Do fhreastalaí root agus vServer féin a chosaint

Go achomair: An té a bhainistíonn freastalaí root nó vServer é féin, caithfidh sé é a chosaint é féin i ndiaidh PHP2Shell: pacáistí PHP a thabhairt chuig staid cheartaithe, gach próiseas PHP a atosú agus an toradh a sheiceáil. I gcoitinne ní thugann oibreoir an lárionaid sonraí aire ach do chrua-earraí, d'fhíorúlú agus don líonra. Ina dhiaidh sin is fiú an freastalaí a chruatú go buan.

Do fhreagracht i gcás do fhreastalaí féin

Le freastalaí root nó vServer gan bhainistiú, ligeann tú cumhacht ríomhaireachta ar cíos, ní cúram. Tá an córas oibriúcháin, an freastalaí gréasáin, PHP, an bunachar sonraí, an balla dóiteáin, na cúltacaí agus an faireachán faoi do threoir. Don bhainistíocht agus do na húinéirí ciallaíonn sin: mura bhfuil na tascanna sin glactha go sainráite ag duine éigin sa teach nó ag soláthraí seirbhíse, ní dhéanann aon duine iad.

Déanann PHP2Shell é sin follasach. Tá an dá leochaileacht CVE-2026-109618 agus CVE-2026-109619 i PHP féin agus ceadaíonn siad cód a rith gan logáil isteach. D'fhoilsigh tionscadal PHP na leaganacha 8.5.12, 8.4.27, 8.3.36 agus 8.2.35 an 21.10.2026. Molann an BSI nuashonrú láithreach agus, mura féidir sin, an freastalaí gréasáin a thógáil den líonra go sealadach.

vServer a chosaint: seiceáil an stoc agus staid na bpacáistí

Faigh forbhreathnú ar dtús ar na leaganacha PHP atá suiteáilte agus ar an bhfoinse as a dtagann siad. Úsáideann a lán freastalaithe foinsí pacáistí breise chomh maith le pacáistí an dáilte. Ní léann na horduithe seo a leanas ach. Is samplaí iad ainmneacha pacáistí.

# Debian/Ubuntu: pacáistí PHP suiteáilte agus a mbunús
apt list --installed 'php*' 2>/dev/null
apt-cache policy php8.3-fpm

# AlmaLinux/Rocky/RHEL
dnf list installed 'php*'

# Cé na comhaid inrite PHP atá ann ar chor ar bith?
ls /usr/bin/php* /usr/sbin/php-fpm* 2>/dev/null

Ní leor uimhir an leagain amháin. Is minic a sheachadann dáiltí ceartúcháin slándála mar backport, agus fanann an uimhir a thaispeántar níos sine ansin. Is é changelog an phacáiste an rud cinntitheach.

# Debian/Ubuntu (ainm pacáiste mar shampla)
apt changelog php8.3-fpm 2>/dev/null | grep -iE 'CVE-2026-1096(18|19)'

# Teaghlach RHEL (ainm pacáiste mar shampla)
rpm -q --changelog php-fpm | grep -iE 'CVE-2026-1096(18|19)'

Tá treoir mhionsonraithe le fáil in Leagan PHP agus staid phaiste a sheiceáil.

An nuashonrú a chur isteach agus gach próiseas a athnuachan

Cuir na nuashonruithe isteach tríd an mbainisteoir pacáistí agus ina dhiaidh sin atosaigh gach seirbhís a luchtaíonn PHP. De réir struchtúir is iad sin PHP-FPM, Apache le mod_php, LiteSpeed nó freastalaí feidhmchláir. Ní leor comhaid nua ar an diosca fad a ritheann seanphróisis sa chuimhne.

# Seirbhísí le PHP a aimsiú
systemctl list-units --type=service | grep -iE 'php|apache2|httpd|lsws'

# Próisis a thaispeáint leham tosaithe
ps -eo pid,lstart,cmd | grep -E 'php|apache2|httpd' | grep -v grep

# Debian/Ubuntu: cláir le leabharlanna seanchaite a aithint (má tá sé suiteáilte)
needrestart -r l

Ba cheart go mbeadh gach próiseas ábhartha tosaithe tar éis an nuashonraithe. Is áisiúil an uirlis needrestart ar chórais Debian, a thaispeánann seirbhísí le leabharlanna seanbhunaithe. Déanann PHP-FPM agus gach oibrí a atosú cur síos ar mhionsonraí an atosaithe.

Don chéad chuardach ar rianta, tá roinnt seiceálacha ann nach n-athraíonn aon rud. Lorg comhaid PHP a cruthaíodh nó a athraíodh i bhfillteáin ghréasáin ón 17.10.2026 i leith, iontrálacha anaithnide i gcrontabs gach úsáideora, úsáideoirí córais agus eochracha SSH nua, agus próisis d'úsáideoir an fhreastalaí gréasáin a choinníonn naisc amach.

# Comhaid PHP athraithe ón 17.10.2026 i leith (cosán mar shampla)
find /var/www -type f -name '*.php' -newermt '2026-10-17' -ls

# Naisc líonra leis an bpróiseas lena mbaineann
ss -tupn

Ní chruthaíonn aon cheann de na seiceálacha seo briseadh isteach astu féin, agus ní chruthaíonn toradh folamh a mhalairt. Léiríonn siad, áfach, an bhfuil gá le fiosrúchán níos doimhne. Oibrigh ar chóipeanna de na logaí agus ná hathraigh comhaid amhrasacha go dtí go mbeidh an staid cosanta. Má aimsítear rud, is é imscrúdú eagraithe an bealach sábháilte. Sa chás sin ná múch an freastalaí go simplí agus ná cuir ar bun as an nua láithreach é, mar caillfear rianta atá tábhachtach chun dualgais fógartha a mheas agus le haghaidh gearáin féideartha.

An freastalaí a chruatú go buan

Tar éis an phaiste ghéar, leanann an bhunchosaint. Ní chuireann sí cosc ar gach leochaileacht, ach cuireann sí teorainn leis an damáiste agus giorraíonn sí an t-am freagartha an chéad uair eile. Is iad na pointí seo a d'éirigh go maith:

• Rochtain: SSH le heochair amháin, gan logáil isteach dhíreach root, comhéadain riaracháin inrochtana ó líonraí aitheanta amháin.
• Balla dóiteáin: na poirt a bhfuil gá leo i ndáiríre amháin a oscailt, naisc amach an fhreastalaí gréasáin a theorannú.
• Cumraíocht PHP: feidhmeanna contúirteacha a dhíghníomhachtú, open_basedir do gach suíomh gréasáin, linnte agus úsáideoirí ar leith do gach feidhmchlár.
• Cearta comhad: ní cheadaítear don fhreastalaí gréasáin cód cláir a scríobh, ní ritheann fillteáin uaslódála PHP.
• Nuashonruithe: nuashonruithe slándála a chur isteach go huathoibríoch, atosú agus rialú a phleanáil go seasta.
• Cúltacaí: cúltacaí de réir riail 3-2-1, cóip amháin ar a laghad lasmuigh den fhreastalaí agus cosanta ar athrú.
• Logaí: logaí a bhailiú go lárnach agus a choinneáil fada go leor.

Conas a bhíonn cúltaca iontaofa, tá sé le fáil in Cúltacaí de réir riail 3-2-1. Mar chreat do ghnólachtaí, oireann IT-Grundschutz an BSI.

Cathain is fearr freastalaí bainistithe

Is fiú freastalaí a bheith agat féin nuair a ghlacann duine éigin cúram air go hiontaofa: nuashonruithe a leanúint, cásanna mar PHP2Shell a mheas, a bheith in ann freagairt san oíche. Mura bhfuil an acmhainn sin ann, tá freastalaí bainistithe nó conradh cothabhála seasta ciallmhar. Tá sé tábhachtach sa dá chás na freagrachtaí a thaifeadadh i scríbhinn. Tuilleadh faoi sin faoi Freastalaí bainistithe: freagracht a shoiléiriú.

Conas a chabhraíonn PHP SOS go nithiúil?

• Taifeadaimid suiteálacha PHP, foinsí pacáistí agus seirbhísí do fhreastalaí go léir agus measaimid an fhíorstaid phaiste.
• Cuirimid nuashonruithe isteach, atosaímid gach próiseas agus déanaimid an toradh a dhoiciméadú.
• Seiceálaimid an freastalaí le haghaidh rianta de chomhréiteach agus cosnaímid logaí le haghaidh meastóireachta níos déanaí.
• Mar chuid dár gcruatú freastalaí socraímid rochtain, balla dóiteáin, linnte PHP agus cearta i gceart.
• Ar iarratas glacaimid leis an gcothabháil leanúnach trí chonradh cothabhála slándála.

Ceisteanna coitianta

Foinsí

• php.net: fógraí slándála
• PHP 8 ChangeLog
• php.net: leaganacha a dtacaítear leo
• BSI IT-Grundschutz