# Webshell misjuba? Kif taġixxu sew issa

> Sibt webshell jew fajl suspettuż tal-PHP? Tħassruhx, l-ewwel isalvawh. Niċċaraw il-firxa u l-punt tad-dħul. Ċemplu jew iktbu fuq WhatsApp.

Sors: https://phpsos.de/mt/soforthilfe/webshell-gefunden/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Webshell hija fajl żgħir li permezz tiegħu persuna barranija tista' tikkontrolla s-server tagħkom mill-bogħod. Min sab waħda huwa probabbli ħafna li huwa affettwat u għandu jikkuntattjana minnufih. Tħassruhx, taċċessawhx, l-ewwel isalvawh. Niċċaraw mill-bogħod kif waslet fuq is-server, jekk hemmx aċċessi oħra, u ninnaddfu s-server.

> **Aġixxu immedjatament:**
> **Issa tħassru xejn u terġgħux twaqqfu xejn mill-ġdid.** Anke l-webshell innifsha tibqa' l-ewwel fejn hi, biex tkun tista' tiġi salvata. Intom affettwati? Ċemplu jew iktbu fuq WhatsApp, jew irrapportaw is-sejba permezz ta' [Irrapportaw emerġenza](https://phpsos.de/mt/notfall/).

## Sibtu webshell: x'ifisser dan?

Webshell hija script tal-PHP (jew script f'lingwa oħra tas-server) li taċċetta kmandi minn barra. B'hekk l-attakkanti jistgħu jaqraw fajls, jniżżlu data, jgħabbu kodiċi malizzjuż u jilħqu sistemi oħra. Il-fajl għalhekk rarament huwa l-mira tal-attakk. Huwa l-bieb ta' wara li l-ħalliel iħalli biex jerġa' jiġi.

Dan għandu żewġ konsegwenzi. L-ewwel: xi ħadd kellu diġà aċċess ta' kitba għas-server tagħkom jew seta' jeżegwixxi kodiċi. It-tieni: il-fajl misjub probabbilment mhuwiex l-uniku wieħed. Hemm ukoll dak li spiss ma jkunx magħruf: mil-liema żmien jinsab hemm u x'sar bih fil-bejn?

## Kif tagħrfu webshell

- fajl tal-PHP f'folder fejn m'għandhomx ikunu, bħal uploads, cache, immaġini jew direttorji temporanji
- ismijiet ta' fajls li jidhru bħal fajls tas-sistema, imma ma jagħmlux parti mis-software tagħkom, jew ismijiet b'estensjoni doppja
- kodiċi li ma jinqarax, b'ktajjen twal ta' karattri, kodifikazzjoni u funzjonijiet għall-eżekuzzjoni ta' kmandi, ara [Kif tagħrfu kodiċi PHP moħbi](https://phpsos.de/mt/blog/verschleierter-php-code/)
- data ta' bidla li ma taqbilx mal-aġġornamenti tagħkom
- aċċessi għal dan il-fajl fil-logs, spiss minn indirizzi barranin u b'talbiet POST
- proċessi tas-server tal-web li jibdew shell, kif deskritt f'[Sinjal ta' twissija: is-server tal-web jibda shell](https://phpsos.de/mt/blog/webserver-startet-shell/)

Kif tinterpretaw sew is-sejbiet issibu f'[Fajls tal-PHP fil-folder tal-upload](https://phpsos.de/mt/blog/php-dateien-im-upload-ordner/) u fid-dettall f'[Kif tagħrfu u tneħħu webshells](https://phpsos.de/mt/ratgeber/webshell-erkennen/).

## X'għandkom tagħmlu minnufih

1. **Taċċessawx il-fajl u teżegwuhx.** Ebda testijiet fil-browser.
2. **Tħassruhx u ċċaqalquhx.** Ibdlux la l-kontenut u lanqas it-timestamp.
3. **Innotaw:** il-mogħdija sħiħa, l-isem tal-fajl, il-ħin tas-sejba, min skopriha u b'liema mezz.
4. **Isalvaw il-fajl u l-metadata:** Kopja bis-sid, bid-drittijiet u bit-timestamps. Kmandi ta' verifika li jaqraw biss huma biżżejjed, pereżempju:

   ```bash
   stat /pfad/zur/datei.php
   sha256sum /pfad/zur/datei.php
   ```

5. **Żommu l-logs:** Tħallux jiġu miktuba fuq il-protokolli tal-aċċess u tal-iżbalji tas-server tal-web u ta' PHP. L-istampa speċjalizzata tirrakkomanda li jinżammu l-logs tas-server mill-20/10/2026 'il quddiem.
6. **Iżolaw is-server jekk meħtieġ:** Jekk issuspettaw li d-data qed toħroġ 'il barra, neħħu l-paġna min-netwerk. Kif tippreservaw il-provi f'dan il-ħin jiddeskrivih [Isalvaw il-provi qabel terġgħu twaqqfu](https://phpsos.de/mt/blog/beweise-sichern-vor-neuinstallation/).
7. **Informawna** qabel ma jinbidlu l-passwords jew jiġu mnaddfa l-fajls.

## Kif tgħin PHP SOS b'mod konkret?

1. **Niġbru s-sitwazzjoni:** X'ġie misjub, fejn, meta u minn min? Liema sistemi jinsabu fuq l-istess server?
2. **Nisalvaw u nagħlqu:** Insalvaw is-sejba, il-fajls, id-database u l-logs u nibblukkaw aċċessi li jidhru suspettużi.
3. **Nivverifikaw u ninnaddfu:** Infittxu webshells oħra, fajls tal-qalba mibdula, [cronjobs moħbija](https://phpsos.de/mt/blog/cronjobs-als-hintertuer/), kontijiet ta' amministratur barranin u [ċwievet SSH mhux magħrufa](https://phpsos.de/mt/blog/ssh-schluessel-pruefen/), u neħħuhom. Il-proċedura taqbel mas-servizz [Tneħħija tal-malware u tal-webshells](https://phpsos.de/mt/leistungen/malware-entfernung/).
4. **Insaħħu u nirrapportaw:** Insemmu l-punt probabbli tad-dħul, nagħlquh u nsaħħu s-server. Tirċievu dokumentazzjoni bis-sejbiet u bl-iskeda taż-żmien.

## Kif waslet il-webshell fuq is-server?

Modi tipiċi huma plugins jew estensjonijiet skaduti, uploads mhux sikuri ta' fajls, kredenzjali misruqa u vulnerabbiltajiet fis-software tas-server. Mill-pubblikazzjoni ta' PHP2Shell tiżdied possibbiltà oħra: PHP mingħajr il-korrezzjonijiet minn 8.5.12, 8.4.27, 8.3.36 jew 8.2.35 jista' jiġi abbużat mill-bogħod għall-eżekuzzjoni ta' kodiċi. Indicators of Compromise ikkonfermati ma hemmx dwar dan; l-iskoperta tistrieħ fuq l-imġiba. Jekk id-dħul għandkom sar permezz ta' PHP2Shell jew b'mod ieħor jista' jiġi dedott biss mit-traċċi, u aħna nsemmu x'inhu ppruvat u x'inhu suppożizzjoni. Kif jgħinu l-logs f'dan juri [Analiżi tal-logs tas-server tal-web](https://phpsos.de/mt/ratgeber/logfiles-auswerten/).

Patch ma jneħħix webshell eżistenti. Il-protezzjoni kontra sejbiet futuri tagħmel parti wkoll: [Ipprojbixxu l-eżekuzzjoni ta' PHP fil-folders tal-upload](https://phpsos.de/mt/blog/php-in-uploads-verbieten/) jipprevjeni ħafna każijiet. Ikkunsidraw ukoll il-[limiti tal-scanners tal-malware](https://phpsos.de/mt/blog/grenzen-von-malware-scannern/): scan mingħajr sejba mhuwiex sinjal ta' ħelsien mit-twissija.

Jekk għandkom bżonn tkunu tafu eżattament x'ġara, pereżempju għall-assikuratur jew l-awtoritajiet, tista' tkun sensibbli [forensika tal-IT](https://phpsos.de/mt/leistungen/it-forensik/).

## U jekk il-webshell terġa' tiġi wara t-tħassir?

Dan jiġri ta' spiss u ġeneralment għandu żewġ raġunijiet. Jew hemm tal-inqas backdoor oħra li terġa' toħloq is-sejba, jew il-bieb tad-dħul għadu miftuħ u l-attakkant sempliċement jerġa' jiġi. L-ebda wieħed minnhom ma jinħall b'tħassir ripetut. Għalhekk infittxu l-bidliet kollha flimkien: fajls ġodda u mibdula, entrati fid-database u fil-konfigurazzjoni, kompiti skedati, kontijiet. [Lista tal-fajls li nbidlu riċentement](https://phpsos.de/mt/blog/geaenderte-dateien-finden/) hija f'dan l-bidu sensibbli, imma ma tissostitwix il-verifika minn esperti.

## X'għandkom tibagħtu lilna

- Il-mogħdija u l-isem tal-fajl, jekk possibbli bħala kopja bit-timestamps (it-triq tat-trasferiment niftehmu fuqha)
- Siltiet mil-logs tal-aċċess madwar dan il-fajl, jekk għandkom aċċess
- Tip ta' server, hoster, verżjoni ta' PHP u modalità tat-tħaddim, jekk magħruf
- liema websajts u applikazzjonijiet jaħdmu fuq is-server
- meta saru l-aħħar aġġornamenti, uploads jew bidliet

## Għaliex PHP SOS

Naħdmu Made in Germany u, man-netwerk tas-sieħba tagħna ta' professjonisti taċ-ċibersigurtà, aħna speċjalizzati fis-sigurtà tal-IT għal aktar minn 25 sena. Persuna ta' kuntatt waħda tmexxikom matul l-inċident. Naħdmu mill-bogħod, mingħajr vjaġġ, fil-Ġermanja kollha u fl-Ewropa, niddokumentaw kull pass u ma nagħmlux wegħdiet li ħadd ma jista' jżomm. Nibqgħu sakemm l-inċident jingħalaq u jiġi ddokumentat.

## Intom affettwati? Ċemplulna. Aħna ngħinu.

Webshell misjuba hija sinjal ta' twissija li għandkom tieħdu bis-serjetà. Ikkuntattjawna issa, bit-telefon jew WhatsApp, u nieħdu f'idejna mill-ewwel messaġġ. [Irrapportaw emerġenza issa](https://phpsos.de/mt/notfall/)


## Mistoqsijiet frekwenti

**Sibt webshell. Nista' sempliċement inħassar il-fajl?**  
Jekk jogħġobkom mhux bħala l-ewwel pass. Il-fajl juri meta u b'liema mezz daħal l-attakkant. Isalvawh l-ewwel flimkien mat-timestamps u mas-sid, imbagħad jitneħħa b'mod immirat. Min iħassar biss spiss iħalli aċċessi oħra warajh.

**Għandi nsejjaħ il-fajl suspettuż fil-browser biex nara x'jagħmel?**  
Le. Sejħa tista' teżegwixxi l-kodiċi malizzjuż u tkisser traċċi oħra. Ivverifikaw il-fajl biss billi taqrawh, u aħjar fuq kopja.

**Huwa biżżejjed scanner tal-malware biex insibu l-webshells kollha?**  
Mhux b'mod affidabbli. Scanners jagħrfu mudelli magħrufa, imma webshells moħbija jew mibnija ġodda jaħarbulhom. Scan nadif ma jippruvax li ma fadal xejn.

**Kif inkun naf kemmilha l-webshell fuq is-server?**  
Indikazzjonijiet jagħtu d-data tal-bidla, il-logs tal-aċċess u tal-iżbalji u t-tqabbil ma' fajls ġodda oħra. It-timestamps, madankollu, jistgħu jiġu ffalsifikati. Għalhekk nevalwaw diversi sorsi u nsemmu dak li huwa ppruvat u dak li huwa suppożizzjoni.

**Irrid nirrapporta s-sejba?**  
Hekk kif data personali tista' tkun affettwata, jista' jkun meħtieġ rapport lill-awtorità superviżorja. Dwar dan jagħtu parir l-uffiċjali tal-protezzjoni tad-data jew l-avukati; aħna nipprovdu l-fatti tekniċi.

## Sorsi

- [BSI: Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni](https://www.bsi.bund.de/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [GDPR Art. 33: Notifika lill-awtorità superviżorja](https://dsgvo-gesetz.de/art-33-dsgvo/)