# Agħlqu minnufih il-vulnerabbiltà tas-sigurtà ta' PHP

> Il-vulnerabbiltà ta' PHP għadha miftuħa? Nipatchjaw mill-bogħod, nerġgħu nibdew il-proċessi kollha u nagħtu l-prova. Ċemplu jew iktbu fuq WhatsApp.

Sors: https://phpsos.de/mt/soforthilfe/php-luecke-sofort-schliessen/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Min irid li l-vulnerabbiltà PHP2Shell ta' PHP tkun magħluqa illum għandu bżonn erba' affarijiet: l-aġġornament it-tajjeb, ir-restart tal-proċessi kollha ta' PHP, il-verifika għal kodiċi malizzjuż diġà mdaħħal u prova. Intom affettwati? Ċemplulna. Aħna ngħinu. Nieħdu dan f'idejna mill-bogħod, mill-ewwel messaġġ.

> **Aġixxu immedjatament:**
> **Issa tħassru xejn u terġgħux twaqqfu xejn mill-ġdid.** Anke meta nipatchjaw japplika: l-ewwel insalvaw, imbagħad inbiddlu. Jekk diġà daħal xi ħaġa, għandna bżonn l-istat tal-fajls u tal-logs. [Irrapportaw emerġenza](https://phpsos.de/mt/notfall/) u niċċaraw miegħekom l-ordni.

## Għaliex il-vulnerabbiltà ma tistax tistenna

Iż-żewġ vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 jinsabu f'PHP innifsu u jippermettu kodiċi malizzjuż mill-bogħod mingħajr login. Il-BSI ħareġ il-livell ta' twissija 3 (Oranġjo) u jirrakkomanda l-aġġornament immedjat. Jekk dan ma jistax isir minnufih, is-servers tal-web għandhom jitneħħew temporanjament min-netwerk. Skont rapporti tal-midja, l-ewwel tentattivi ta' attakk osservati kienu diġà qabel ma ġew ippubblikati l-patches fil-21/10/2026. Cloudflare osserva tentattivi u nieda regoli ta' protezzjoni, imma jwissi li regoli bbażati fuq id-data tat-talba waħedha mhumiex biżżejjed.

Importanti għall-operaturi: aġġornament tas-CMS ma jagħlaqx il-vulnerabbiltà ta' PHP. Skont rapporti, anke WordPress.org mhux qed jippjana aġġornament kontriha, għax il-vulnerabbiltà tinsab fl-interpretatur. Tingħalaq biss fil-livell ta' PHP, jiġifieri f'dak li s-server tagħkom tassew jeżegwixxi.

## X'għandkom tagħmlu minnufih

1. **Kunu af il-verżjoni fil-mira.** Huma ffissati PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. PHP 8.2 jilħaq it-tmiem tal-appoġġ fil-31/12/2026; ippjanawh f'dan.
2. **Ikkunsidraw is-sistemi kollha.** Anke servers ta' test, immaġini ta' kontenituri u sistemi antiki li jistgħu jintlaħqu mill-internet.
3. **Iċċaraw ir-responsabbiltà.** Fil-pakketti ta' hosting u fis-servers ġestiti, il-fornitur jinstalla. Staqsuh bil-miktub dwar il-verżjoni u r-restart.
4. **Żommu l-logs.** Mill-20/10/2026 'il quddiem, skont l-istampa speċjalizzata.
5. **Qablu dwar il-ħin.** Restart jinterrompi ftit talbiet li jkunu għaddejjin. Iffissaw mument meta xi ħadd jista' jieħu deċiżjonijiet.
6. **Tistennewx jekk hija miftuħa.** Jekk ma jistax isir patch minnufih, iċċekkjaw magħna l-iżolament jew il-miżuri tranżitorji.

## Kif tgħin PHP SOS b'mod konkret?

1. **Niġbru s-sitwazzjoni:** Niġbru s-sistemi, il-verżjonijiet ta' PHP, il-modalitajiet tat-tħaddim, il-hosters u kemm jintlaħqu, u nistabbilixxu l-ordni: l-ewwel is-sistemi l-aktar esposti.
2. **Nisalvaw u nagħlqu:** Nisalvaw l-istat attwali, ninstallaw l-aġġornament jew inġibu l-hosting fi stat ippruvat li huwa ppatchjat, u nerġgħu nibdew il-proċessi kollha. Fil-kontenituri nibnu l-immaġni mill-ġdid u nxerrduha.
3. **Nivverifikaw u ninnaddfu:** Peress li patch ma jneħħix il-kodiċi malizzjuż, niċċekkjaw għal sinjali ta' dħul preċedenti u ninnaddfu jekk meħtieġ.
4. **Insaħħu u nirrapportaw:** Tirċievu prova bil-miktub għal kull sistema u rakkomandazzjonijiet biex l-aġġornament li jmiss jimxi aktar malajr. Il-firxa tas-servizz tiddeskrivih is-[Servizz ta' patch ta' PHP](https://phpsos.de/mt/leistungen/php-patch-service/).

## Aġġornament, restart, prova: dak li jgħodd

L-iżball l-aktar frekwenti huwa aġġornament mingħajr restart. Sakemm il-proċessi qodma jibqgħu jaħdmu fil-memorja, il-kodiċi vulnerabbli jibqa' attiv, anke jekk il-fajls huma ġodda. L-istruzzjonijiet jinsabu fil-paġna [Erġgħu ibdew PHP-FPM u l-workers kollha](https://phpsos.de/mt/php2shell/php-fpm-neustart/). It-tieni żball huwa li wieħed jemmen il-wiri: id-distribuzzjonijiet u l-hosters spiss iwasslu backports, u allura n-numru tal-verżjoni jibqa' l-istess. Affidabbli huwa l-changelog tal-pakkett bin-numri tas-CVE, fil-familja Debian b'`apt-get changelog <paket>`.

Barra minn hekk, skont il-manwal ta' PHP, mill-ħruġ tas-sigurtà 'l quddiem teżisti d-direttiva l-ġdida `memory_hard_limit_percent`. Jekk verżjoni ta' PHP ma tafhiex, hija affettwata. It-test huwa qasir:

```bash
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
```

Irid isir għal kull verżjoni u modalità tat-tħaddim, għax il-linja tal-kmand tista' tuża verżjoni differenti ta' PHP minn dik tas-server tal-web. Fl-aħħar inżommu r-riżultat, biex tkunu tistgħu turuh lill-hoster, lill-assikuratur jew lill-klijent tagħkom.

## Meta l-aġġornament ma jistax isir minnufih

Hemm raġunijiet għaliex aġġornament ma jistax isir illum: applikazzjoni qadima li ma taħdimx fuq verżjonijiet ġodda ta' PHP, hoster mingħajr approvazzjoni, immaġni ta' kontenitur f'pipeline fissa. Għal dawn il-każijiet php.net isemmi miżuri tranżitorji li espliċitament mhumiex protezzjoni sħiħa: tissettjaw `memory_limit=-1` b'tali mod li l-applikazzjonijiet ma jistgħux jegħlbuh, tillimitaw `post_max_size`, `session.upload_progress.enabled=0` u fuq PHP 8.5 `fatal_error_backtraces=0`, kull darba b'restart. Barra minn hekk, regoli ta' protezzjoni fuq il-ħajt, li ma jissostitwux aġġornament. Parir li qed jiċċirkola, li jiġu bblukkjati t-talbiet kollha b'`PHPSESSID`, huwa rrifjutat espliċitament minn awturi speċjalizzati.

Liema miżuri jaqblu mas-sistema tagħkom u x'jistgħu jkissru niddiskutuhom qabel. Aktar dwar dan fil-paġna [Miżuri immedjati jekk għadkom ma tistgħux tipatchjaw](https://phpsos.de/mt/php2shell/sofortmassnahmen-ohne-patch/) u fis-suġġett [WAF u virtual patching](https://phpsos.de/mt/leistungen/waf-virtuelles-patching/). Għal PHP 8.1 u eqdem japplika sitwazzjoni separata, deskritta f'[PHP 8.1 u eqdem: x'japplika issa](https://phpsos.de/mt/php2shell/php-8-1-und-aelter/).

## X'għandkom tibagħtu lilna

- Lista tas-servers u tal-hosters, safejn teżisti
- L-output ta' `php -v` għal kull sistema u indikazzjoni tal-modalità tat-tħaddim
- Indikazzjoni jekk jintużawx kontenituri, Plesk, cPanel jew offerta ġestita
- It-tieqa tal-ħin mixtieqa u persuna ta' kuntatt għar-restarts
- Indikazzjonijiet ta' xi ħaġa li taqbad l-għajn mis-17/10/2026

## Għaliex PHP SOS

Naħdmu Made in Germany u, man-netwerk tas-sieħba tagħna ta' professjonisti taċ-ċibersigurtà, aħna speċjalizzati fis-sigurtà tal-IT għal aktar minn 25 sena. Ikollkom persuna waħda ta' kuntatt li takkumpanja l-aġġornament, tivverifika r-restart u tagħti l-prova. Naħdmu mill-bogħod, mingħajr vjaġġ, u niddokumentaw kull pass. Ma nwiegħdu l-ebda miraklu: patch jagħlaq il-vulnerabbiltà, ma jippruvax li qabel ma ġara xejn, u hekk ngħidulkom ukoll.

## Intom affettwati? Ċemplulna. Aħna ngħinu.

Ħallux il-vulnerabbiltà miftuħa aktar. Ċemplu jew iktbu fuq WhatsApp. Nieħdu f'idejna mill-ewwel messaġġ u nibqgħu miegħekom sakemm l-inċident jingħalaq u jiġi ddokumentat. [Irrapportaw emerġenza issa](https://phpsos.de/mt/notfall/).


## Mistoqsijiet frekwenti

**Nista' nagħlaq il-vulnerabbiltà ta' PHP weħidi jew għandi bżonn għajnuna?**  
Aġġornament huwa fattibbli għall-amministraturi, imma jista' faċilment jiżbalja: irid jgħodd il-verżjoni li tassew qed taqdi, u l-proċessi kollha jridu jerġgħu jibdew. Min għandu diversi servers, immaġini ta' kontenituri jew hoster b'partikolaritajiet, jiffranka ħin u żbalji b'appoġġ.

**PHP jrid jerġa' jinbeda wara l-aġġornament?**  
Iva. Fajls ġodda waħedhom mhumiex biżżejjed sakemm proċessi qodma ta' PHP jibqgħu jaħdmu fil-memorja. Il-workers jew il-proċessi kollha jridu jerġgħu jibdew; b'mod_php jerġa' jinbeda s-server tal-web.

**X'għandi nagħmel jekk għadu ma hemm l-ebda aġġornament għall-verżjoni ta' PHP tiegħi?**  
Għal PHP 8.1 u eqdem il-proġett PHP ma jipprovdix aġġornamenti uffiċjali iżjed. Allura jkunu meħtieġa backport tal-fornitur ippruvat li huwa ppatchjat, migrazzjoni għal verżjoni miżmuma jew miżuri tranżitorji, li madankollu ma joffru ebda protezzjoni sħiħa.

**Huwa biżżejjed li nissettja session.upload_progress.enabled għal 0?**  
Le. Skont rapporti speċjalizzati, l-issettjar waħdu ma jagħlaqx iż-żewġ vulnerabbiltajiet; l-aġġornament ta' PHP jibqa' obbligatorju. Issettjawh biss f'php.ini, fil-pool ta' FPM jew fil-konfigurazzjoni tas-server, mhux b'ini_set() jew .user.ini.

**Kif inkun naf li l-vulnerabbiltà tassew magħluqa wara?**  
Permezz ta' prova fuq is-sistema li taħdem: il-verżjoni jew il-changelog tal-pakkett, test għad-direttiva l-ġdida memory_hard_limit_percent u l-konferma li l-proċessi kollha reġgħu bdew wara l-aġġornament.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [Manwal ta' PHP: Konfigurazzjoni bażika (ini.core)](https://www.php.net/manual/en/ini.core.php)
- [BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni](https://www.bsi.bund.de/)