# Slándáil PHP Drupal i ndiaidh PHP2Shell: conas do shuíomh a chosaint

> Cosain Drupal i ndiaidh PHP2Shell: seiceáil PHP sa tuarascáil stádais, cosain settings.php agus an fillteán files, seiceáil róil agus modúil. Seo conas.

Foinse: https://phpsos.de/ga/plattformen/drupal/  
Staid: 25/10/2026  
Soláthraí: PHP SOS, Cabhair éigeandála PHP agus slándáil freastalaí. Cabhair láithreach trí WhatsApp: https://wa.me/491736494914?text=Dia%20duit%2C%20a%20PHP%20SOS%2C%20t%C3%A1%20cabhair%20de%20dh%C3%ADth%20orainn%20len%C3%A1r%20bhfreastala%C3%AD%20PHP.%20Cuideachta%3A%20%E2%80%A6%20Su%C3%ADomh%20gr%C3%A9as%C3%A1in%3A%20%E2%80%A6

**Go achomair:** Maidir le slándáil PHP Drupal i ndiaidh PHP2Shell, baineann sé go príomha leis an bhfreastalaí: tá an leochaileacht i PHP, ní i nDrupal. Seiceáil staid PHP sa tuarascáil stádais agus ag an oibreoir, atosaigh gach próiseas PHP agus ina dhiaidh sin seiceáil `settings.php`, an chomhadlann `files` agus cearta róil.

## Drupal agus PHP2Shell: an cás

Úsáidtear Drupal go minic do shuíomhanna níos mó, tairseacha agus comhlachtaí poiblí, go minic le go leor eagarthóirí agus comhéadain. De réir fhoireann PHP, cuireann na leochaileachtaí PHP CVE-2026-109618 agus CVE-2026-109619 ar chumas cód mailíseach a rith go cianda gan logáil isteach. Ní fhónann sé ábhar chomh maith agus a chothabháiltear Drupal féin.

Tá foireann slándála dá chuid féin ag Drupal a fhoilsíonn nótaí faoin gcroí agus faoi mhodúil. Ní bhaineann PHP2Shell leo, mar nach leochaileacht Drupal í. Dá bhrí sin, d'fhéadfadh go ndearna an té nach leanann ach nótaí Drupal neamhaird ar an tuairisc.

I dtionscadail Drupal níos mó, is minic a bhíonn an fhreagracht scaipthe ar roinnt áiteanna: cothabhálann gníomhaireacht an cód, oibríonn lárionad sonraí na freastalaithe, agus suíonn an t-eagarthóireacht sa teach. Soiléirigh i scríbhinn cé a chuireann an nuashonrú PHP isteach, cé a chuireann tús leis an atosú agus cé a sheiceálann an tharla aon rud roimhe sin. I setupanna le roinnt freastalaithe gréasáin taobh thiar de chothromóir ualaigh, caithfear gach freastalaí ar leith a phaisteáil agus a atosú, nó fanann cuid d'iarratais ar sheanPHP.

## Slándáil PHP Drupal: leagan agus staid phaiste a sheiceáil

Faoi **Tuarascálacha > Tuarascáil stádais** taispeánann Drupal an leagan PHP lena rithtear an suíomh, mar aon le rabhaidh faoin gcumraíocht. Ar an líne ordaithe cuireann `drush status` leagan PHP CLI ar fáil, lena rithtear cronjobs agus imscaradh freisin. Caithfear an dá cheann a bheith paistithe.

Is iad 8.5.12, 8.4.27, 8.3.36 agus 8.2.35 na leaganacha suas an sruth ceartaithe. Uaireanta cuireann dáiltí agus soláthraithe óstála ceartúcháin isteach mar backport, agus ansin fanann an uimhir mar a bhí; is é staid an phacáiste dheimhnithe an rud cinntitheach. Na leaganacha PHP a thacaíonn le do leagan Drupal, seiceáil iad de réir cheanglais an chórais ar drupal.org. Tar éis an nuashonraithe baineann an t-atosú leis, mar atá ar fáil faoi [PHP-FPM agus gach oibrí a atosú](https://phpsos.de/ga/php2shell/php-fpm-neustart/).

## Comhadlanna agus comhaid a bhfuil tábhacht leo

| Áit | Ábhar | Pointe seiceála |
|---|---|---|
| `sites/default/settings.php` | Bunachar sonraí, hash salt, `trusted_host_patterns` | Dáta athraithe, includes sáite |
| `sites/default/files/` | Uaslódálacha poiblí, íomhánna giniúnaithe, CSS agus JS | Gan comhaid PHP, `.htaccess` i láthair |
| Comhadlann comhad príobháideach | Uaslódálacha cosanta, go minic lasmuigh d'fhréamh na ndoiciméad | Cearta rochtana |
| `modules/contrib/`, `modules/custom/` | Modúil ó drupal.org agus forbairtí féin | Modúil athraithe nó anaithnide |
| `themes/` | Téamaí le teimpléid Twig | JavaScript coimhthíoch |
| `vendor/` | Spleáchais Composer | `composer audit` |

Cruthaíonn Drupal `.htaccess` sa chomhadlann `files` a chuireann cosc ar rith PHP. Faoi Apache oibríonn sé, faoi Nginx ní oibríonn. Ansin teastaíonn riail dá chuid féin:

```nginx
location ~* ^/sites/.+/files/.+\.php$ {
    deny all;
}
```

Seiceálacha neamhdhíobhálacha le huirlisí atá ann cheana agus Drush:

```bash
find sites/*/files -type f -name "*.php"
drush pm:list --status=enabled --type=module
composer audit
```

> **Leid:**
> Cuir staid an chóid ar an bhfreastalaí i gcomparáid le do stór Git. I dtionscadail Drupal le Composer is é seo an bealach is tapa chun comhaid choimhthíocha nó athraithe a aimsiú, mar ní mór go mbeadh gach neamhréireacht inmhínithe.

## Róil, cearta agus modúil mar riosca

Tá an logáil isteach faoi `/user/login`, an limistéar bainistíochta faoi `/admin`. I nDrupal ní hamháin cuntais riarthóra a chinneann an tslándáil, ach cearta aonair. Is cearta riarthóra iad go praiticiúil cearta ar nós modúil, úsáideoirí, ceadanna nó formáidí téacs le HTML iomlán a bhainistiú. Seiceáil faoi Daoine agus Ceadanna cé na róil a bhfuil siad acu agus cé a bhaineann leis na róil seo.

Leathnaíonn modúil contrib Drupal go mór, ach tugann siad a gcód féin leo. Is minic gurb iad modúil gan cothabháil ghníomhach agus seanfhorbairtí féin an chúis a gcuirtear uasghrádú PHP ar ceal. Tá tuilleadh faoi spleáchais ar fáil in [Spleáchais Composer a sheiceáil do leochaileachtaí](https://phpsos.de/ga/ratgeber/composer-abhaengigkeiten-pruefen/).

## Cad a dhéanann nuashonrú Drupal agus cad nach ndéanann

Dúnann nuashonrú croí nó modúil earráidí sa chód sin agus féadann sé leaganacha PHP níos nuaí a chumasú. Ní phaistíonn sé PHP, ní bhaineann sé comhaid choimhthíocha as `sites/default/files`, ní athshocraíonn sé ceadanna agus ní scriosann sé cuntais a cruthaíodh faoi rún. D'fhéadfadh an taisce ábhar ionramháilte a sheachadadh freisin go dtí go bhfolmhaítear í. Má bhíonn amhras ort, ba cheart hash salt agus rochtain bunachair sonraí a athnuachan.

I suiteálacha il-suímh roinneann roinnt suíomh an cód céanna, ach tá `settings.php` dá chuid féin agus comhadlann `files` dá chuid féin ag gach ceann faoi `sites/`. Seiceáil gach suíomh ar leith ansin. De ghnáth bíonn tionchar ag fionnachtain in aon suíomh amháin ar gach ceann eile mar gheall ar an gcód comhroinnte.

## Conas a chabhraíonn PHP SOS go nithiúil?

- Seiceálaimid PHP gréasáin agus CLI do fhreastalaí Drupal agus iarraimid paiste agus atosú a dheimhniú.
- Cosnaímid logaí agus sonraí agus cuirimid staid an chóid i gcomparáid le do stór nó leis na pacáistí bunaidh.
- Seiceálaimid `settings.php`, an chomhadlann `files`, rialacha an fhreastalaí, róil agus ceadanna.
- Ar iarratas glacaimid cothabháil leanúnach orainn sa [chonradh cothabhála slándála](https://phpsos.de/ga/leistungen/security-wartungsvertrag/), ionas nach rithfidh nuashonruithe PHP agus Drupal óna chéile arís.


## Ceisteanna coitianta

**An gcabhraíonn nuashonrú slándála Drupal in aghaidh PHP2Shell?**  
Ní chabhraíonn. Dúnann nuashonruithe Drupal earráidí i gcroí Drupal agus i modúil. Tá PHP2Shell i PHP an fhreastalaí agus teastaíonn nuashonrú PHP nó backport deimhnithe uaidh chomh maith le hatosú gach próisis PHP.

**Cá dtaispeánann Drupal an leagan PHP?**  
Sa tuarascáil stádais faoi Tuarascálacha. Le Drush taispeánann drush status leagan PHP na líne ordaithe. Is féidir leis an dá chuid a bheith difriúil, agus ní féidir backport a aithint go cinnte ó cheachtar acu.

**An gcosnaíonn an .htaccess san fhillteán files fiú faoi Nginx?**  
Ní chosnaíonn. Ní mheasann ach Apache an .htaccess a chruthaigh Drupal. Faoi Nginx teastaíonn riail dá chuid féin uait i gcumraíocht an fhreastalaí a bhacann comhaid PHP sa chomhadlann files.

**Cad is brí le trusted_host_patterns?**  
Socraíonn an socrú i settings.php faoi cé na hainmneacha óstach a fhreagraíonn Drupal. Cosnaíonn sé in aghaidh ionsaithe trí shonraí óstach ionramháilte agus baineann sé le gach suiteáil tháirgthe.

## Foinsí

- [php.net: fógraí slándála](https://www.php.net/)
- [Drupal](https://www.drupal.org/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)