Go achomair: Is féidir le workaround do leochaileacht slándála PHP2Shell an riosca a laghdú, ach ní thagann sé in ionad an nuashonraithe. Luann php.net chuige sin teorainneacha seasta cuimhne agus uaslódála, Session Upload Progress a mhúchadh agus ar PHP 8.5 fatal_error_backtraces=0. Mura bhfuil sin indéanta go gearrthéarmach ach oiread, molann an BSI an freastalaí gréasáin a thógáil den líonra go sealadach.
Cad is féidir le workaround a dhéanamh agus cad nach féidir
Tá na bearta idirthréimhseacha ó php.net beartaithe na coinníollacha faoina bhféadfar leochaileachtaí CVE-2026-109618 agus CVE-2026-109619 a ghnóthú a dhéanamh níos deacra. Níl siad cosaint iomlán go sainráite. Níl na leochaileachtaí ceartaithe ach i PHP 8.5.12, 8.4.27, 8.3.36 agus 8.2.35 nó i mbackport deimhnithe de do sholáthraí.
Tá na bearta ciallmhar nuair nach bhfuil an nuashonrú indéanta fós ar chúis nithiúil: tá fuinneog chothabhála fós le teacht, caithfear feidhmchlár a thástáil ar dtús, nó ritheann tú PHP 8.1 nó níos sine, nach bhfuil nuashonrú oifigiúil ann dó a thuilleadh. Is droichead iad ansin, ní sprioc.
Dá bhrí sin pleanáil an nuashonrú ag an am céanna leis an workaround: cé a chuireann i bhfeidhm é, i cén fhuinneog chothabhála, agus cé a sheiceálann ina dhiaidh sin gur atosaíodh gach oibrí? Bíonn baol ann go n-éireoidh idirthréimhse gan dáta deiridh ina staid bhuan.
Rogha 1: an freastalaí a thógáil den líonra go sealadach
D'eisigh an BSI rabhadh leibhéal 3 (flannbhuí) agus molann sé na freastalaithe gréasáin atá buailte a thógáil den líonra go sealadach mura féidir an nuashonrú a dhéanamh láithreach. Rinne roinnt soláthraithe sin mar réamhchúram; ní chiallaíonn sé go ndearnadh na suíomhanna sin a hackáil.
I gcás a lán gnólachtaí tá briseadh ar an siopa nó ar an tairseach costasach. Féadfaidh meá a bheith ciallmhar: rochtain ach amháin trí VPN nó seoltaí IP ceadaithe, leathanach cothabhála statach in ionad an fheidhmchláir PHP nó suíomhanna aonair nach bhfuil ag teastáil ar an bhfreastalaí a mhúchadh. Dá lú PHP atá inrochtana ón taobh amuigh, is lú an dromchla ionsaithe.
Tá sé tábhachtach an cinneadh a dhéanamh go comhfhiosach agus é a thaifeadadh: cé a chinn cathain an freastalaí a fhágáil ar líne, agus le cé na bearta cosanta? Cabhraíonn sé sin níos déanaí leis an árachóir, leis an gcosaint sonraí agus leis an mbainistíocht.
Na bearta idirthréimhseacha ó php.net
| Beart | Luach | Nóta |
|---|---|---|
memory_limit |
-1, nach féidir a fhorscríobh |
teorainn chuimhne a leagan ansin trí choimeádán nó cgroup |
post_max_size |
8M gan uaslódálacha, 32M le huaslódálacha |
upload_max_filesize faoina bhun |
| Teorainn chuimhne | trí choimeádán/cgroup | ní trí RLIMIT_AS ná RLIMIT_DATA |
session.upload_progress.enabled |
0 |
i php.ini, linn nó cumraíocht an fhreastalaí, ní trí ini_set() ná .user.ini |
fatal_error_backtraces |
0 |
PHP 8.5 amháin |
Is é an socrú session.upload_progress.enabled=0 an leigheas freisin ar an leochaileacht a tuairiscíodh an 23 Deireadh Fómhair, CVE-2026-115560.
Workaround don leochaileacht slándála PHP a leagan síos i gceart
Is é an áit an rud is tábhachtaí. Caithfear na luachanna a leagan ionas nach féidir le feidhmchlár iad a fhorscríobh. Athraíonn cosáin agus ainmneacha seirbhíse de réir dáilte; glacann na samplaí le PHP 8.3.
PHP-FPM, sa linn (m.sh. /etc/php/8.3/fpm/pool.d/www.conf):
php_admin_value[memory_limit] = -1
php_admin_value[post_max_size] = 8M
php_admin_value[upload_max_filesize] = 6M
php_admin_flag[session.upload_progress.enabled] = off
; PHP 8.5 amháin:
; php_admin_flag[fatal_error_backtraces] = off
Apache le mod_php, i gcumraíocht an fhreastalaí nó sa VirtualHost:
php_admin_value memory_limit -1
php_admin_value post_max_size 32M
php_admin_value upload_max_filesize 24M
php_admin_flag session.upload_progress.enabled off
Teorainn chuimhne trí cgroup, anseo trí systemd don tseirbhís FPM. Oiriúnaigh an luach do do fhreastalaí:
# sudo systemctl edit php8.3-fpm
[Service]
MemoryMax=2G
Ansin atosaigh gach oibrí, nó ní thagann aon cheann de seo i bhfeidhm: systemctl restart php8.3-fpm nó, i gcás mod_php, Apache. Conas a sheiceálann tú nach bhfuil aon seanphróiseas ag rith a thuilleadh, féach PHP-FPM agus gach oibrí a atosú. Déanann php.ini a chumrú go sábháilte cur síos ar chruatú ginearálta na cumraíochta.
Tástáil uaslódálacha agus foirmeacha móra tar éis an athraithe. D'fhéadfadh post_max_size atá ró-ghann orduithe, foirmeacha iarratais nó uaslódálacha meán a bhlocáil. Is cúis é sin gan an nuashonrú a chur siar ar feadh i bhfad.
Sraitheanna cosanta breise
Is féidir le Web Application Firewall nó paistiú fíorúil cabhrú mar chiseal breise. Chuir Cloudflare rialacha cosanta amach, ach tugann sé rabhadh féin nach leor rialacha bunaithe ar shonraí na n-iarratas amháin. Dá bhrí sin is forlíonadh é WAF, ní ionadach. Tuilleadh ag WAF agus paistiú fíorúil.
Cosain logaí an fhreastalaí ón 20 Deireadh Fómhair i leith freisin. De réir tuairiscí na meán breathnaíodh an chéad iarracht ionsaithe an 17 Deireadh Fómhair cheana féin; is iad na logaí an bunús má caithfidh tú a shoiléiriú níos déanaí ar tharla rud éigin roimh an bpaiste.
Conas a chabhraíonn PHP SOS go nithiúil?
- An staid a shoiléiriú: Seiceálaimid an bhfuil nuashonrú indéanta go gearrthéarmach nó an bhfuil idirthréimhse de dhíth, agus pléimid leat an rogha codanna a thógáil den líonra.
- Bearta a leagan síos: Cuirimid luachanna php.net isteach san áit cheart, leagaimid an teorainn cgroup síos agus atosaímid gach oibrí.
- Feidhm a thástáil: Seiceálaimid foirmeacha, uaslódálacha agus próisis ordaithe tar éis an athraithe.
- Chuig an bpaiste: Tríd an tseirbhís paistithe PHP pleanálaimid an nuashonrú agus cuirimid na luachanna idirthréimhseacha ar ais ar bhealach rialaithe ina dhiaidh sin, nuair a chuireann siad isteach.
Ceisteanna coitianta
An gcosnaíonn an workaround go hiomlán i gcoinne PHP2Shell?
Ní chosnaíonn. Cuireann php.net síos go sainráite ar na bearta mar idirthréimhse agus ní mar chosaint iomlán. Laghdaíonn siad an riosca go dtí go gcuirtear an nuashonrú isteach. Molann an BSI freastalaithe gan paiste a thógáil den líonra go sealadach.
An féidir liom na socruithe a leagan trí .htaccess nó .user.ini?
Do session.upload_progress.enabled eisíonn php.net ini_set() agus .user.ini go sainráite. Baineann sé le memory_limit freisin: caithfear an luach a leagan ionas nach féidir leis an bhfeidhmchlár é a fhorscríobh. Éiríonn leis sin i php.ini, i linn FPM le php_admin_value nó i gcumraíocht fhreastalaí Apache.
An leor Web Application Firewall mar workaround?
Mar chiseal breise is féidir leis cabhrú. Chuir Cloudflare rialacha cosanta amach, ach cuireann sé in iúl féin nach leor rialacha bunaithe ar shonraí na n-iarratas amháin. Ní thagann WAF in ionad an nuashonraithe ná na mbeart idirthréimhseach ar an bhfreastalaí.
Cad a dhéanaim má tá óstáil chomhroinnte amháin agam?
Ansin tá php.ini agus atosú ag an soláthraí óstála. Fiafraigh go sonrach ar cuireadh an nuashonrú isteach nó ar leagadh na bearta idirthréimhseacha, agus ar atosaíodh gach próiseas PHP.