Go achomair: D'fhógair an BSI (Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise) rabhadh Leibhéal 3 (Oráiste) faoi PHP2Shell. Tá an moladh soiléir: PHP a nuashonrú láithreach agus, mura féidir sin a dhéanamh láithreach, freastalaithe gréasáin lena mbaineann a thógáil den líonra go sealadach. Bhí an BSI ag súil le leas tapa, fairsing a bhaint as; ní raibh ionsaithe rathúla deimhnithe go forleathan ar eolas ar dtús.
Rabhadh an BSI faoi PHP go hachomair
Is é an Bundesamt für Sicherheit in der Informationstechnik (BSI) an t-údarás speisialaithe lárnach um chibearshlándáil sa Ghearmáin. D'fhoilsigh sé rabhadh Leibhéal 3 (Oráiste) faoi PHP2Shell. Is cúis leis dhá leochaileacht chriticiúil i PHP féin: CVE-2026-109618 agus CVE-2026-109619, an bheirt acu le CVSS v4.0 9.2. Ceadaíonn siad d'ionsaitheoirí cód mailíseach a rith ar an bhfreastalaí gan logáil isteach.
Is féidir príomhráitis an rabhaidh a achoimriú mar seo:
| Ráiteas | Brí d'oibreoirí |
|---|---|
| Leibhéal Rabhaidh 3 / Oráiste | staid thromchúiseach, gníomh riachtanach |
| Nuashonrú láithreach molta | leaganacha PHP ceartaithe a chur isteach |
| Ar shlí eile, as an líonra go sealadach | inrochtaineacht a chur faoi réir na cosanta |
| Leas tapa, fairsing ag súil leis | gan fanacht le chéad tuarascálacha damáiste |
| Ionsaithe rathúla go forleathan gan deimhniú ar dtús | ní cúis le héadromú é |
Gheobhaidh tú an leagan reatha ar shuíomh gréasáin an BSI.
Cad is brí le „nuashonraigh láithreach“ go praiticiúil
D'fhoilsigh tionscadal PHP na leaganacha ceartaithe an 21.10.2026 ag 14:00 UTC (16:00 am na Gearmáine): PHP 8.5.12, 8.4.27, 8.3.36 agus 8.2.35. Do PHP 8.1 agus níos sine níl nuashonruithe oifigiúla ann a thuilleadh, ach backports foinse íosta amháin do 7.4, 8.0 agus 8.1.
Níl nuashonrú éifeachtach go dtí go bhfuil gach próiseas PHP atosaithe. Ní leor comhaid nua amháin fad a ritheann seanoibrithe sa chuimhne. Ina theannta sin: uaireanta cuireann dáiltí agus soláthraithe óstála ceartúcháin i bhfeidhm mar backport. Ansin taispeánann Plesk, mar shampla, 8.2.34 fós cé go bhfuil sé paistithe. Is iad staid an phacáiste agus deimhniú an tsoláthraí atá cinntitheach. Agus ní dhúnann nuashonrú CMS, mar shampla WordPress, an leochaileacht PHP.
Nuair nach féidir nuashonrú a dhéanamh láithreach
Sa chás sin molann an BSI na freastalaithe gréasáin a thógáil den líonra go sealadach. Is beart crua é, ach beart soiléir. Do a lán gnólachtaí, is lú dochar é cliseadh pleanáilte de chúpla uair an chloig ná briseadh isteach le sceitheadh sonraí.
Luann php.net bearta idirthréimhseacha freisin a laghdaíonn an riosca ach nach dtugann cosaint iomlán go sainráite. Ina measc tá session.upload_progress.enabled=0 i gcumraíocht an fhreastalaí, luachanna teoranta post_max_size, teorainneacha cuimhne trí choimeádáin nó cgroups agus ar PHP 8.5 fatal_error_backtraces=0, i ngach cás le hatosú gach oibrí ina dhiaidh sin. Tá mionsonraí le fáil faoi Bearta láithreacha gan paiste.
Má ritheann freastalaí gréasáin atá inrochtana go poiblí fós le PHP gan paiste agus gan bearta idirthréimhseacha, leanann sé as moladh an BSI: an freastalaí a thógáil den líonra go dtí go mbeidh an nuashonrú curtha isteach agus gach próiseas atosaithe.
An staid a aicmiú
Níl an BSI ina aonar lena mheasúnú. Thuairiscigh Cloudflare iarrachtaí ionsaithe breathnaithe agus chuir sé rialacha cosanta amach, ach tugann sé rabhadh nach leor rialacha bunaithe ar shonraí an iarratais amháin. Chomhaireamh Palo Alto Networks (Unit 42) níos mó ná 22.6 milliún cás nochta, atá leochaileach b'fhéidir. De réir tuarascálacha meán, breathnaíodh ar an gcéad iarracht ionsaithe cheana an 17.10.2026, is é sin roimh fhoilsiú na bpaistí.
D'oibreoirí eascraíonn measúnú sobar as sin: an té nár phaistigh go dtí seo, ba cheart dó ní hamháin paistiú, ach seiceáil freisin an dtarla rud éigin cheana. Ní bhaineann paiste bogearraí mailíseacha a cuireadh isteach. Níl Indicators of Compromise foilsithe agus deimhnithe ann; tá an brath bunaithe ar anailís iompair. Molann an preas teicniúil logaí freastalaí a choinneáil ón 20.10.2026 i leith. Tá leideanna maidir leis an gcuardach faoi An bhfuil mé sáraithe cheana?.
Cad is brí leis an moladh d'fhoilsitheoirí freagracha
Ní dlí é rabhadh BSI. Is é measúnú an údaráis speisialaithe atá freagrach é, áfach, agus is féidir leis ról a imirt i measúnú cinntí níos déanaí, mar shampla ag árachóirí nó ag iniúchóirí. Ba cheart do bhainistíocht dá bhrí sin a dhoiciméadú cathain a d'fhoghlaim siad faoin rabhadh, conas a mheas siad a gcórais féin agus cé na bearta a ghlac siad. Tá leideanna ginearálta faoi sin faoi Dliteanas na bainistíochta; ní comhairle dlí é.
Sa chleachtas moltar gan an rabhadh a léamh ach uair amháin. Nuashonraíonn an BSI a fhógraí nuair a athraíonn an staid, mar shampla le heolas nua faoi leas a bhaint as nó faoi leochaileachtaí breise. Ón 23.10.2026 tá nóta ó php.net ann freisin faoi CVE-2026-115560, nach mbaineann ach le cumraíochtaí neamhghnácha agus a mhaolaítear freisin le session.upload_progress.enabled=0. Ainmnigh duine a sheiceálann BSI agus php.net gach lá go dtí go mbeidh an staid dúnta agus a chuireann athruithe ar aghaidh chuig an teicneolaíocht agus chuig an mbainistíocht. Mar sin ní bhíonn aon bhearna eolais idir iad siúd a chinneann agus iad siúd a chuireann i bhfeidhm.
Conas a chabhraíonn PHP SOS go nithiúil?
- Cuirimid do fhreastalaithe gréasáin i gcomparáid le moladh an BSI: leagan, staid pacáiste, atosú, inrochtaineacht.
- Mar chuid de chabhair láithreach PHP2Shell paistímid, atosaímid gach próiseas agus soláthraímid cruthúnas.
- Nuair nach féidir nuashonrú a dhéanamh láithreach, socraímid bearta idirthréimhseacha agus, más gá, cuirimid leathanach ionaid statach ar fáil.
- Cosnaímid logaí agus seiceálaimid le haghaidh rianta, ionas gur féidir leat an staid a mheas go hiontaofa tar éis an phaiste.
Ceisteanna coitianta
Cad is brí le Leibhéal Rabhaidh 3 (Oráiste) ag an BSI?
Déanann an dath cur síos ar staid bagartha ardaithe, thromchúiseach a n-éilíonn gníomh. I gcás PHP2Shell, cuireann an BSI cúis leis seo le criticiúlacht na leochaileachtaí agus leis an leas a bhfuiltear ag súil leis a bhaint astu go tapa. Gheobhaidh tú sainmhíniú cruinn na leibhéal ar shuíomh gréasáin an BSI.
An gcaithfidh mé moladh an BSI a leanúint?
Is moladh é rabhadh ón BSI, ní dlí. Is measúnú tábhachtach é, áfach, ón údarás speisialaithe atá freagrach, ar féidir le hárachóirí, le iniúchóirí agus le cúirteanna spreagadh a ghlacadh uaidh. An té a imíonn ón moladh, ba cheart dó na cúiseanna a dhoiciméadú. Ní comhairle dlí é seo.
An raibh ionsaithe rathúla ann cheana de réir an BSI?
Ní raibh ionsaithe rathúla deimhnithe go forleathan ar eolas ar dtús, de réir an BSI. Bhí an BSI ag súil, áfach, le leas tapa, fairsing a bhaint astu. Thuairiscigh comhlachtaí eile iarrachtaí ionsaithe cheana.
Cá bhfaighidh mé an leagan is déanaí den rabhadh?
Ar shuíomh gréasáin an BSI faoi na rabhaidh slándála is déanaí. D'fhéadfadh an staid athrú; seiceáil an staid is déanaí ansin agus ar php.net go rialta.