Na kratko: Varnost Craft CMS je po PHP2Shell odvisna od PHP na strežniku, ne od Craft. Še posebej agencije z mnogimi spletnimi stranmi Craft naj zdaj preverijo vsak strežnik posebej. Po popravku in ponovnem zagonu preglejte .env, Security Key, devMode, korensko mapo dokumentov in uskladite Project Config.
Kaj PHP2Shell pomeni za spletne strani Craft
Craft CMS je priljubljen pri agencijah, ker ponuja prožne modele vsebin in čiste predloge. Temu primerno številne agencije vzdržujejo desetine spletnih strani Craft na različnih strežnikih in paketih gostovanja. Ranljivosti PHP CVE-2026-109618 in CVE-2026-109619 po navedbah ekipe PHP omogočata izvajanje škodljive kode na daljavo brez prijave, ne glede na različico Craft.
Za agencije je najpomembnejše vprašanje zato organizacijsko: katera spletna stran teče kje, s katerim PHP in kdo je pristojen za posodobitev? Seznam vseh namestitev s ponudnikom gostovanja, stanjem PHP in kontaktno osebo je prvi korak. Kako agencijam pri tem pomagamo, opisuje prispevek Varnostni partner za agencije.
Varnost Craft CMS: preverite različico PHP
V nadzorni plošči Orodja > Sistemsko poročilo prikaže različico PHP, podatkovno zbirko in nameščene vtičnike. To je različica, s katero spletna stran teče na spletu. Konzola Craft php craft, obdelava čakalne vrste in cron opravila pa uporabljajo PHP v ukazni vrstici. Obe morata biti popravljeni.
Odpravljene različice izvorne kode so 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Številni ponudniki gostovanja popravke vgradijo kot backport; številka potem ostane enaka. Katere različice so prizadete, kaže prispevek Katere različice PHP so prizadete?. Katere različice PHP podpira vaša različica Craft, preverite v sistemskih zahtevah v dokumentaciji na craftcms.com.
Craft opravila v ozadju obdeluje v čakalni vrsti. Če teče kot trajen proces pod upraviteljem procesov, ga je treba po posodobitvi PHP prav tako znova zagnati.
Mape in konfiguracija v Craft
| Mesto | Vsebina | Točka preverjanja |
|---|---|---|
.env |
Dostop do podatkovne zbirke, CRAFT_SECURITY_KEY, drugi ključi |
Ob sumu obnoviti vrednosti |
config/general.php |
devMode, allowAdminChanges, pot do nadzorne plošče |
Vstavljena koda PHP |
config/project/ |
Project Config kot YAML | Usklajevanje z Gitom |
web/ |
Korenska mapa dokumentov z index.php, cpresources/, pogosto nalaganja |
Dodatne datoteke PHP |
storage/ |
Dnevniki, izvajalne datoteke, pogosto varnostne kopije podatkovne zbirke | Ni dosegljivo prek spleta |
templates/ |
Predloge Twig | Tuj JavaScript |
modules/, vendor/ |
Lastni moduli in vtičniki | Spremenjene datoteke, composer audit |
Pogosto spregledana točka je storage/backups/. Craft tam odlaga varnostne kopije podatkovne zbirke, ki lahko vsebujejo popolne podatke kupcev in obrazcev. Ta mapa ne sme nikoli ležati pod korensko mapo dokumentov.
Neškodljivi pregledi v ukazni vrstici:
# Prikaži razlike med Project Config in podatkovno zbirko
php craft project-config/diff
# Datoteke PHP v korenski mapi dokumentov razen index.php
find web -type f -name "*.php" ! -name "index.php"
composer audit
V produkciji mora biti devMode nastavljen na false. Z vklopljenim devMode Craft prikazuje podrobna sporočila o napakah s potmi in odlomki kode, ki napadalcem olajšajo delo.
Nadzorna plošča, uporabniki in vtičniki
Nadzorna plošča je privzeto pod /admin. Preverite, kateri uporabniki imajo skrbniške pravice, in odstranite dostope nekdanjih sodelavcev in samostojnih izvajalcev. Craft podpira dvofaktorsko prijavo; uporabite jo za vse račune z visokimi pravicami.
V produkciji nastavite allowAdminChanges na false. Tako je polja, razdelke in nastavitve vtičnikov mogoče spreminjati samo prek Project Config pod nadzorom različic, vsako odstopanje pa pade v oči pri usklajevanju z Gitom. Vtičniki iz Plugin Store prinašajo lastno kodo PHP; preverite, ali se vsi še vzdržujejo in ali ustrezajo ciljni različici PHP.
// config/general.php, odlomek za produkcijsko okolje
'devMode' => false,
'allowAdminChanges' => false,
Kaj posodobitev Craft zmore in česa ne
Posodobitev Craft ali vtičnika zapre napake v tej kodi in lahko omogoči novejše različice PHP. PHP ne popravi, ne zažene znova ne PHP-FPM ne čakalne vrste, ne obnovi iztekle Security Key in ne odstrani tujih datotek iz web/ ali storage/.
Za agencije z mnogimi namestitvami Craft po popravku šteje predvsem ponovljivost. Za vsako spletno stran zapišite, katera različica PHP teče na spletu in v ukazni vrstici, kdaj je bil ponovni zagon potrjen in ali so bili pregledi opazni. Ta pregled pomaga pri vprašanjih strank in pri prihodnjih obvestilih. Pomislite tudi na javno dosegljiva okolja staging in razvoj. Pogosto tečejo z devMode, starejšimi stanji in pravimi podatki strank ter se pri posodobitvah rade pozabijo. Če obstaja dvom, ali je spletna stran stranke prizadeta, stranko obvestite stvarno, namesto da čakate.
Kako PHP SOS pomaga konkretno?
- Z vami zajamemo vse namestitve Craft s ponudnikom gostovanja, stanjem PHP in pristojnostjo.
- Popravek in ponovni zagon za vsak strežnik dajemo potrditi ter dnevnike zavarujemo od 20. 10. 2026.
- Preverimo korensko mapo dokumentov,
storage, konfiguracijo, uporabnike in usklajenost Project Config. - Na željo prevzamemo tekočo varnostno oskrbo spletnih strani vaših strank v varnostni pogodbi o vzdrževanju, tudi pod vašim imenom.
Pogosta vprašanja
Ali je Craft CMS prizadet zaradi PHP2Shell?
Craft CMS sam nima nove ranljivosti. Teče pa na PHP, PHP2Shell pa je v PHP. Vsaka namestitev Craft na nepopravljenem strežniku je zato potencialno ranljiva, ne glede na različico Craft.
Kje Craft prikaže različico PHP?
V nadzorni plošči (Control Panel) pod Orodja > Sistemsko poročilo. Tam so različica PHP, podatkovna zbirka in nameščeni vtičniki. Nameščenega backporta iz številke ni mogoče prepoznati; to potrdi vaš ponudnik gostovanja.
Kaj je Security Key v Craft in zakaj ga obnoviti?
Security Key iz datoteke .env služi za podpisovanje in šifriranje podatkov. Kdor ga pozna, lahko pod določenimi pogoji ponaredi seje ali podatke obrazcev. Ob sumu ga obnovite, v dogovoru z vašo agencijo.
Kaj prinese allowAdminChanges na false?
S tem polj, razdelkov in nastavitev vtičnikov v produkciji ni več mogoče spreminjati prek nadzorne plošče. Spremembe prihajajo samo še prek Project Config pod nadzorom različic, kar manipulacije oteži in naredi vidnejše.