Go achomair: Tá tionchar ag leochaileacht slándála PHP2Shell ar bhrainsí 8.2 go 8.5 go dtí na heisiúintí an 21 Deireadh Fómhair 2026, de réir an phreasa speisialaithe ar an gcuid is mó de na leaganacha siar go PHP 5.4. Tá sí ceartaithe i PHP 8.5.12, 8.4.27, 8.3.36 agus 8.2.35. Níl nuashonruithe oifigiúla ann a thuilleadh do PHP 8.1 agus níos sine, ach backports íosta de chód foinse amháin do 7.4, 8.0 agus 8.1.
Cé na leaganacha a bhuail an leochaileacht slándála PHP?
Áirítear le PHP2Shell an dá leochaileacht CVE-2026-109618 agus CVE-2026-109619, rátáilte 9.2 ar CVSS v4.0 an ceann. Ceadaíonn an dá cheann cód mailíseach a rith ón gcianrochtain gan logáil isteach. An 21 Deireadh Fómhair 2026 ag 14:00 UTC (16:00 am na Gearmáine) d'fhoilsigh tionscadal PHP ceartúcháin do gach brainse a fhaigheann tacaíocht.
| Brainse PHP | An staid dheireanach roimh an gceartú | Ceartaithe ó | Tacaíocht |
|---|---|---|---|
| 8.5 | 8.5.11 | 8.5.12 | tacaíocht oifigiúil |
| 8.4 | 8.4.26 | 8.4.27 | tacaíocht oifigiúil |
| 8.3 | 8.3.35 | 8.3.36 | tacaíocht oifigiúil |
| 8.2 | 8.2.34 | 8.2.35 | críochnaíonn an 31.12.2026 |
| 8.1, 8.0, 7.4 | gach staid | níl eisiúint oifigiúil ann | backports íosta de chód foinse amháin |
| 7.3 go 5.4 | de réir an phreasa speisialaithe tá beagnach gach ceann buailte | níl nuashonrú ann | gan tacaíocht le blianta |
Tagann na sonraí do 8.2 go 8.5 ó thuairiscí php.net. Tagann an ráiteas faoi na leaganacha go dtí PHP 5.4 ón bpreas speisialaithe; níl liosta oifigiúil iomlán ann do sheanleaganacha.
Do dhaoine nach teicneoirí iad, i gcúpla abairt: má tá leagan ón gcolún “Ceartaithe ó” nó níos airde ar do fhreastalaí agus má atosaíodh gach próiseas PHP ina dhiaidh sin, tá PHP2Shell dúnta. Má tá uimhir níos sine ann, tá backport i gceist a chaithfidh do sholáthraí a dheimhniú, nó tá an leochaileacht oscailte. Fiafraigh de do TF nó do sholáthraí óstála go beacht faoi na trí phointe seo: leagan, backport, atosú.
Modhanna oibriúcháin buailte
Is leathfhreagra amháin é an uimhir leagain. Tá tionchar ar gach bealach coitianta chun PHP a oibriú ar fhreastalaí gréasáin: PHP-FPM, Apache le mod_php, php-cgi, FrankenPHP agus LiteSpeed. Measann foireann PHP gurb é mod_php an riosca is airde, mar gur léiríodh exploit ansin sula ritheann cód an fheidhmchláir fiú. Sonraí ag Cén fáth a n-iompraíonn mod_php an riosca is airde.
Ní thagann aon chosaint ón bhfeidhmchlár: bíodh WordPress, Shopware, TYPO3, Laravel nó forbairt féin ann, ní dhúnann nuashonrú an fheidhmchláir an leochaileacht i PHP.
Backports: nuair a chuireann an uimhir leagain amú thú
Seachadann a lán dáiltí Linux agus soláthraithe óstála PHP i bpacáistí féin. In ionad léim go dtí leagan nua upstream, glacann siad an ceartúchán isteach mar backport ina leagan atá ann cheana. Tá iarmhairt phraiticiúil leis sin: fanann an uimhir a thaispeántar sean. Is sampla ón staid reatha é Plesk, a fhéadann 8.2.34 a thaispeáint i gcónaí cé go bhfuil an earráid ceartaithe.
Ciallaíonn sé sin duit: bíonn an tábla thuas bailí d'eisiúintí oifigiúla php.net. I gcás pacáistí ó do dháileachán nó ón soláthraí óstála, cinneann staid na bpacáistí agus deimhniú an tsoláthraí. Taispeánann Leagan PHP agus staid paiste a sheiceáil i gceart conas an dá cheann a sheiceáil. Don tástáil thapa ar an líne ordaithe:
php -v
apt policy php8.3-fpm # Debian/Ubuntu, ainm pacáiste difriúil de réir leagain agus foinse
dnf info php-fpm # teaghlach RHEL
Ní chiallaíonn uimhir leagain cheartaithe ar an diosca go bhfuil sí ag rith. Ní oibríonn an freastalaí leis an gcód ceartaithe ach tar éis gach próiseas PHP a atosú.
Cad atá i bhfeidhm do PHP 8.1 agus níos sine?
Do PHP 8.1, 8.0 agus 7.4 níl ann ach backports íosta de chód foinse, is é sin ceartúcháin sa chód foinse a chaithfidh duine a ghlacadh agus a thiomsú féin. Ní fhoilsítear eisiúintí oifigiúla. Cuireann roinnt dáiltí le cothabháil fhadtéarmach ceartúcháin den sórt sin ina bpacáistí; an mbaineann sé sin le do chóras, ní féidir é a shoiléiriú ach ag changelog an phacáiste nó ag an soláthraí.
Go fadtéarmach níl aon bhealach thar leagan a fhaigheann tacaíocht. Seiceálann tú cé acu leagan PHP a fhulaingíonn do CMS nó do shiopa de réir riachtanais chórais an déantóra, mar shampla ar wordpress.org, shopware.com nó typo3.org. Tuilleadh ag PHP 8.1 agus níos sine: cad atá i bhfeidhm anois.
Agus CVE-2026-115560?
An 23 Deireadh Fómhair d'fhoilsigh php.net nóta faoi thríú leochaileacht. Ní bhuaileann sí ach le cumraíocht seisiúin neamhghnách. De réir staid an 25 Deireadh Fómhair níl leagan ceartaithe ann fós; go dtí an chéad eisiúint rialta ceartúcháin eile is é an leigheas session.upload_progress.enabled=0. Tá liosta leaganacha le teacht leis an advisory iomlán.
Conas a chabhraíonn PHP SOS go nithiúil?
- Stoc: Déanaimid gach leagan PHP ar do fhreastalaithe a thaifeadadh, suiteálacha tánaisteacha do shuíomhanna aonair san áireamh a ligtear thar fóir go minic.
- Comparáid: I gcás gach suiteála, soiléirímid an eisiúint oifigiúil, backport dáilte nó gan ceartúchán atá i gceist.
- Nuashonrú le fianaise: Tríd an tseirbhís paistithe PHP cuirimid an ceartúchán isteach agus atosaímid gach próiseas.
- Plean aistrithe: Do leaganacha gan nuashonruithe oifigiúla pleanálaimid an t-aistriú leis an aistriú ó PHP 8.1 agus níos sine agus cosnaímid an freastalaí go dtí sin.
Ceisteanna coitianta
An bhfuil PHP 8.3.35 sábháilte fós?
Níl, mura gcuir do sholáthraí backport isteach. Is é 8.3.35 an staid dheireanach roimh an gceartú; tá PHP2Shell ceartaithe sa bhrainse 8.3 ó 8.3.36. I gcás pacáistí dáilte, féadfaidh an uimhir fanacht mar a bhí cé go bhfuil an earráid ceartaithe. Ansin is é changelog an phacáiste nó deimhniú an tsoláthraí an rud a chuireann i gcuntas.
An bhfuil tionchar ag PHP2Shell ar PHP 7.4?
De réir an phreasa speisialaithe tá tionchar ar an gcuid is mó de na leaganacha siar go PHP 5.4. Do 7.4, 8.0 agus 8.1 níl ann ach backports íosta de chód foinse agus gan eisiúintí oifigiúla. Is é an t-aistriú chuig leagan a fhaigheann tacaíocht an bealach iontaofa.
Cén fáth a dtaispeánann Plesk 8.2.34 cé go bhfuil paiste curtha isteach?
Glacann dáiltí agus soláthraithe óstála ceartúcháin isteach i bpacáistí atá ann cheana mar backport uaireanta. Fanann an uimhir leagain mar a bhí ansin, ach tá an earráid ceartaithe fós. Seiceáil staid na bpacáistí nó iarr ar an soláthraí an paiste a dheimhniú.
Cén leagan PHP ba cheart dom a roghnú anois?
Leagan a fhaigheann tacaíocht a cheadaíonn do fheidhmchlár de réir riachtanais chórais an déantóra. Sroicheann PHP 8.2 deireadh na tacaíochta an 31.12.2026; an té atá ag athrú ar aon nós anois, ba cheart dó é sin a chur san áireamh.