Pe scurt: Securitatea Contao depinde, la PHP2Shell, de PHP-ul serverului, nu de Contao. Aveți grijă ca atât PHP-ul web, cât și PHP-ul din linia de comandă al Contao Manager să aibă patchul aplicat. Apoi verificați .env, șabloanele proprii, directorul files și accesurile la backend și la Manager.
Contao și PHP2Shell: despre ce este vorba
Contao este un CMS răspândit în spațiul de limbă germană, construit din versiunea 4 pe framework-ul Symfony. Potrivit echipei PHP, vulnerabilitățile PHP CVE-2026-109618 și CVE-2026-109619 permit execuția de cod malițios la distanță, fără autentificare. Ele afectează PHP însuși, deci și fiecare instalare Contao de pe un server fără patch.
Multe site-uri Contao aparțin firmelor mijlocii, asociațiilor și comunelor și sunt întreținute de agenții. Clarificați, de aceea, mai întâi cine răspunde de PHP: furnizorul de hosting, agenția sau propriul IT.
O greșeală frecventă privește modul de mentenanță. Contao poate bloca un site pentru vizitatori, dar acest blocaj este livrat chiar de PHP. Fiecare cerere ajunge, așadar, în continuare la interpretorul PHP. Modul de mentenanță nu protejează, de aceea, împotriva PHP2Shell. Când BSI (Oficiul Federal German pentru Securitatea Informațiilor) recomandă scoaterea serverelor web din rețea până la actualizare, se are în vedere un blocaj la nivel de server sau de hosting, nu o setare din CMS.
Securitatea Contao începe cu două versiuni PHP
Contao folosește PHP pe două căi. Serverul web procesează accesările de pagini de obicei prin PHP-FPM. Contao Manager și consola Contao lucrează suplimentar cu un PHP din linia de comandă, de exemplu pentru instalări, actualizări și cronjob-uri. La pachetele de hosting cu mai multe versiuni PHP, acestea pot fi două programe diferite.
Contao Manager arată în configurația sa de server ce fișier executabil PHP folosește. Versiunea web o vedeți în panoul de hosting. Versiunile upstream remediate sunt 8.5.12, 8.4.27, 8.3.36 și 8.2.35; backporturile pot purta numere mai vechi. Ambele căi trebuie să aibă patchul aplicat, iar toate procesele să fie repornite. Ce versiuni PHP sunt acceptate de versiunea dumneavoastră de Contao verificați conform cerințelor de sistem de pe contao.org. Mai multe despre verificare la Verificarea corectă a versiunii PHP și a stării patchului.
Directoare și fișiere în Contao
| Loc | Conținut | Punct de verificare |
|---|---|---|
.env, .env.local |
Accesul la baza de date, APP_SECRET |
De reînnoit în caz de suspiciune |
config/config.yaml |
Configurația instalării | Modificări neașteptate |
public/ (versiuni mai vechi web/) |
Rădăcina documentelor cu index.php, fișierul Contao Manager, asset-uri |
Fișiere PHP suplimentare |
files/ |
Gestionarea fișierelor redactorilor | Fără fișiere PHP |
templates/ |
Șabloane proprii, clasic ca .html5 cu PHP |
Șabloane necunoscute sau modificate |
system/config/localconfig.php |
Setări mai vechi | Cod strecurat |
var/ |
Cache și jurnale | Salvați jurnalele, regenerați cache-ul |
Mai ales templates/ este subestimat: șabloanele clasice Contao cu extensia .html5 sunt fișiere PHP. O comandă strecurată într-un șablon propriu rulează la fiecare accesare a paginii și supraviețuiește actualizărilor Contao.
Primele verificări inofensive:
# Fișiere PHP în gestionarea fișierelor
find files -type f -name "*.php"
# Șabloane modificate din 17.10.2026
find templates -type f -newermt "2026-10-17"
# Verificarea comenzilor Contao disponibile și a dependențelor
vendor/bin/contao-console list contao
composer audit
Contao Manager poate instala pachete și poate aduce astfel cod arbitrar pe server. În caz de suspiciune, verificați conturile sale de utilizator, atribuiți parole noi și eliminați accesurile foștilor prestatori.
Backend, Manager și extensii
Backend-ul se află la /contao. Verificați utilizatorii cu drepturi de administrator și grupurile de utilizatori cu drepturi extinse, de exemplu asupra gestionării fișierelor, a șabloanelor sau a administrării utilizatorilor. Contao aduce autentificare în doi pași; folosiți-o pentru toate conturile cu drepturi ridicate.
Extensiile se instalează prin Composer sau prin Contao Manager. Fiecare aduce cod PHP, iar extensiile mai vechi, fără întreținere, frânează upgrade-urile PHP. Pe serverele cu mai multe site-uri, fiecare instalare ar trebui să ruleze separat, pentru ca un incident să nu se extindă la site-urile vecine; mai multe la open_basedir și izolarea pe site.
Ce poate și ce nu poate o actualizare Contao
O actualizare Contao prin Manager sau Composer închide erori cunoscute din Contao și din extensii. Ea nu aplică patchul PHP și nu repornește nici PHP-FPM, nici procesele de fundal. Șabloanele proprii, fișierele din files/ și conturile de utilizator străine rămân neschimbate. După schimbarea versiunii majore PHP, cache-ul ar trebui regenerat, iar site-ul verificat într-un mediu de test.
La site-urile cu mulți redactori, merită după patch o privire asupra drepturilor din backend. Cine are voie să editeze șabloane poate depune cod PHP în șabloanele clasice .html5. Această permisiune trebuie să rămână în mâinile a puține persoane, versate tehnic. Același lucru este valabil pentru accesul la gestionarea fișierelor cu drepturi de upload în directoare accesibile public.
Cum ajută PHP SOS concret?
- Stabilim PHP-ul web și CLI al instalării dumneavoastră Contao și punem să fie confirmate patchul și repornirea.
- Salvăm jurnalele, fișierele și baza de date înainte de a modifica ceva.
- Verificăm șabloanele,
files/, rădăcina documentelor, conturile de backend și de Manager. - Trecerea PHP, cu dovadă, o preia la cerere serviciul nostru de patch PHP, în acord cu agenția dumneavoastră.
Întrebări frecvente
Este Contao afectat de PHP2Shell?
Contao însuși nu are o vulnerabilitate nouă. Dacă site-ul rulează însă pe un PHP fără patch, este vulnerabil ca orice aplicație PHP. O actualizare Contao nu închide vulnerabilitatea PHP.
De ce este Contao Manager relevant pentru securitate?
Contao Manager poate instala, actualiza și elimina pachete. Cine are acces la el poate introduce cod arbitrar. Accesul necesită, de aceea, o parolă puternică și puține persoane autorizate.
Conțin șabloanele Contao cod PHP?
Șabloanele clasice cu extensia .html5 sunt șabloane PHP. Șabloanele proprii din directorul templates pot, de aceea, să conțină PHP. Ar trebui să puteți explica șabloanele necunoscute sau modificate recent.