Lühidalt: Craft CMS turvalisus sõltub pärast PHP2Shelli serveri PHP-st, mitte Craftist. Eriti agentuurid, kellel on palju Craft veebisaite, peaksid nüüd iga serveri eraldi üle vaatama. Pärast paika ja taaskäivitust kuuluvad kontrollimisele .env, Security Key, devMode, dokumendijuur ja Project Configi võrdlus.
Mida PHP2Shell Craft veebisaitidele tähendab
Craft CMS on agentuuride seas populaarne, sest pakub paindlikke sisumudeleid ja puhtaid malle. Vastavalt haldavad paljud agentuurid kümneid Craft veebisaite erinevatel serveritel ja majutuspakettides. PHP turvaaugud CVE-2026-109618 ja CVE-2026-109619 võimaldavad PHP meeskonna andmetel kahjuliku koodi kaugkäivitamist ilma sisselogimiseta, sõltumata Crafti versioonist.
Agentuuride jaoks on tähtsaim küsimus seetõttu korralduslik: milline veebisait töötab kus, millise PHP-ga ja kes vastutab uuenduse eest? Esimene samm on loend kõigist paigaldustest koos majutaja, PHP seisu ja kontaktisikuga. Kuidas agentuure selles toetame, kirjeldab leht Turvapartner agentuuridele.
Craft CMS turvalisus: PHP versiooni kontrollimine
Control Panelis näitab Tööriistad > Süsteemiaruanne PHP versiooni, andmebaasi ja paigaldatud pluginaid. See on versioon, millega veebisait veebis töötab. Crafti konsool php craft, järjekorratöötlus ja cron-tööd kasutavad seevastu käsurea PHP-d. Mõlemad peavad olema paigatud.
Upstream'i parandatud versioonid on 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. Paljud majutajad toovad parandused sisse tagasiportimisena (backport); number jääb siis samaks. Millised versioonid on mõjutatud, näitab leht Millised PHP versioonid on mõjutatud?. Milliseid PHP versioone teie Crafti versioon toetab, kontrollige süsteeminõuete järgi dokumentatsioonis lehel craftcms.com.
Craft töötleb taustaülesandeid järjekorras. Kui see töötab püsiprotsessina protsessihalduri all, tuleb ka see pärast PHP uuendust taaskäivitada.
Kataloogid ja konfiguratsioon Craftis
| Koht | Sisu | Kontrollpunkt |
|---|---|---|
.env |
Andmebaasi ligipääs, CRAFT_SECURITY_KEY, muud võtmed |
Väärtused kahtluse korral uuendada |
config/general.php |
devMode, allowAdminChanges, rada Control Paneli juurde |
Sissetoodud PHP kood |
config/project/ |
Project Config YAML-ina | Võrdlus Gitiga |
web/ |
Dokumendijuur koos index.php, cpresources/, sageli üleslaadimised |
Lisa-PHP failid |
storage/ |
Logid, käitusfailid, sageli andmebaasi varukoopiad | Veebi kaudu kättesaamatu |
templates/ |
Twig-mallid | Võõras JavaScript |
modules/, vendor/ |
Oma moodulid ja pluginad | Muudetud failid, composer audit |
Sageli tähelepanuta jäetud koht on storage/backups/. Craft salvestab sinna andmebaasi varukoopiad, mis võivad sisaldada täielikke klientide- ja vormiandmeid. See kaust ei tohi kunagi asuda dokumendijuure all.
Ohutud kontrollid käsurealt:
# Project Configi ja andmebaasi erinevuste kuvamine
php craft project-config/diff
# PHP failid dokumendijuures peale index.php
find web -type f -name "*.php" ! -name "index.php"
composer audit
Tootmises kuulub devMode väärtusele false. Sisselülitatud devMode korral näitab Craft põhjalikke veateateid radade ja koodilõikudega, mis hõlbustavad ründajate tööd.
Control Panel, kasutajad ja pluginad
Control Panel asub vaikimisi aadressil /admin. Kontrollige, millistel kasutajatel on administraatoriõigused, ja eemaldage endiste töötajate ja vabakutseliste ligipääsud. Craft toetab kaheastmelist autentimist; kasutage seda kõigi kõrgendatud õigustega kontode puhul.
Seadke tootmises allowAdminChanges väärtusele false. Siis saab välju, alasid ja pluginate sätteid muuta ainult versioonihaldusega Project Configi kaudu ning iga kõrvalekalle jääb Gitiga võrdlemisel silma. Plugin Store'i pluginad toovad kaasa oma PHP koodi; kontrollige, kas kõiki veel hooldatakse ja kas need sobivad sihitud PHP versiooniga.
// config/general.php, väljavõte tootmiskeskkonna jaoks
'devMode' => false,
'allowAdminChanges' => false,
Mida Crafti uuendus suudab ja mida mitte
Crafti või plugina uuendus sulgeb selle koodi vead ja võib võimaldada uuemaid PHP versioone. See ei paiga PHP-d, ei taaskäivita PHP-FPM-i ega järjekorda, ei uuenda lekkinud Security Key't ning ei eemalda võõraid faile kaustadest web/ või storage/.
Palju Craft paigaldusega agentuuride jaoks loeb pärast paika eelkõige korratavus. Pange iga veebisaidi kohta kirja, milline PHP versioon töötab veebis ja käsurealt, millal taaskäivitus kinnitati ja kas kontrollid olid silmatorkavad. See ülevaade aitab klientide järelepärimiste ja tulevaste teadete puhul. Mõelge ka avalikult kättesaadavatele staging- ja arenduskeskkondadele. Need töötavad sageli devMode-iga, vanemate seisudega ja päris klientide andmetega ning ununevad uuenduste puhul meelsasti. Kui on kahtlus, et kliendi sait on mõjutatud, teavitage klienti asjalikult, selle asemel et oodata.
Kuidas PHP SOS konkreetselt aitab?
- Kaardistame koos teiega kõik Craft paigaldused koos majutaja, PHP seisu ja vastutusega.
- Laseme paigatud ja taaskäivituse serveri kaupa kinnitada ning varundame logid alates 20.10.2026.
- Kontrollime dokumendijuurt,
storage, konfiguratsiooni, kasutajaid ja Project Configi võrdlust. - Soovi korral võtame teie klientide saitide jooksva turvahoolduse enda peale turvahoolduslepingus, ka teie nime all.
Korduma kippuvad küsimused
Kas Craft CMS on PHP2Shellist mõjutatud?
Craft CMS-il endal uut turvaauku ei ole. See töötab aga PHP peal ja PHP2Shell asub PHP-s. Iga Craft paigaldus paigamata serveris on seetõttu potentsiaalselt ründamisele avatud, olenemata Crafti versioonist.
Kus Craft PHP versiooni näitab?
Control Panelis menüüs Tööriistad > Süsteemiaruanne. Seal on PHP versioon, andmebaas ja paigaldatud pluginad. Sisse toodud tagasiportimist (backport) numbrist ära ei tunne; seda kinnitab teie majutaja.
Mis on Crafti Security Key ja miks seda uuendada?
Security Key failist .env on mõeldud andmete allkirjastamiseks ja krüpteerimiseks. Kes seda teab, võib teatud tingimustel sessioone või vormiandmeid võltsida. Kahtluse korral tuleks see kooskõlastatult oma agentuuriga uuendada.
Mida annab allowAdminChanges väärtusel false?
Sellega ei saa välju, alasid ja pluginate sätteid tootmises enam Control Panelis muuta. Muudatused tulevad ainult versioonihaldusega Project Configi kaudu, mis muudab manipuleerimise raskemaks ja nähtavamaks.