Go achomair: Is é an bealach is tapa chun cúldoras WordPress a aimsiú ná croí agus breiseáin a chur i gcomparáid leis na seicsumaí oifigiúla trí WP-CLI agus ina dhiaidh sin mu-plugins, uaslódálacha, wp-config.php, cuntais riarthóra agus an bunachar sonraí a scrúdú go spriocdhírithe. Tábhachtach tar éis PHP2Shell: ní dhúnann nuashonrú WordPress an leochaileacht PHP agus ní bhaineann sé cúldoras atá ann cheana.
Cén fáth ar cheart d'oibreoirí WordPress féachaint níos géire anois
Le PHP2Shell tháinig dhá leochaileacht chriticiúla i PHP féin chun solais i nDeireadh Fómhair 2026, CVE-2026-109618 agus CVE-2026-109619. Ceadaíonn siad cód mailíseach a rith gan logáil isteach, beag beann ar cé chomh maith agus a chothaítear do shuiteáil WordPress. Tá paistí ar fáil ón 21.10.2026, ach de réir tuairiscí meán breathnaíodh an chéad iarracht ionsaithe cheana an 17.10.
An té a bhí leochaileach sa tréimhse sin, ba cheart dó rianta a chuardach. Is sprioc tipiciúil é WordPress sa chás seo toisc go bhfuil a lán suiteálacha struchtúrtha ar bhealach cosúil agus go bhfuil na folaigh ar eolas ag ionsaitheoirí. An rud a chaithfidh oibreoirí a dhéanamh i gcoitinne faoi PHP2Shell, tá sé ar an leathanach WordPress agus PHP2Shell.
Déan na seiceálacha seo a leanas más féidir ar chóip nó tar éis cóip chúltaca. Ní léann na horduithe ach agus ní athraíonn siad rud ar bith.
Cad a thugann tú faoi deara i ngnáthshaol má tá cúldoras ann
Tá cúldoras deartha le fanacht gan aird. Mar sin féin, tá comharthaí ann a thugtar faoi deara fiú gan eolas teicniúil. Orthu sin tá atreoruithe chuig suíomhanna coimhthíocha nach dtarlaíonn ach d'aíonna ó chuardach Google nó ach ar ghléasanna soghluaiste. Tá leathanaigh nua le fógraíocht do chógais, cearrbhachas nó cóipeanna de tháirgí branda amhrasach freisin má thaispeántar iad san innéacs cuardaigh ach nach bhfuil siad sa chúlchlár WordPress.
I measc na gcomharthaí eile tá rabhaidh ó Google nó ón mbrabhsálaí, gearáin ó chliaint faoi ríomhphoist turscair ó do fhearann, úsáid ríomhaireachta a d'ardaigh go tobann ag an soláthraí óstála, nó riarthóirí nach bhfuil aithne ag aon duine san fhoireann orthu. Ní chruthaíonn aon cheann de na comharthaí seo cúldoras leo féin. Má tharlaíonn roinnt acu le chéile, ná cuir na seiceálacha seo a leanas ar athlá.
Os a choinne sin: mura dtugtar aon cheann de seo faoi deara, ní chiallaíonn sé go bhfuil an tsuiteáil glan. Go háirithe cúldoirse a cruthaíodh le haghaidh rochtana níos déanaí amháin, is minic nach mbíonn aon éifeacht le feiceáil acu ón taobh amuigh.
Cúldoras WordPress a aimsiú: croí agus breiseáin a sheiceáil
Is féidir le WP-CLI comhaid chroí WordPress agus na mbreiseán ón gcomhadlann oifigiúil a chur i gcomparáid leis na seicsumaí foilsithe. Is tasc seiceála nithiúil gach difríocht.
cd /var/www/meine-seite
# Comhaid chroí i gcoinne na seicsumaí oifigiúla
wp core verify-checksums
# Breiseáin ón gcomhadlann oifigiúil
wp plugin verify-checksums --all
# Leaganacha suiteáilte agus stádas
wp plugin list
wp theme list
Ní féidir breiseáin ná téamaí tráchtála a sheiceáil ar an mbealach seo. Dóibh siúd ní chabhraíonn ach comparáid le pacáiste bunaidh a íoslódáladh as an nua ón soláthraí. Tá breiseáin anaithnide nár shuiteáil aon duine san fhoireann amhrasach i gcónaí, fiú má bhíonn cuma dhíghníomhachtaithe orthu.
Folaigh tipiciúla sa chóras comhad
Tagann roinnt áiteanna chun cinn arís agus arís eile i suiteálacha WordPress a bhfuil briseadh isteach déanta orthu:
wp-content/mu-plugins/: luchtaítear go huathoibríoch é agus ní fheictear sa ghnáthliosta breiseán é.wp-content/uploads/: is ansin a bhaineann íomhánna agus doiciméid, ní comhaid PHP.wp-config.php: línte breiseincludenórequireag an tús nó ag an deireadh..htaccessagus.user.inisa chomhadlann ghréasáin agus i bhfofhillteáin: atreoruithe gan choinne nó comhaid réamhluchtaithe go huathoibríoch.- Comhaid sa phríomhchomhadlann a bhfuil a n-ainmneacha cosúil le croíchomhaid WordPress ach nach mbaineann leis.
# Comhaid PHP san fhillteán uaslódála
find wp-content/uploads -type f -name "*.php*"
# Inneachar na Must-Use-Plugins
ls -la wp-content/mu-plugins/
# Gach comhad .htaccess agus .user.ini le dáta athraithe
find . \( -name ".htaccess" -o -name ".user.ini" \) -exec ls -la {} +
# Comhaid PHP a athraíodh le déanaí
find . -type f -name "*.php" -newermt "2026-10-17" -ls
Déanann an treoir Webshells a aithint agus a bhaint cur síos ar phatrúin chuardaigh ghinearálta do chód doiléirithe.
Úsáideoirí, bunachar sonraí agus tascanna sceidealaithe a sheiceáil
Níl a lán cúldoirse sa chóras comhad ar chor ar bith. Is minic a leor cuntas riarthóra breise d'ionsaitheoirí chun filleadh níos déanaí.
# Gach riarthóir le dáta cláraithe
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Tascanna sceidealaithe i WordPress
wp cron event list
# Seoladh an tsuímh (ionramhálacha ina n-atreorú)
wp option get siteurl
wp option get home
# Postálacha le scripteanna leabaithe
wp db query "SELECT ID, post_title FROM $(wp db prefix)posts WHERE post_content LIKE '%<script%'"
Seiceáil freisin roghanna le hinneachar neamhghnách mór agus giuirléidí le cód coimhthíoch. Ní chiallaíonn torthaí ionsaí go huathoibríoch, mar go n-úsáideann cóid rianaithe nó léarscáileanna leabaithe scripteanna freisin. Is é an rud atá cinntitheach ná an bhfuil aithne ag duine éigin san fhoireann ar an inneachar.
Tar éis fionnachtana, athraigh gach focal faire agus na heochracha slándála i wp-config.php. Seachas sin fanann logálacha isteach ionsaitheoirí atá ann cheana bailí.
Cúldoirse a dhúnadh agus filleadh a chosc
Má tá cúldoras aimsithe agat, is minic is sábháilte athshuiteáil ná comhaid aonair a dheisiú. Tá an seicheamh seo cruthaithe:
- Rianta a shábháil: logaí, comhaid amhrasacha agus easpórtáil bunachair sonraí a stóráil le dáta.
- PHP a thabhairt chuig staid cheartaithe agus gach próiseas PHP a atosú.
- Croí WordPress, breiseáin agus téamaí a shuiteáil as an nua ó fhoinsí bunaidh.
- Uaslódálacha agus an bunachar sonraí a ghlacadh isteach tar éis seiceála, cuntais choimhthíocha a scriosadh, gach rochtain a athrú.
- Rith PHP san fhillteán uaslódála a chosc ar leibhéal an fhreastalaí.
Do Nginx is leor bloc sa chumraíocht fhreastalaí chuige sin:
location ~* ^/wp-content/uploads/.*\.php$ {
deny all;
}
Faoi Apache baineann tú an toradh céanna amach le rialachán i gcumraíocht an fhreastalaí don fhillteán uaslódála. Is laige .htaccess san fhillteán uaslódála féin, mar go bhféadfadh ionsaitheoir a bhfuil cearta scríofa aige é a athrú arís.
Pleanáil monatóireacht níos dlúithe ar feadh roinnt seachtainí tar éis an ghlanta. Ba cheart riarthóirí nua, comhaid PHP nua agus athruithe ar wp-config.php a bheith le feiceáil láithreach sa tréimhse sin, mar shampla trí sheiceáil rialta le WP-CLI nó monatóireacht comhad ar an bhfreastalaí.
Conas a shocraíonn tú cearta comhad ina dhiaidh sin ionas nach scríobhfaidh WordPress ach san áit a bhfuil gá leis, taispeánann an treoir Cearta comhad ar an bhfreastalaí gréasáin.
Conas a chabhraíonn PHP SOS go nithiúil?
- Sábhálaimid staid na suiteála sula n-athraítear aon rud.
- Seiceálaimid croí, breiseáin, téamaí, bunachar sonraí, cuntais agus cumraíocht an fhreastalaí le haghaidh cúldoirse.
- Athshuiteálaimid WordPress ó fhoinsí glana agus ní ghlacaimid isteach ach inneachar seiceáilte.
- Cruaímid an freastalaí agus an tsuiteáil agus doiciméadaímid an méid a fuarthas agus a ceartaíodh.
Déanann an tseirbhís Malware agus webshells a bhaint cur síos ar chúrsa glanta.
Ceisteanna coitianta
An ndúnann nuashonrú WordPress an leochaileacht PHP2Shell?
Ní dhúnann. Tá PHP2Shell san ateangaire PHP, ní i WordPress. Ní athraíonn nuashonrú WordPress, téamaí nó breiseán aon rud air sin; is é staid PHP an fhreastalaí agus atosú gach próiseas PHP an rud atá cinntitheach.
An bhfaigheann breiseán slándála gach cúldoras?
Ní go hiontaofa. Ritheann breiseán laistigh den suiteáil a bhfuil briseadh isteach déanta uirthi agus d'fhéadfadh sé féin a bheith ionramháilte. Comhlánaigh é le seiceálacha ón taobh amuigh, mar shampla seicsumaí WP-CLI agus comparáid le comhaid bhunaidh ghlana.
Cad is mu-plugins ann agus cén fáth a bhfuil siad amhrasach?
Luchtaítear Must-Use-Plugins san fhillteán wp-content/mu-plugins go huathoibríoch agus ní fheictear iad sa ghnáthliosta breiseán. Is maith le hionsaitheoirí é seo a úsáid toisc nach bhféachann oibreoirí go minic ar an bhfillteán seo.
An féidir cúldoras a bheith sa bhunachar sonraí freisin?
Is féidir. Is minic a stóráiltear cód mailíseach nó atreoruithe i roghanna, i bpostálacha nó i ngiuirléidí. Ina theannta sin is minic a chruthaíonn ionsaitheoirí cuntais riarthóra dá gcuid féin, a gheobhaidh tú sa tábla úsáideoirí.