Leochaileacht PHP WordPress PHP2Shell: cad atá le déanamh ag oibreoirí

Go achomair: Níl an leochaileacht PHP WordPress a bhfuiltear ag tuairisciú uirthi faoi láthair i WordPress, ach i PHP ar an bhfreastalaí faoi bhun. Dá bhrí sin ní dhúnann nuashonrú WordPress PHP2Shell. Is iad staid phaiste PHP, atosú gach próisis PHP agus seiceáil ar ghnáthfholaigh ar nós wp-content/uploads agus mu-plugins na rudaí cinntitheacha.

Cén fáth nach réitíonn nuashonrú WordPress PHP2Shell

Is feidhmchlár é WordPress atá scríofa i PHP. Tá na leochaileachtaí CVE-2026-109618 agus CVE-2026-109619 leibhéal níos doimhne, in ateangaire PHP féin. De réir fhoireann PHP, cuireann siad ar chumas cód mailíseach a rith go cianda gan logáil isteach. Le Apache agus mod_php, léiríodh gníomhaíocht saothraithe sula ritheann cód WordPress fiú.

Dá bhrí sin is féidir le suíomh gréasáin ina bhfuil croí cothrom le dáta, breiseáin chothrom le dáta agus pasfhocail láidre a bheith leochaileach fós má tá an PHP faoi bhun sean. Os a choinne sin, ní chruthaíonn PHP paistithe nár tharla aon rud roimhe sin. Míníonn muid an cúlra faoi Cad is PHP2Shell ann?.

Leochaileacht PHP WordPress: leagan PHP a sheiceáil

Sa dais, faoi Uirlisí > Sláinte an tsuímh > Tuarascáil sa chuid “Freastalaí”, gheobhaidh tú an leagan PHP a ritheann do shuíomh i ndáiríre. Is mó an luach atá leis sin ná php -v ar an líne ordaithe, mar go n-úsáideann an líne ordaithe suiteáil PHP eile go minic seachas an freastalaí gréasáin.

Ní leor an uimhir a thaispeántar léi féin, áfach. Is iad 8.5.12, 8.4.27, 8.3.36 agus 8.2.35 na leaganacha suas an sruth ceartaithe. Cuireann a lán soláthraithe óstála na ceartúcháin isteach mar backport; ansin fanann uimhir níos sine ar taispeáint cé go bhfuil paiste curtha isteach. Conas a fhaigheann tú amach an fhíorstaid, tá sé le fáil faoi Leagan PHP agus staid phaiste a sheiceáil i gceart. Na leaganacha PHP a thacaíonn le do leagan WordPress, seiceáil iad de réir na gceanglas córais ar wordpress.org.

Cá mbíonn cód mailíseach i bhfolach i WordPress

Tar éis ionsaí rathúil, de ghnáth fágann an ciontóir cúldoras ionas gur féidir leo teacht ar ais fiú tar éis an phaiste. Tá áiteanna aitheanta ag WordPress chuige sin:

• wp-content/uploads/: ceaptha d'íomhánna agus do PDFanna, ní do chomhaid PHP.
• wp-content/mu-plugins/: lódálann breiseáin “must-use” go huathoibríoch agus ní féidir iad a dhíghníomhachtú sa dais.
• wp-config.php: tá rochtain ar an mbunachar sonraí agus eochracha slándála ann; is ar éigean a thabharfaí faoi deara líne sáite anseo.
• .htaccess sa phríomhchomhadlann agus i bhfo-fhillteáin: atreoruithe do chuardaitheoirí amháin nó rith iarmhíreanna comhaid neamhghnácha.
• Téamaí, go háirithe functions.php, chomh maith le breiseáin dhíghníomhachtaithe, dearmadta.
• Bunachar sonraí: riarthóirí nua i wp_users, JavaScript iasachta i wp_options nó i bpoist.

Céad seiceálacha neamhdhíobhálacha le WP-CLI agus uirlisí atá ann cheana:

# Comhaid chroí a chur i gcomparáid leis na seicsumaí oifigiúla
wp core verify-checksums
# Breiseáin ón gcomhadlann ar wordpress.org a sheiceáil
wp plugin verify-checksums --all
# Comhaid PHP san fhillteán uaslódála a liostú
find wp-content/uploads -type f -name "*.php"
# Gach riarthóir a thaispeáint
wp user list --role=administrator

Is cúis le scrúdú cruinn é torthaí, ní fianaise go fóill. Ní féidir breiseáin tráchtála a sheiceáil ar an mbealach seo. Leanann an treoir Cúldoirse a aimsiú i WordPress ar aghaidh go mion.

Breiseáin, téamaí agus rochtain riaracháin mar riosca breise

Ní theastaíonn leochaileacht breiseáin ó PHP2Shell. Sa ghnáthré, áfach, is iad breiseáin agus téamaí an pointe iontrála is minice i suímh WordPress. Tugann gach breiseán a chód féin, a fheidhmeanna uaslódála féin agus a thimthriallta nuashonraithe féin leis. Ba cheart breiseáin nach n-úsáidtear a scriosadh in ionad iad a dhíghníomhachtú amháin, mar fanann comhaid dhíghníomhachtaithe ar an bhfreastalaí.

Maidir le wp-login.php agus wp-admin: riarthóirí gann, cuntais phearsanta in ionad rochtana comhroinnte agus fíordheimhniú dhá fhachtóir. Mura bhfuil XML-RPC ag teastáil uait, is féidir é a bhlocáil. Má bhíonn amhras ort, ba cheart gach pasfhocal agus na heochracha slándála i wp-config.php a athnuachan. An t-eagarthóir comhad sa dais, múchann tú é ansin freisin:

define( 'DISALLOW_FILE_EDIT', true );

Cad ba cheart duit a dhéanamh mar oibreoir WordPress anois

1. Iarr ar an soláthraí óstála i scríbhinn staid phaiste PHP agus atosú gach próisis PHP a dheimhniú.
2. Iarr logaí an fhreastalaí ón 20 Deireadh Fómhair 2026 i leith a choinneáil.
3. Déan na seiceálacha thuas nó iarr iad a dhéanamh.
4. WordPress, breiseáin agus téamaí a nuashonrú. Tá sé sin ceart, ach ní hionann é agus céim 1.
5. Má tá aon rud neamhghnách ann, ná lean ort ag oibriú an tsuímh gan níos mó; iarr é a ghlanadh.

Féadann nuashonrú ardáin leochaileachtaí aitheanta i WordPress agus i mbreiseáin a dhúnadh. Ní féidir leis PHP a dheisiú ná comhaid curtha isteach nach mbaineann leis an gcroí a bhaint.

Conas a chabhraíonn PHP SOS go nithiúil?

• Soiléirímid leatsa nó le do sholáthraí óstála fíorstaid PHP do shuíomh WordPress, lena n-áirítear backports agus atosú.
• Cosnaímid logaí, comhaid agus an bunachar sonraí sula n-athraítear aon rud.
• Seiceálaimid an croí, breiseáin, uaslódálacha, mu-plugins, .htaccess agus cuntais úsáideora le haghaidh cúldoirse.
• Má aimsítear rud éigin, glanann ár mbaint bogearraí mailíseacha an suíomh go dtí go mbeidh an teagmhas dúnta agus doiciméadaithe; mura n-aimsítear aon rud, cruaímid an tsuiteáil mar chuid den chabhair láithreach PHP2Shell.

Ceisteanna coitianta

Foinsí

• php.net: fógraí slándála
• PHP 8 ChangeLog
• WordPress.org
• BSI (Oifig Chónaidhme na Gearmáine um Shlándáil Faisnéise)