Go achomair: Déanann paistiú fíorúil do PHP droichead ar an am go dtí go gcuirtear an fíornuashonrú isteach. Chuige sin cuirimid rialacha Web Application Firewall le chéile leis na bearta idirthréimhseacha a d'fhoilsigh php.net maidir le PHP2Shell, agus socraímid an bealach chuig an bpaiste rialta ag an am céanna. Ní thugann sé sin cosaint iomlán, ach laghdaíonn sé an riosca sa tréimhse idirthréimhseach.
Cathain a bhíonn paistiú fíorúil do PHP ciallmhar
Molann an BSI i gcás PHP2Shell an nuashonrú a dhéanamh láithreach agus, mura féidir, na freastalaithe gréasáin a thógáil den líonra go sealadach. I gcás a lán gnólachtaí, níl ceachtar acu indéanta láithreach: caithfidh siopa fanacht inrochtana, teastaíonn tástáil ó fhorbairt inmheánach roimh an nuashonrú, nó ritheann an freastalaí PHP 8.1 agus níos sine, nach bhfuil nuashonruithe oifigiúla ann dó a thuilleadh.
Sna cásanna seo is droichead é paistiú fíorúil. Ní thagann sé in ionad an chinnidh an mbeadh oibriú as líne níos oiriúnaí. Is tusa a dhéanann an mheá sin, soláthraímidne an measúnú teicniúil.
Cén fáth nach leor WAF leis féin
Thuairiscigh Cloudflare iarrachtaí ionsaithe a breathnaíodh agus chuir sé rialacha cosanta amach, ach tugann sé rabhadh nach leor rialacha bunaithe ar shonraí an iarratais amháin. Tá an chúis le fáil i gcineál na leochaileachtaí. Le CVE-2026-109618 is féidir le staid Out-of-Memory PHP a bhriseadh isteach nuair nach bhfuil sonraí an iarratais tosaithe ach go páirteach. Le CVE-2026-109619 is féidir le staid inmheánach fanacht tar éis don chuimhne a shaoradh agus iarratas níos déanaí san oibrí céanna é a úsáid. Braitheann earráidí den sórt sin ar staid an fhreastalaí, ní ar ábhar iarratais aonair amháin.
Dá bhrí sin bainimid úsáid as roinnt sraitheanna: rialacha WAF os comhair an fhreastalaí, bearta idirthréimhseacha i PHP féin agus faire níos déine ar an bhfreastalaí. Stopann gach ciseal cuid den ionsaí, ní leor aon cheann leis féin. Le chéile tugann siad an t-am duit an nuashonrú a chur isteach ar bhealach ordúil.
Na bearta idirthréimhseacha de réir php.net
Luann php.net roinnt socruithe a laghdaíonn an riosca, go sainráite gan cosaint iomlán. Tá sé tábhachtach nach féidir le feidhmchláir na luachanna seo a fhorscríobh. Sampla de linn PHP-FPM le huaslódálacha:
; Bearta idirthréimhseacha PHP2Shell (gan cosaint iomlán), ansin gach oibrí a atosú
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 32M
php_admin_value[upload_max_filesize] = 30M
php_admin_flag[session.upload_progress.enabled] = off
; PHP 8.5 amháin:
php_admin_flag[fatal_error_backtraces] = off
Gan uaslódálacha molann php.net post_max_size = 8M. Toisc go bhfuil memory_limit curtha ar ceal, baineann teorainn cuimhne ar leibhéal an choimeádáin nó cgroup leis, ní trí RLIMIT_AS ná RLIMIT_DATA. Baineann an socrú session.upload_progress.enabled=0 le php.ini, linn FPM nó cumraíocht an fhreastalaí, ní le ini_set() ná .user.ini. Is é an leigheas é freisin ar an nóta faoi CVE-2026-115560. Tá léargas ar na bearta go léir ag Bearta láithreacha mura féidir leat paistiú fós.
Ní oibríonn bearta idirthréimhseacha ach tar éis gach oibrí PHP a atosú. Agus ní chosnaíonn siad ach i gcoinne ionsaithe amach anseo: ní fhreagraíonn siad an ndeachaigh duine isteach roimhe sin.
Cathain is fearr oibriú as líne
Ní é paistiú fíorúil an freagra ceart i ngach staid. In roinnt cumraíochtaí molaimid leanúint an BSI agus an freastalaí gréasáin a thógáil den líonra go sealadach go bpaistítear é:
- ritheann an freastalaí Apache agus mod_php, áit a measann foireann PHP gurb é an riosca is airde agus ar léiríodh brath sula ritheann cód an fheidhmchláir fiú
- tá sonraí atá thar a bheith íogair ar an bhfreastalaí, mar shampla sonraí sláinte, cliant nó íocaíochta
- níl aon seans ann na bearta idirthréimhseacha a leagan síos go docht i gcumraíocht an fhreastalaí, mar shampla i roinnt pacáistí óstála comhroinnte
- tá comharthaí ann cheana go ndearnadh ionsaí ar an bhfreastalaí
Ní chiallaíonn oibriú gearr as líne go bhfuil do shuíomh gréasáin hackáilte. Thóg roinnt soláthraithe suíomhanna as líne mar réamhchúram. Is minic gur leathanach eolais gearr, oibiachtúil do chuairteoirí an réiteach is fearr ansin seachas briseadh gan mhíniú.
Conas a chabhraíonn PHP SOS go nithiúil?
- An staid a sheiceáil: Déanaimid leaganacha PHP, modhanna oibriúcháin agus sraitheanna cosanta atá ann, mar shampla CDN, WAF nó seachfhreastalaí cúil, a thaifeadadh. I gcás mod_php tarraingímid aird ar an riosca méadaithe a fheiceann foireann PHP ansin.
- Sraitheanna a thógáil: Gníomhachtaímid nó cuirimid le rialacha WAF, leagaimid na bearta idirthréimhseacha síos go docht i gcumraíocht an fhreastalaí agus teorannaímid an chuimhne trí choimeádán nó cgroup. I gcás socruithe Nginx leanaimid Nginx le PHP-FPM a chosaint.
- Atosú agus tástáil: Atosaítear gach próiseas PHP, ansin seiceálaimid uaslódálacha, foirmeacha, logáil isteach agus an chistin.
- Faire: Sa tréimhse idirthréimhseach tugaimid aird níos mó ar thitim oibrithe, buaicphointí cuimhne agus próisis neamhghnácha.
- Paiste a phleanáil: Socraímid cathain agus conas a thiocfaidh an nuashonrú rialta, agus cuirimid i bhfeidhm é tríd an tseirbhís paistithe PHP.
Cad a gheobhaidh tú, cad atá de dhíth orainn agus cad nach ngealltar
Gheobhaidh tú doiciméadú ar na rialacha agus ar na socruithe go léir a leagadh síos le cúis, na torthaí tástála agus plean amanna agus beart don fhíorphaiste. Is é atá de dhíth orainn uait ná rochtain ar fhreastalaí nó ar phainéal, rochtain ar CDN nó WAF, má tá ceann ann, teagmhálaí teicniúil agus sonraí faoi fheidhmeanna uaslódála do chuid feidhmchlár.
Ní ghealltar go gcuirfidh paistiú fíorúil cosc ar ionsaí. Laghdaíonn sé an riosca ar feadh tréimhse theoranta. I gcás PHP 8.1 agus níos sine ní staid bhuan é; ansin ba cheart aistriú chuig leagan a fhaigheann tacaíocht a bheith sa phlean.
Ceisteanna coitianta
Cad is paistiú fíorúil ann?
Ciallaíonn paistiú fíorúil leochaileacht aitheanta a chosaint os comhair an fheidhmchláir seachas an cód féin a athrú. De ghnáth tarlaíonn sé trí Web Application Firewall nó athruithe cumraíochta. Droichead is ea é, ní hionadach ar an nuashonrú.
An leor WAF mo sholáthraí CDN i gcoinne PHP2Shell?
Ní leor leis féin, de ghnáth. Chuir Cloudflare rialacha cosanta amach, ach tugann sé rabhadh féin nach leor rialacha bunaithe ar shonraí na n-iarratas amháin. Is ciseal breise é an WAF taobh le bearta idirthréimhseacha agus an paiste.
Cé chomh fada is féidir liom brath ar phaistiú fíorúil?
Chomh gearr agus is féidir. Tá sé le droichead a dhéanamh ar an am go dtí an nuashonrú rialta, mar shampla go mbeidh fuinneog chothabhála saor nó go mbeidh feidhmchlár tástáilte. I gcás PHP 8.1 agus níos sine, baineann plean aistrithe leis.
An féidir leis na bearta idirthréimhseacha cur isteach ar mo shuíomh gréasáin?
Is féidir. D'fhéadfadh teorainneacha uaslódála níos lú uaslódálacha móra comhad a chosc, agus bíonn tionchar ag an Session Upload Progress a mhúchadh ar thaispeántais dul chun cinn le linn uaslódála. Déanaimid na príomhfheidhmeanna a thástáil tar éis gach athraithe.