Go achomair: Tháinig an leochaileacht PHP chun solais roimh am toisc, de réir roinnt tuairiscí, go raibh mionsonraí poiblí roimh dheireadh an embargó comhaontaithe, ina measc trí phostáil fóraim an 20 Deireadh Fómhair 2026. D'fhógair php.net an eisiúint slándála ansin don 21 Deireadh Fómhair ag 14:00 UTC. Is ar éigean a bhí aon am ullmhúcháin ann d'oibreoirí dá bharr. An ceacht: ní mór do phróiseas paistithe oibriú fiú gan réamhrabhadh.
An chúis: fógra le cúpla uair an chloig de réamhfhógra
De ghnáth, cloiseann riarthóirí faoi leochaileacht chriticiúil ag an nóiméad a bhfuil an nuashonrú ar fáil freisin. Ní mar sin a bhí i gcás PHP2Shell. An 20 Deireadh Fómhair 2026 d'fhoilsigh php.net réamhfhógra: eisiúint slándála chriticiúil an lá dár gcionn ag 14:00 UTC, is é sin 16:00 am na Gearmáine, do dhá leochaileacht le CVSS v4.0 9.2.
Bhí abairt amháin sa tuairisc neamhghnách. Chuir foireann PHP in áirithe an ceart é a fhoilsiú níos luaithe dá dtiocfadh mionsonraí ceann de na leochaileachtaí chun solais nó dá dtiocfadh comharthaí ar shaothrú gníomhach chun cinn. De réir roinnt tuairiscí, ina measc ó SOC Prime agus BleepingComputer, b'in an cúlra go beacht: bhí faisnéis i gcúrsaíocht cheana féin roimh an dáta pleanáilte.
Conas a oibríonn foilsiú comhordaithe de ghnáth
Taobh thiar de mhórnuashonruithe slándála bíonn nós imeachta de ghnáth a dtugann saineolaithe „Coordinated Disclosure“ air, is é sin foilsiú comhordaithe. Go simplí, oibríonn sé mar seo:
- Tuairisc: Aimsíonn taighdeoirí leochaileacht agus tuairiscíonn siad faoi rún don tionscadal í.
- Anailís agus ceartú: Seiceálann an tionscadal an tuairisc, forbraíonn sé deisiú agus sannann sé uimhreacha CVE.
- Réamhfhaisnéis: Faigheann comhpháirtithe roghnaithe, mar dháiltí Linux, an ceartú faoi embargó, ionas go mbeidh a gcuid pacáistí réidh ar an lá socraithe.
- Foilsiú: Ag dáta seasta, eisítear an paiste, an fógra slándála agus na pacáistí ag an am céanna.
Is comhaontú é an t-embargó mionsonraí a choinneáil siar go dtí an dáta sin. Tá sé ceaptha cosc a chur ar ionsaitheoirí tosaigh a fháil fad nach bhfuil aon nuashonrú ann. Míníonn an t-alt ar phróiseas slándála PHP an chaoi a láimhseálann tionscadal PHP fógraí slándála go ginearálta.
Conas a tháinig an leochaileacht PHP chun solais go luath: an 20 Deireadh Fómhair
De réir tuairiscí comhsheasmhacha sna meáin, tháinig na huimhreacha CVE chun solais an 20 Deireadh Fómhair i bpostáil fóraim phoiblí, in éineacht leis an líomhain go raibh an dá leochaileacht rátáilte leis an uasrátáil 10.0. Scriosadh an phostáil ina dhiaidh sin, de réir tuairiscí. Dheimhnigh foireann PHP na leochaileachtaí, ach luaigh sí an rátáil 9.2 agus an dáta foilsithe 21 Deireadh Fómhair.
Sna huaireanta ina dhiaidh sin bhí scáileáin ghrabálacha agus físeán i gcúrsaíocht, de réir tuairiscí, a bhí ceaptha ionsaí a léiriú. Dúirt an chuideachta slándála watchTowr go raibh CVE-2026-109618 athchruthaithe aici. Bhí rialacha cosanta Cloudflare gníomhach, dar leis féin, ó mhaidin luath an 21 Deireadh Fómhair.
Neamhspleách ar an sceitheadh, tuairiscíonn na meáin, ag tagairt d'Amazon, ar an gcéad iarracht ionsaithe breathnaithe an 17 Deireadh Fómhair. An mbaineann sin leis an sceitheadh níos déanaí, níl sé cruthaithe go poiblí. Léiríonn amlíne PHP2Shell an seicheamh iomlán dátaí.
Cad a athraíonn teacht chun solais go luath d'oibreoirí
Do chuideachtaí bhí trí iarmhairt phraiticiúla ag an sceitheadh:
- Níos lú ama ullmhúcháin: Bhí thart ar lá idir an réamhfhógra agus an paiste. Ní raibh aon am ag an té nár fhreagair ach tar éis an fhoilsithe fuinneoga cothabhála a chomhordú.
- Staid mhíshoiléir faisnéise: Le linn na gcéad uaireanta bhí ráflaí taobh le sonraí oifigiúla. Mhair an rátáil bhréagach 10.0 laethanta fós.
- Tús luath d'ionsaitheoirí: An té a bhfuil eolas aige ar mhionsonraí go luath, is féidir leis tosú ag cuardach go luath. De réir taithí, tosaíonn scanadh uathoibrithe le haghaidh freastalaithe leochaileacha go gasta, mar a thuairiscíonn an t-alt ar mhórscanadh le haghaidh PHP gan phaiste.
Ag an am céanna léirigh an réamhfhógra gur oibrigh an nós imeachta d'ainneoin an sceitheadh: d'eisigh gach brainse a fhaigheann tacaíocht na nuashonruithe ag an am fógartha, agus sholáthair dáiltí ais-phortálacha an lá céanna in áiteanna.
Cén fáth nach bhfoilsíonn tionscadal gach rud láithreach
D'fhéadfaí a fhiafraí cén fáth nár eisigh foireann PHP gach rud láithreach tar éis an sceitheadh. Tá an freagra sa mheá a bhíonn le déanamh ag gach tionscadal sa chás seo. Ní chabhraíonn eisiúint gan pacáistí réidh na ndáiltí ach leo siúd a thógann PHP féin ón mbunchód. Faigheann formhór mór na bhfreastalaithe PHP, ámh, trí Debian, Ubuntu, Red Hat, óstálaithe nó íomhánna coimeádán. Dá mbeadh dáta ró-luath ann, bheadh mionsonraí poiblithe gan go mbeadh an chuid is mó d'oibreoirí in ann aon rud a chur isteach go fóill.
Bhí an réamhfhógra le dáta seasta agus leis an gceart in áirithe é a fhoilsiú níos luaithe i gcás práinne ina leathbhealach. D'fhéadfadh oibreoirí ullmhú, agus d'fhéadfadh dáiltí a bpacáistí a chríochnú. Duitse mar oibreoir ciallaíonn sé seo: is comhartha é réamhfhógra den sórt sin le foireann agus fuinneoga cothabhála a phleanáil láithreach, ní ar lá an phaiste amháin.
Liostáil go díreach le fógraí slándála php.net agus do dháil, mar shampla trí RSS nó liosta poist. Ní úsáideach réamhfhógra ach amháin má léann duine sa chuideachta é.
Cad ba cheart duit a thógáil leat do do phróiseas paistithe
Níl sé faoi do smacht an dtagann leochaileacht chun solais mar a pleanáladh nó roimh am. Tá sé faoi do smacht cé chomh tapa is féidir leat gníomhú ina dhiaidh sin. Léirigh na pointí seo a leanas a bheith ríthábhachtach i gcás PHP2Shell:
| Eilimint | Ceist ar cheart í a fhreagairt roimh ré |
|---|---|
| Fardal | Cé na freastalaithe agus suíomhanna gréasáin a úsáideann PHP, cén leagan agus cén mód oibriúcháin? |
| Freagracht | Cé a phaistíonn: TF inmheánach, soláthraí seirbhíse nó óstálaí? Cé a chinneann faoi mhúchadh? |
| Bealach nuashonraithe | An as an dáil, as stóras tríú páirtí nó as íomhá coimeádáin a thagann PHP? |
| Atosú | Conas a atosaítear gach próiseas PHP go hiontaofa? |
| Fianaise | Conas a chruthaítear staid an phaiste nuair a fhanann uimhir an leagain mar an gcéanna? |
| Oibriú éigeandála | An bhfuil leathanach éigeandála ann má bhíonn ar fhreastalaí dul as líne go sealadach? |
An té a d'fhreagair na ceisteanna seo cheana, níl uaidh ag an gcéad réamhfhógra eile ach an dáta. Déanann an t-alt ar phróiseas bainistíochta paistí cur síos ar cén chuma atá ar a leithéid de chúrsa go buan.
Conas a chabhraíonn PHP SOS go nithiúil?
- Tuairisc thapa ar an stoc: Taifeadaimid gach córas PHP le leagan, mód oibriúcháin agus foinse na bpacáistí.
- Paiste ar an dáta socraithe: Cuirimid nuashonruithe isteach, atosaímid gach próiseas PHP agus cruthaímid an staid do gach freastalaí.
- Idirthréimhse i gcás moill: Nuair nach féidir nuashonrú a dhéanamh láithreach, cuirimid bearta idirthréimhseacha php.net i bhfeidhm agus socraímid leat múchadh sealadach.
- Ullmhúchán don chéad uair eile: Socraímid leat freagrachtaí, bealaí tuairiscithe agus oibriú éigeandála.
Gheobhaidh tú sonraí faoin gcúrsa oibre ag an tSeirbhís Phaistí PHP.
Conclúid
Níorbh theip ar oibreoirí é go dtáinig PHP2Shell chun solais go luath, ach bhí sé ina thástáil ar a n-ullmhúchán. Is féidir embargó a bhriseadh. Seasann próiseas a shoiléiríonn fardal, freagracht, bealach nuashonraithe agus fianaise cheana féin fiú ansin.
Ceisteanna coitianta
Cad is embargó ann i gcás leochaileachtaí slándála?
Is comhaontú é embargó mionsonraí leochaileachta a fhoilsiú ag am socraithe amháin, de ghnáth in éineacht leis an bpaiste. Go dtí sin ní bhíonn eolas ar na mionsonraí ach ag na aimsitheoirí, ag an monaróir agus ag comhpháirtithe roghnaithe, ionas gur féidir nuashonruithe a ullmhú.
An bhfoilsíodh an paiste PHP níos luaithe de bharr na sceite?
D'fhógair php.net an eisiúint slándála an 20 Deireadh Fómhair don 21 Deireadh Fómhair ag 14:00 UTC agus chuir sé in áirithe an ceart é a fhoilsiú níos luaithe dá dtiocfadh mionsonraí chun solais nó dá dtarlódh ionsaithe. De réir roinnt tuairiscí rinneadh an fógra mar go raibh mionsonraí i gcúrsaíocht cheana féin roimh dheireadh an embargó.
An bhfuil leochaileacht a thagann chun solais go luath níos contúirtí?
Giorraíonn sí an t-am atá ag oibreoirí le hullmhú agus tugann sí tús luath d'ionsaitheoirí. De réir tuairiscí sna meáin breathnaíodh ar an gcéad iarracht ionsaithe cheana an 17 Deireadh Fómhair, is é sin roimh na paistí.
Cad is féidir le cuideachta a dhéanamh i gcoinne a leithéid de ionadh?
Ní féidir léi cosc a chur ar leochaileachtaí teacht chun solais go luath. Ach is féidir léi a bheith ullmhaithe: le liosta de gach córas PHP, freagrachtaí socraithe, bealaí nuashonraithe tástáilte agus leathanach éigeandála má bhíonn ar fhreastalaí dul as líne go sealadach.