# Contao drošība pēc PHP2Shell: kā pareizi aizsargāt vietnes

> Contao drošība pēc PHP2Shell: pārbaudiet PHP tīmeklim un Contao Manager, kontrolējiet .env un veidnes, aizsargājiet administrēšanas un Manager piekļuvi.

Avots: https://phpsos.de/lv/plattformen/contao/  
Aktuāls uz: 25.10.2026  
Pakalpojuma sniedzējs: PHP SOS, PHP ārkārtas palīdzība un serveru drošība. Tūlītēja palīdzība pa WhatsApp: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20nepiecie%C5%A1ama%20pal%C4%ABdz%C4%ABba%20ar%20m%C5%ABsu%20PHP%20serveri.%20Uz%C5%86%C4%93mums%3A%20%E2%80%A6%20Vietne%3A%20%E2%80%A6

**Īsi:** Contao drošība PHP2Shell gadījumā ir atkarīga no servera PHP, nevis no Contao. Raugieties, lai ielāpots būtu gan tīmekļa PHP, gan Contao Manager komandrindas PHP. Pēc tam pārbaudiet `.env`, pašu veidnes, mapi `files` un piekļuves administrēšanas panelim un Manager.

## Contao un PHP2Shell: par ko ir runa

Contao ir CMS, kas izplatīts vācu valodas telpā un kopš 4. versijas balstās uz ietvaru Symfony. PHP ievainojamības CVE-2026-109618 un CVE-2026-109619 saskaņā ar PHP komandu ļauj izpildīt ļaunprātīgu kodu no attāluma bez pieteikšanās. Tās skar pašu PHP, tātad arī katru Contao instalāciju uz neielāpota servera.

Daudzas Contao vietnes pieder vidējiem uzņēmumiem, apvienībām un pašvaldībām, un tās uztur aģentūras. Tāpēc vispirms noskaidrojiet, kurš atbild par PHP: hostinga sniedzējs, aģentūra vai jūsu pašu IT.

Biežs maldīgs priekšstats attiecas uz uzturēšanas režīmu. Contao var bloķēt vietni apmeklētājiem, taču šo bloķēšanu pati piegādā PHP. Katrs pieprasījums tātad joprojām sasniedz PHP interpretatoru. Pret PHP2Shell uzturēšanas režīms tāpēc neaizsargā. Ja BSI (Vācijas Federālais informācijas drošības birojs) iesaka tīmekļa serverus līdz atjauninājumam atvienot no tīkla, ar to domāta bloķēšana servera vai hostinga līmenī, nevis CMS iestatījums.

## Contao drošība sākas ar divām PHP versijām

Contao izmanto PHP divējādi. Tīmekļa serveris lapu izsaukumus parasti apstrādā ar PHP-FPM. Contao Manager un Contao konsole papildus strādā ar komandrindas PHP, piemēram, instalēšanai, atjaunināšanai un cron uzdevumiem. Hostinga pakotnēs ar vairākām PHP versijām tās var būt divas dažādas programmas.

Contao Manager savā servera konfigurācijā rāda, kuru PHP programmfailu tas izmanto. Tīmekļa versiju redzat hostinga panelī. Labotās upstream versijas ir 8.5.12, 8.4.27, 8.3.36 un 8.2.35; backport labojumiem var būt vecāki numuri. Abiem ceļiem jābūt ielāpotiem un visiem procesiem pārstartētiem. Kuras PHP versijas atbalsta jūsu Contao versija, pārbaudiet pēc sistēmas prasībām vietnē contao.org. Vairāk par pārbaudi sadaļā [PHP versijas un ielāpa stāvokļa pareiza pārbaude](https://phpsos.de/lv/php2shell/php-version-pruefen/).

## Direktorijas un faili Contao

| Vieta | Saturs | Pārbaudes punkts |
|---|---|---|
| `.env`, `.env.local` | Datubāzes piekļuve, `APP_SECRET` | Aizdomu gadījumā mainīt |
| `config/config.yaml` | Instalācijas konfigurācija | Negaidītas izmaiņas |
| `public/` (vecākās versijās `web/`) | Dokumentu sakne ar `index.php`, Contao Manager failu, assets | Papildu PHP faili |
| `files/` | Redaktoru failu pārvaldība | Nav PHP failu |
| `templates/` | Pašu veidnes, klasiski kā `.html5` ar PHP | Nezināmas vai mainītas veidnes |
| `system/config/localconfig.php` | Vecāki iestatījumi | Ievietots kods |
| `var/` | Kešatmiņa un žurnāli | Saglabāt žurnālus, kešatmiņu ģenerēt no jauna |

Tieši `templates/` tiek par zemu vērtēta: klasiskās Contao veidnes ar paplašinājumu `.html5` ir PHP faili. Ievietota komanda paša veidnē tiek izpildīta katrā lapas izsaukumā un pārdzīvo Contao atjauninājumus.

Droši pirmie pārbaudes soļi:

```bash
# PHP faili failu pārvaldībā
find files -type f -name "*.php"
# Kopš 17.10.2026 mainītās veidnes
find templates -type f -newermt "2026-10-17"
# Pārbaudīt pieejamās Contao komandas un atkarības
vendor/bin/contao-console list contao
composer audit
```

> **Svarīgi:**
> Contao Manager var uzstādīt pakotnes un tādējādi ievadīt serverī jebkuru kodu. Aizdomu gadījumā pārbaudiet tā lietotāju kontus, piešķiriet jaunas paroles un noņemiet bijušo pakalpojumu sniedzēju piekļuves.

## Administrēšanas panelis, Manager un paplašinājumi

Administrēšanas panelis atrodas adresē `/contao`. Pārbaudiet lietotājus ar administratora tiesībām un lietotāju grupas ar plašām tiesībām, piemēram, uz failu pārvaldību, veidnēm vai lietotāju pārvaldību. Contao nāk ar divfaktoru autentifikāciju; izmantojiet to visiem kontiem ar paaugstinātām tiesībām.

Paplašinājumi tiek uzstādīti ar Composer vai caur Contao Manager. Katrs atnes PHP kodu, un vecāki paplašinājumi bez uzturēšanas bremzē PHP jauninājumus. Serveros ar vairākām vietnēm katrai instalācijai jādarbojas atsevišķi, lai incidents nepāriet uz kaimiņu vietnēm; vairāk par to sadaļā [open_basedir un izolācija katrai vietnei](https://phpsos.de/lv/ratgeber/open-basedir/).

## Ko Contao atjauninājums var un ko ne

Contao atjauninājums caur Manager vai Composer aizver zināmas kļūdas Contao un paplašinājumos. Tas neielāpo PHP un nepārstartē ne PHP-FPM, ne fona procesus. Pašu veidnes, faili mapē `files/` un svešie lietotāju konti paliek nemainīti. Pēc PHP galvenās versijas maiņas kešatmiņa jāģenerē no jauna un vietne jāpārbauda testa vidē.

Vietnēm ar daudziem redaktoriem pēc ielāpa vērts apskatīt tiesības administrēšanas panelī. Kas drīkst rediģēt veidnes, klasiskajās `.html5` veidnēs var ierakstīt PHP kodu. Šai atļaujai jābūt tikai dažu, tehniski prasmīgu personu rokās. Tas pats attiecas uz piekļuvi failu pārvaldībai ar augšupielādes tiesībām publiski pieejamās mapēs.

## Kā PHP SOS palīdz konkrēti?

- Mēs nosakām jūsu Contao instalācijas tīmekļa un CLI PHP un liekam apstiprināt ielāpu un pārstartēšanu.
- Mēs saglabājam žurnālus, failus un datubāzi, pirms kaut ko mainām.
- Mēs pārbaudām veidnes, `files/`, dokumentu sakni, administrēšanas paneļa un Manager kontus.
- PHP maiņu ar apliecinājumu pēc vēlēšanās veic mūsu [PHP ielāpu pakalpojums](https://phpsos.de/lv/leistungen/php-patch-service/), saskaņojot ar jūsu aģentūru.


## Biežāk uzdotie jautājumi

**Vai Contao ir skarts ar PHP2Shell?**  
Pašam Contao jaunas ievainojamības nav. Taču, ja vietne darbojas uz neielāpota PHP, tā ir ievainojama tāpat kā jebkura PHP lietojumprogramma. Contao atjauninājums PHP ievainojamību neaizver.

**Kāpēc Contao Manager ir drošības ziņā svarīgs?**  
Contao Manager var uzstādīt, atjaunināt un noņemt pakotnes. Kas tam var piekļūt, var ielikt jebkuru kodu. Tāpēc piekļuvei vajadzīga stipra parole un maz pilnvarotu personu.

**Vai Contao veidnes satur PHP kodu?**  
Klasiskās veidnes ar paplašinājumu .html5 ir PHP veidnes. Pašu veidnes mapē templates tāpēc var saturēt PHP. Nezināmas vai nesen mainītas veidnes jums jāspēj izskaidrot.

## Avoti

- [php.net: drošības paziņojumi](https://www.php.net/)
- [Contao](https://contao.org/)
- [Atbalstītās PHP versijas](https://www.php.net/supported-versions.php)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)