Fil-qosor: F'vulnerabbiltà ta' PHP bħal PHP2Shell, fil-web hosting il-hoster huwa responsabbli mill-aġġornament ta' PHP, mhux intom. Il-kompitu tagħkom huwa li tiksbu konferma bil-miktub, tagħżlu verżjoni appoġġjata ta' PHP fil-menu tal-klijent u tiċċekkjaw il-websajt tagħkom għal traċċi ta' attakk. Patch tal-hoster ma jneħħix malware li tkun waslet fuq il-websajt tagħkom qabel.
Is-sitwazzjoni f'kliem sempliċi
PHP huwa l-lingwa ta' programmazzjoni li fuqha jaħdmu ħafna websajts, ħwienet online u CMS bħal WordPress. PHP2Shell jirreferi għal żewġ żbalji kritiċi f'PHP innifsu (CVE-2026-109618 u CVE-2026-109619). Permezz tagħhom l-attakkanti jistgħu jesegwixxu kodiċi tagħhom fuq is-server mingħajr password. Il-BSI ħareġ livell ta' twissija 3 (oranġjo) u jirrakkomanda aġġornament immedjat.
Fil-shared hosting ħafna klijenti jaqsmu server wieħed. It-teknoloġija ta' taħt, jiġifieri s-sistema operattiva, is-server tal-web u PHP, tħaddimha l-hoster. Intom tamministraw biss il-websajt, id-database u l-aċċessi tagħkom. Għalhekk ma tistgħux tinstallaw l-aġġornament ta' PHP waħdekom u lanqas ma jmissukom.
Web hosting u vulnerabbiltà ta' PHP: min hu responsabbli?
Id-diviżjoni tirriżulta mill-kuntratt tagħkom. Fil-biċċa l-kbira tat-tariffi tgħodd, bejn wieqaf u ieħor, id-distribuzzjoni li ġejja:
| Kompitu | Hoster | Intom bħala klijent |
|---|---|---|
| Aġġornament tal-pakketti ta' PHP | iva | le |
| Restart tal-proċessi ta' PHP | iva | le |
| Issettjar ta' valuri temporanji fuq is-server kollu | iva | le |
| Għażla tal-verżjoni ta' PHP tal-websajt tagħkom | jipprovdi | tagħżlu intom |
| Aġġornament ta' CMS, plugins, themes | le | iva |
| Kredenzjali u kontijiet ta' amministratur | le | iva |
| Verifika tal-websajt għal kodiċi malizzjuż | parzjalment | iva |
| Evalwazzjoni mil-lat tal-protezzjoni tad-data | le | iva |
L-aħħar linja hija importanti: jekk fuq il-websajt tagħkom iseħħ inċident li jinvolvi data personali, ġeneralment intom bħala operatur tkunu responsabbli, mhux il-hoster. Aktar dwar dan taħt Obbligu ta' notifika skont il-GDPR.
Dak li għandkom tagħmlu intom issa
1. Ksibu konferma. Staqsu lill-hoster bil-miktub jekk il-verżjonijiet ta' PHP fil-pakkett tagħkom humiex assigurati kontra ż-żewġ CVEs, minn meta, u jekk il-proċessi kollha ta' PHP ġewx mibdija mill-ġdid. Mudell lest issibu f'Staqsu lill-hoster dwar l-istat tal-patch. Titgħajjbux jekk fil-menu tal-klijent tibqa' tidher verżjoni eqdem bħal 8.2.34: xi fornituri jwasslu korrezzjonijiet bħala backport mingħajr ma jinbidel in-numru.
2. Iċċekkjaw il-verżjoni ta' PHP. Ħarsu fil-menu tal-klijent liema verżjoni ta' PHP tuża l-websajt tagħkom. PHP 8.1 u eqdem ma jirċievux aktar aġġornamenti uffiċjali mill-proġett PHP. PHP 8.2 jilħaq it-tmiem tal-appoġġ fil-31/12/2026. Jekk is-CMS tagħkom jaħdimx b'verżjoni ġdida, iċċekkjawh skont ir-rekwiżiti tas-sistema tal-manifattur, pereżempju fuq wordpress.org.
3. Ikkontrollaw il-websajt. Oqogħdu attenti għal kontijiet ta' amministratur mhux magħrufa, rindirizzamenti mhux mistennija, fajls barranin fl-aċċess FTP u twissijiet fil-Google Search Console. Lista ta' sinjali tipiċi tinsab f'Jien diġà kompromess?.
4. Oħolqu backup. Niżżlu backup aġġornat tal-fajls u tad-database u żommuh separat. Itolbu wkoll lill-hoster iżomm il-logs tal-aċċess tal-pakkett tagħkom mill-20/10/2026 'il quddiem.
Wara l-konferma tal-hoster, biddlu b'mod preventiv il-passwords tal-menu tal-klijent, tal-FTP/SFTP, tad-database u tal-amministraturi tas-CMS u attivaw, fejn possibbli, l-awtentikazzjoni b'żewġ fatturi.
Dak li ma tistgħux issolvu waħedkom fil-shared hosting
Il-miżuri temporanji rakkomandati minn php.net, pereżempju session.upload_progress.enabled=0, jaħdmu biss jekk jiġu ssettjati fil-konfigurazzjoni tas-server. Daħla f'.user.ini jew permezz ta' ini_set() fil-kodiċi mhix biżżejjed skont php.net. Anke l-limiti tal-memorja fil-livell tal-cgroup u r-restart tal-proċessi ta' PHP huma f'idejn il-hoster.
Jekk il-hoster tagħkom ma jweġibx jew iweġeb b'mod evażiv, għandkom tliet possibbiltajiet: tinsistu u tistabbilixxu skadenza, tqiegħdu l-websajt temporanjament fil-modalità ta' manutenzjoni, jew tmorru għand fornitur li jagħti stqarrija ċara. Il-BSI jirrakkomanda li s-servers tal-web jitneħħew temporanjament min-netwerk jekk aġġornament ma jistax isir immedjatament.
Iċċekkjaw ukoll jekk it-tariffa tagħkom għadhiex aġġornata. Pakketti li jaħdmu bla bidla għal ħafna snin xi kultant jinsabu fuq ġenerazzjonijiet eqdem ta' servers b'verżjonijiet eqdem ta' PHP li l-hoster jikkura biss b'mod limitat. Bidla għal tariffa kurrenti tal-istess fornitur spiss tinvolvi ftit xogħol u tġib verżjonijiet ġodda ta' PHP. Staqsu dwarha jekk it-tweġiba dwar l-istat tal-patch ma tkunx sodisfaċenti.
Meta l-websajt diġà turi sinjali strani
Patch mingħand il-hoster jagħlaq il-vulnerabbiltà għall-futur. Madankollu ma jneħħix backdoor li l-attakkanti kienu bnew qabel u ma jippruvax li qabel ma ġara xejn. Jekk issibu xi ħaġa straordinarja, tħassrux fajls bla għażla. Ibdew billi tissalvaw l-istat, biex il-kawża tibqa' traċċabbli aktar tard.
Kif tgħin PHP SOS b'mod konkret?
- Nifformulaw magħkom it-talba lill-hoster u nevalwaw teknikament it-tweġiba tiegħu.
- Niċċekkjaw il-websajt tagħkom għal webshells, kontijiet barranin u fajls manipulati u, f'każ ta' sejba, ninnadfuha permezz tat-tneħħija tal-malware tagħna.
- F'każ ta' suspett akut nieħdu f'idejna l-għajnuna ta' emerġenza għal websajts hackjati bis-salvataġġ tal-provi.
- Ngħinu fl-għażla ta' verżjoni xierqa ta' PHP u wara nittestjaw il-websajt.
Mistoqsijiet frekwenti
Bħala klijent tal-hosting irrid naġġorna lil PHP jien stess?
Ġeneralment le, għax fil-shared hosting PHP jagħmel parti mill-pjattaforma tal-hoster. Madankollu, fil-menu tal-klijent spiss tistgħu tagħżlu l-verżjoni ta' PHP. Jekk hemm verżjoni mingħajr aġġornamenti uffiċjali, għandkom tbiddluha jew tistaqsu lill-hoster kif qed jassigurahha.
Il-websajt tiegħi hija offline. Ġejt hackjat?
Mhux neċessarjament. Xi fornituri neħħew websajts min-netwerk b'mod preventiv biex jagħlqu l-vulnerabbiltà. Staqsu lill-hoster għar-raġuni u itolbu konferma jekk hemm indikazzjonijiet ta' attakk fuq il-pakkett tagħkom.
Nista' nissettja waħdi l-miżuri temporanji f'.user.ini?
Għal session.upload_progress.enabled php.net jgħid espliċitament li .user.ini u ini_set() mhumiex biżżejjed. Dan l-issettjar irid jagħmlu l-hoster fil-konfigurazzjoni tas-server.
X'għandi nkollu bil-miktub mingħand il-hoster?
Konferma li l-verżjonijiet ta' PHP tal-pakkett tagħkom huma assigurati kontra CVE-2026-109618 u CVE-2026-109619, minn meta jgħodd dan, u li l-proċessi ta' PHP ġew mibdija mill-ġdid. Żommu din it-tweġiba flimkien mad-dokumenti tagħkom.