent. Jekk huwa attiv fuq server pubbliku, kulħadd jista' jaċċessa din l-informazzjoni. Jappartjeni biss fl-ambjent tal-iżvilupp.
X'jiġri mill-cache wara attakk?
Il-cache taħt var/cache fiha kodiċi PHP iġġenerat. Attakkant jista' jpoġġi hemmhekk kodiċi li jaħdem ma' kull talba. Wara suspett il-cache għandha titħassar u terġa' tinħoloq mill-kodiċi sors ivverifikat.