Go achomair: Seachtain tar éis na chéad iarrachta ionsaithe breathnaithe, is ceist cur i bhfeidhm den chuid is mó atá in PHP2Shell inniu: tá paistí do PHP 8.2 go 8.5 ar fáil ón 21 Deireadh Fómhair, tá dáiltí móra tagtha ina dhiaidh, agus tugann an BSI (Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise) rabhadh ar leibhéal flannbhuí. Breathnaíodh ar iarrachtaí ionsaithe, ach níor thuairiscigh an BSI ionsaithe rathúla deimhnithe ar scála leathan ar dtús. Tá seanleaganacha, freastalaithe nár atosaíodh agus an cheist cad a tharla roimh an bpaiste fós oscailte.
An staid i dtrí abairt
Is dhá leochaileacht chriticiúla in ateangaire PHP féin iad PHP2Shell, CVE-2026-109618 agus CVE-2026-109619, rátáilte 9.2 ar CVSS v4.0 gach ceann. Ceadaíonn siad cód a rith ón gcianrochtain gan logáil isteach, is é sin an cás is mó a bhíonn eagla ar dhaoine slándála roimhe. Tá PHP-FPM, Apache le mod_php, php-cgi, FrankenPHP agus LiteSpeed buailte; feiceann foireann PHP an riosca is airde i gcás mod_php.
Déanann an forbhreathnú seo an staid an 25 Deireadh Fómhair 2026 a aicmiú de réir gníomhaithe. Gheobhaidh tú an seicheamh lá i ndiaidh lae in amlíne PHP2Shell; anseo is faoin bpictiúr iomlán atá an cás.
Cad atá cruthaithe tar éis seachtaine
Tá sonraí thionscadal PHP cinnte: dúnann na heisiúintí 8.5.12, 8.4.27, 8.3.36 agus 8.2.35 den 21 Deireadh Fómhair an dá leochaileacht. Do PHP 7.4, 8.0 agus 8.1 níl ach ais-phortálacha bunchóid íosta ann, gan eisiúintí oifigiúla. Cuireann php.net i bhfios nach bhfuil aon bhearta idirthréimhseacha iomlána ann agus gurb é an nuashonrú an t-aon bhealach sábháilte.
An 23 Deireadh Fómhair cuireadh nóta faoi CVE-2026-115560 leis. Baineann sé le cumraíocht neamhghnách seisiúin amháin; mar leigheas luann php.net session.upload_progress.enabled=0 go dtí an chéad eisiúint rialta cheartúcháin eile.
Ghlac na dáiltí móra seasamh freisin. Sheiceáil muid na tuairiscí oifigiúla:
| Soláthraí | Staid de réir tuairisce oifigiúla |
|---|---|
| Ubuntu | USN-8948-1 do 22.04, 24.04, 26.04 agus 26.10; USN-8948-2 do 14.04 go 20.04 trí Ubuntu Pro |
| Debian | Pacáistí ceartaithe do bookworm (php8.2, DLA-4848-1) agus trixie (php8.4, DSA-6574-1) |
| Red Hat | Bulletin RHSB-2026-013 do RHEL 7 go 10; roinnt nuashonruithe ar fáil, cinn eile á ndéanamh |
Aicmíonn Red Hat CVE-2026-109618 mar „Important“ lena mheasúnú féin agus bunaíonn sé é sin ar chasta níos airde ionsaithe. Is modh measúnaithe eile é sin seachas modh thionscadal PHP agus ní cúis é an nuashonrú a chur siar.
Conas a mheasann údaráis an staid
D'fhógair an BSI leibhéal rabhaidh 3 / flannbhuí. Molann sé an nuashonrú láithreach agus, mura n-oibríonn sé sin láithreach, na freastalaithe gréasáin buailte a thógáil den líonra go sealadach. Bhí an BSI ag súil le saothrú tapa, ar scála mór. Míníonn an leathanach Cad a mholann an BSI faoi PHP2Shell cad is brí leis an aicmiú.
De réir tuairiscí, measann CERT-EU gur féidir leaganacha ó PHP 5 ar aghaidh a bheith buailte, agus molann sé feidhmchláir atá inrochtana go poiblí a leithlisiú mura féidir iad a phaistiú go luath. Thug CERT-Bund agus an chuideachta slándála Huntress rabhadh freisin.
Cuireadh an moladh múchadh más gá i bhfeidhm go sofheicthe. De réir tuairiscí sna meáin thóg cathair Mainz a príomhthairseach ghréasáin as líne mar réamhchúram; d'fhan oifigí ar fáil ar an teileafón agus trí ríomhphost. I Hesse, de réir hessenschau, bhí suíomhanna rialtas an stáit, an BKA agus cathracha Kassel agus Wiesbaden as líne go sealadach. Níor thuairiscigh an tSeansaléireacht Stáit aon ionsaí, bhí na suíomhanna ar fáil arís tráthnóna. D'fhreagair údaráis áitiúla, ollscoileanna agus ospidéil eile ar an mbealach céanna, de réir tuairiscí.
Cad atá ar eolas faoi ionsaithe
Anseo tá an scaradh idir breathnóireacht agus deimhniú thar a bheith tábhachtach.
- Breathnaithe: De réir tuairiscí sna meáin bhí an chéad iarracht ionsaithe ann an 17 Deireadh Fómhair, a bhreathnaigh Amazon. Thuairiscigh Cloudflare agus Patchstack iarrachtaí ionsaithe; chonaic Cloudflare patrúin ionsaithe athraithe freisin.
- Athchruthaithe: D'athchruthaigh watchTowr CVE-2026-109618, de réir tuairiscí, dar lena dtuairisc féin.
- Gan deimhniú: Níor thuairiscigh an BSI saothrú rathúil deimhnithe ar scála leathan ar dtús. Ní fhaca Huntress aon ionsaithe i dtimpeallachtaí comhpháirtithe tráth a thuarascála.
- Anaithnid: Níl aon Indicators of Compromise deimhnithe foilsithe. An té ar mhaith leis seiceáil an bhfuil freastalaí buailte, ní mór dó cloí le patrúin iompair.
Maidir leis an méid, tá dhá uimhir i gcúrsaíocht. Tháinig taighdeoirí Unit 42 ag Palo Alto Networks ar bhreis agus 22,6 milliún cás a d'fhéadfadh a bheith leochaileach atá inrochtana ón líonra. Luann CybelAngel thart ar 2,24 milliún óstríomhaire PHP inrochtana, agus de réir a mheasúnaithe féin bhí 59 faoin gcéad acu ar leaganacha gan ceartú oifigiúil le teacht. Tomhaiseann an bheirt rudaí difriúla agus ní féidir iad a chur i gcomparáid go díreach. Tá measúnú san alt Uimhreacha a mheas i gceart.
Cad atá fós oscailte
Cinneann trí cheist na seachtainí atá romhainn:
- Seanleaganacha: Ritheann cuid mhór de na suiteálacha PHP inrochtana, de réir na meastóireachtaí luaite, ar bhrainsí gan ceartú oifigiúil. An gclúdaíonn tairiscintí fadtéarmacha tráchtála PHP2Shell, ní mór é a dheimhniú i scríbhinn leis an soláthraí i ngach cás.
- Nuashonruithe neamhiomlána: Ní bhíonn éifeacht ag pacáistí nua go dtí go bhfuil gach próiseas PHP atosaithe. Cuireann Red Hat i bhfios go sainráite nach leor athluchtú.
- An t-am roimh an bpaiste: Idir an 17 agus an 21 Deireadh Fómhair bhí freastalaithe leochaileach agus iarrachtaí ionsaithe ar siúl cheana. Ní chruthaíonn paiste nár tharla aon rud sa tréimhse sin.
Coinnigh logaí an fhreastalaí gréasáin agus PHP ón 20 Deireadh Fómhair, mar a mholann an preas teicniúil. Gan logaí, ní féidir an cheist oscailte is tábhachtaí do d'fhreastalaí a fhreagairt ar ball.
Cad ba cheart d'oibreoirí a sheiceáil anois
Don mheasúnú ar do staid féin, is leor ceithre phointe seiceála do gach freastalaí: An bhfuil PHP ar staid cheartaithe nó ar ais-phortáil dheimhnithe? An bhfuil gach próiseas ag rith ón nuashonrú? An bhfuil session.upload_progress.enabled múchta ar thaobh an fhreastalaí fad atá comhairle CVE-2026-115560 fós le teacht? An bhfuil aon rud neamhghnách le feiceáil ón 17 Deireadh Fómhair?
Don phointe deireanach cabhraíonn an leathanach An bhfuil mé ionsaithe cheana?. Is comharthaí rabhaidh iad próiseas freastalaí gréasáin a thosaíonn shell, comhaid PHP nua i bhfillteáin uaslódála, cronjobanna anaithnide nó eochracha SSH, a mbíonn fiosrúchán níos géire cothrom leo.
Conas a chabhraíonn PHP SOS go nithiúil?
- Measaimid staid an phaiste ar gach freastalaí de réir staid pacáistí, changelog agus amanna tosaithe próisis.
- Nuair nach bhfuil paiste ar fáil, cuirimid bearta idirthréimhseacha php.net i bhfeidhm agus soiléirímid an bealach chuig an leagan tacaithe.
- Sábhálaimid logaí ón 20 Deireadh Fómhair agus cuardaímid rianta ón tréimhse roimh an bpaiste.
- Le Cabhair Láithreach PHP2Shell cuirimid na céimeanna seo le chéile do ghnólachtaí a bhfuil soiléireacht uathu go tapa.
Ceisteanna coitianta
An bhfuil PHP2Shell á shaothrú go gníomhach cheana?
Thuairiscigh Cloudflare agus Patchstack iarrachtaí ionsaithe. Níor thuairiscigh an BSI ionsaithe rathúla deimhnithe ar scála leathan ar dtús. Ní fhaca Huntress aon ionsaithe i dtimpeallachtaí comhpháirtithe tráth a thuarascála.
An bhfuil an baol thart tar éis na bpaistí?
Níl. Ní chosnaíonn na paistí ach freastalaithe a shuiteáil iad agus a d'atosaigh gach próiseas PHP. Fanann córais ar PHP 8.1 agus níos sine leochaileach gan ais-phortáil dheimhnithe, agus ní bhaineann paiste bogearraí mailíseacha a cuireadh isteach roimhe.
Cén fáth a raibh suíomhanna údarás as líne?
De réir tuairiscí sna meáin mhúch cathair Mainz agus roinnt oifigí i Hesse a suíomhanna mar réamhchúram. Tagann sé sin le moladh an BSI do fhreastalaithe nach féidir a nuashonrú láithreach. Ní chiallaíonn múchadh gur tharla ionsaí.
An bhfuil airíonna aitheantais ann d'ionsaí PHP2Shell?
Níl aon Indicators of Compromise deimhnithe foilsithe go dtí seo. Braitheann an bhrath ar anailís iompair, mar shampla ar phróisis PHP a thosaíonn shell, nó ar chomhaid PHP nua i bhfillteáin uaslódála.