Röviden: A Contao biztonsága a PHP2Shell esetében a szerver PHP-jától függ, nem a Contaótól. Ügyeljen rá, hogy mind a webes PHP, mind a Contao Manager parancssori PHP-ja javítva legyen. Utána ellenőrizze a .env fájlt, a saját sablonokat, a files mappát, valamint a backend és a Manager hozzáféréseit.
A Contao és a PHP2Shell: miről van szó
A Contao a német nyelvterületen elterjedt CMS, amely a 4-es verzió óta a Symfony keretrendszerre épül. A CVE-2026-109618 és a CVE-2026-109619 PHP-rések a PHP-csapat szerint lehetővé teszik kártékony kód távoli futtatását bejelentkezés nélkül. Magát a PHP-t érintik, tehát minden Contao-telepítést is egy javítatlan szerveren.
Sok Contao-weboldal közép-vállalkozások, szövetségek és önkormányzatok tulajdonában van, és ügynökségek gondozzák őket. Tisztázza ezért először, ki felel a PHP-ért: a tárhelyszolgáltató, az ügynökség vagy a saját informatikája.
Gyakori tévedés a karbantartási módot érinti. A Contao le tudja zárni a weboldalt a látogatók elől, de ezt a zárat maga a PHP szolgálja ki. Minden kérés tehát továbbra is eléri a PHP-értelmezőt. A PHP2Shell ellen a karbantartási mód ezért nem véd. Ha a BSI (a német Szövetségi Információbiztonsági Hivatal) azt javasolja, hogy a webszervereket a frissítésig le kell választani a hálózatról, az szerver- vagy tárhelyszintű zárat jelent, nem a CMS egyik beállítását.
A Contao biztonsága két PHP-verzióval kezdődik
A Contao kétféle módon használja a PHP-t. A webszerver az oldalmegnyitásokat többnyire PHP-FPM-en át dolgozza fel. A Contao Manager és a Contao-konzol ezenfelül egy parancssori PHP-val dolgozik, például telepítésekhez, frissítésekhez és cron-feladatokhoz. A több PHP-verziót tartalmazó tárhelycsomagokon ez két különböző program is lehet.
A Contao Manager a szerverkonfigurációjában mutatja, melyik PHP-programfájlt használja. A webes verziót a tárhelypanelben látja. A javított upstream verziók: 8.5.12, 8.4.27, 8.3.36 és 8.2.35; a backportok régebbi számot is viselhetnek. Mindkét útnak javítottnak kell lennie, és az összes folyamatot újra kell indítani. Hogy a Contao-verziója mely PHP-verziókat támogatja, azt a rendszerkövetelmények szerint a contao.org oldalon ellenőrizheti. Az ellenőrzésről bővebben a A PHP-verzió és a javítási állapot helyes ellenőrzése oldalon.
Könyvtárak és fájlok a Contaóban
| Hely | Tartalom | Ellenőrzési pont |
|---|---|---|
.env, .env.local |
adatbázis-hozzáférés, APP_SECRET |
gyanú esetén megújítani |
config/config.yaml |
a telepítés konfigurációja | váratlan változások |
public/ (régebbi verzióknál web/) |
dokumentumgyökér az index.php-vel, a Contao Manager fájljával, assetekkel |
további PHP-fájlok |
files/ |
a szerkesztők fájlkezelője | nincs PHP-fájl |
templates/ |
saját sablonok, klasszikusan .html5 PHP-val |
ismeretlen vagy módosított sablonok |
system/config/localconfig.php |
régebbi beállítások | beszúrt kód |
var/ |
gyorsítótár és naplók | naplók mentése, gyorsítótár újragenerálása |
Éppen a templates/ mappát becsülik alá: a klasszikus, .html5 végződésű Contao-sablonok PHP-fájlok. Egy saját sablonba beszúrt parancs minden oldalmegnyitásnál lefut, és túléli a Contao-frissítéseket.
Veszélytelen első ellenőrzések:
# PHP-fájlok a fájlkezelőben
find files -type f -name "*.php"
# A 2026. 10. 17. óta módosított sablonok
find templates -type f -newermt "2026-10-17"
# Az elérhető Contao-parancsok és a függőségek ellenőrzése
vendor/bin/contao-console list contao
composer audit
A Contao Manager csomagokat telepíthet, és így tetszőleges kódot juttathat a szerverre. Gyanú esetén ellenőrizze a felhasználói fiókjait, adjon új jelszavakat, és távolítsa el a volt szolgáltatók hozzáféréseit.
Backend, Manager és bővítmények
A backend a /contao alatt található. Ellenőrizze az adminisztrátori jogú felhasználókat és a messzemenő jogokkal rendelkező felhasználói csoportokat, például a fájlkezelőre, a sablonokra vagy a felhasználókezelésre. A Contao beépített kétfaktoros bejelentkezést hoz; használja minden emelt jogú fiókhoz.
A bővítményeket a Composeren vagy a Contao Manageren keresztül telepítik. Mindegyik PHP-kódot hoz magával, és a gondozás nélküli régebbi bővítmények fékezik a PHP-frissítéseket. A több weboldalt kiszolgáló szervereken minden telepítésnek külön kell futnia, hogy egy incidens ne terjedjen át a szomszéd oldalakra; erről bővebben az open_basedir és weboldalankénti elkülönítés oldalon.
Mit tud egy Contao-frissítés, és mit nem
Egy Contao-frissítés a Manageren vagy a Composeren át lezárja a Contao és a bővítmények ismert hibáit. A PHP-t nem javítja, és sem a PHP-FPM-et, sem a háttérfolyamatokat nem indítja újra. A saját sablonok, a files/ mappa fájljai és az idegen felhasználói fiókok változatlanok maradnak. A PHP főverziójának váltása után a gyorsítótárat újra kell generálni, és a weboldalt tesztkörnyezetben ellenőrizni.
A sok szerkesztővel rendelkező weboldalaknál a javítás után érdemes megnézni a backend jogait. Aki sablonokat szerkeszthet, PHP-kódot tehet a klasszikus .html5 sablonokba. Ez a jogosultság csak kevés, műszaki jártasságú ember kezében legyen. Ugyanez érvényes a fájlkezelőhöz való hozzáférésre feltöltési jogokkal a nyilvánosan elérhető mappákba.
Hogyan segít konkrétan a PHP SOS?
- Megállapítjuk a Contao-telepítése web- és CLI-s PHP-ját, és megerősíttetjük a javítást és az újraindítást.
- Mentjük a naplókat, a fájlokat és az adatbázist, mielőtt bármit megváltoztatnánk.
- Ellenőrizzük a sablonokat, a
files/mappát, a dokumentumgyökeret, a backend- és Manager-fiókokat. - A PHP-váltást igazolással együtt kérésére a PHP-javítási szolgáltatásunk végzi el, az ügynökségével egyeztetve.
Gyakori kérdések
Érinti a Contaót a PHP2Shell?
A Contaónak nincs új rése. Ha azonban a weboldal javítatlan PHP-n fut, mint minden PHP-alkalmazás, támadható. Egy Contao-frissítés nem zárja le a PHP-rést.
Miért biztonsági szempontból lényeges a Contao Manager?
A Contao Manager csomagokat telepíthet, frissíthet és távolíthat el. Aki hozzáfér, tetszőleges kódot juttathat be. A hozzáféréshez ezért erős jelszó és kevés jogosult kell.
Tartalmaznak a Contao-sablonok PHP-kódot?
A klasszikus, .html5 végződésű sablonok PHP-sablonok. A templates mappában lévő saját sablonok ezért tartalmazhatnak PHP-t. Az ismeretlen vagy nemrég módosított sablonokat meg kell tudnia magyarázni.