Fil-qosor: Biex tiċċekkja CVE fil-changelog, fittex fil-protokoll tal-bidliet tal-pakkett installat ta' PHP CVE-2026-109618 u CVE-2026-109619: taħt Debian u Ubuntu f'/usr/share/doc/<paket>/changelog.Debian.gz, fuq sistemi RPM b'rpm -q --changelog. Riżultat flimkien mal-istat tal-pakkett, il-paragun mal-avviż uffiċjali tas-sigurtà u l-ħin tar-restart jagħti prova soda. Nuqqas ta' riżultat għadu mhux prova ta' vulnerabbiltà miftuħa.
Għaliex prova tfisser iktar minn „għamilna l-patch“
Wara PHP2Shell ħafna jridu jkunu jafu jekk is-servers tagħhom humiex siguri: il-maniġment, l-uffiċjal tal-protezzjoni tad-data, klijenti b'pproċessar ta' data f'isimhom, kultant l-assiguratur taċ-ċibersigurtà. „Għamilna l-patch“ mhuwiex biżżejjed għal dan. Meħtieġ huwa dokument li terza persuna tista' tħaddem.
In-numru tal-verżjoni ta' spiss ma jservix għal dan, għax id-distribuzzjonijiet jintroduċu l-korrezzjonijiet bħala backport u n-numru jibqa' l-istess. Il-changelog tal-pakkett huwa bażi aħjar. Jinkiteb mill-maintainer tal-pakkett u, fl-aġġornamenti tas-sigurtà, ġeneralment jelenka n-numri CVE li ġew irranġati.
Fejn jinsabu l-changelogs
Kull format ta' pakkett għandu l-post tiegħu. Din il-ħarsa ġenerali tgħinek tasal malajr fil-post it-tajjeb.
| Sistema | Post tal-changelog | Kmand biex tfittex |
|---|---|---|
| Debian, Ubuntu | /usr/share/doc/<paket>/changelog.Debian.gz |
zgrep |
| Debian, Ubuntu (online) | Arkivju tal-pakketti tad-distribuzzjoni | apt changelog <paket> |
| RHEL, AlmaLinux, Rocky, Fedora | Database tal-pakketti RPM | rpm -q --changelog <paket> |
| Images tal-container | fl-image, bħal fis-sistema bażi | Esegwixxi l-kmand fil-container |
Taħt Debian u Ubuntu d-direttorju tad-dokumentazzjoni ta' xi pakketti binarji jirreferi permezz ta' link simboliku lejn pakkett komuni, pereżempju php8.3-common. Jekk zgrep ma jsibx il-fajl, ħares lejn id-direttorju b'ls -l /usr/share/doc/ | grep php.
Iċċekkja CVE fil-changelog: kif tipproċedi
Il-kmandi li ġejjin jaqraw biss. Adattaw l-ismijiet tal-pakketti għall-installazzjoni tagħkom.
# Debian/Ubuntu: lokali, mingħajr netwerk
zgrep -n -E "CVE-2026-10961[89]|CVE-2026-115560" /usr/share/doc/php8.3-common/changelog.Debian.gz
# Debian/Ubuntu: linja tar-ras tal-aħħar daħla bl-istat tal-pakkett u d-data
zcat /usr/share/doc/php8.3-common/changelog.Debian.gz | head -20
# Familja RHEL: daħla bid-data u l-istat tal-pakkett
rpm -q --changelog php-common | grep -n -B3 -E "CVE-2026-10961[89]"
Taħt Debian u Ubuntu l-istat tal-pakkett jinsab fil-linja tar-ras ta' kull daħla, id-data fil-linja tat-tmiem. Taħt RPM it-tnejn jinsabu fil-linja fuq id-daħliet. Hekk tara mhux biss jekk is-CVE hijiex imsemmija, imma wkoll b'liema stat tal-pakkett. Qabbel dan l-istat ma' dak installat, pereżempju b'dpkg-query -W jew rpm -q. Jekk it-tnejn jaqblu, il-korrezzjoni tinsab fil-pakkett li qed jaħdem.
Pakketti tal-panel u containers
Il-panels tal-hosting iġibu pakketti proprji ta' PHP, pereżempju Plesk jew cPanel. Dawn ukoll huma pakketti DEB jew RPM tas-soltu, u l-changelog tagħhom jista' jinqara bl-istess għodod. Jekk il-fornituri jsemmux fih in-numri CVE jew biss il-verżjoni l-ġdida ta' PHP, jvarja. Jekk il-pakkett isemmi l-verżjoni upstream 8.5.12, 8.4.27, 8.3.36 jew 8.2.35, dan huwa biżżejjed bħala prova; fil-każ ta' backports b'numru qadim għandkom bżonn l-informazzjoni tal-fornitur.
Fil-każ ta' containers il-prova tappartjeni għall-image, mhux għall-host. Iċċekkjaw il-pakketti fl-image li minnu beda l-container li qed jaħdem, u żommu wkoll l-image digest. Hekk aktar tard jista' jiġi ssegwit liema stat tassew kien qed jaħdem, anke jekk l-image bejn dan il-ħin ġie mibni mill-ġdid taħt l-istess tag.
Meta s-CVE tonqos mill-changelog
Daħla nieqsa jista' jkollha diversi kawżi. Ikkontrollawhom f'din is-sekwenza:
- Fittixt fil-pakkett żbaljat: Meta fuq server hemm diversi fergħat jew sorsi ta' PHP, ir-risposta spiss tinsab fil-changelog ta' pakkett ieħor.
- Verżjoni upstream minflok CVE: Jekk is-sors iwassal il-verżjoni upstream l-ġdida, pereżempju 8.4.27, fil-changelog jista' jkun hemm biss „New upstream version“. Imbagħad in-numru tal-verżjoni nnifsu huwa l-prova, għax php.net isemmi l-verżjonijiet 8.5.12, 8.4.27, 8.3.36 u 8.2.35 bħala rranġati.
- Formulazzjoni differenti: Xi maintainers isemmu numri ta' bugs jew identifikaturi ta' avviżi bħal GHSA-w8hw-w9fx-j79w u GHSA-6wmf-4rv5-p3rp minflok is-CVE.
- Paragun mal-avviż tas-sigurtà: Jekk l-avviż uffiċjali tad-distribuzzjoni tagħkom, pereżempju USN jew id-Debian Security Tracker, isemmi stat korrett tal-pakkett, u dak jew stat iktar ġdid huwa installat, dan ukoll huwa prova. Għal Debian u Ubuntu issibu l-istati fl-artikolu Il-pakkett PHP tiegħi huwa ppatchjat?, għall-familja RHEL taħt RHEL, AlmaLinux u Rocky Linux.
- Staqsu lill-fornitur: Fil-każ ta' pakketti tal-panel, builds tal-hoster jew sorsi ta' terzi jgħin biss tweġiba bil-miktub. Mudell joffru l-gwida Staqsi lill-hoster dwar l-istat tal-patch.
Jekk wara dawn il-passi ma jibqa' l-ebda dokument, ittrattaw is-server bħala mhux ippatchjat u applikaw miżuri temporanji sakemm il-mistoqsija tiġi ċċarata.
Mir-riżultat sal-prova
Riżultat fil-changelog jippruvaw li l-pakkett fih il-korrezzjoni. Ma jippruvax li l-proċessi li qed jaħdmu qed jużawha. Prova kompluta għalhekk fiha ħames dettalji għal kull server u installazzjoni ta' PHP:
- Server, fergħa ta' PHP u mod ta' tħaddim, pereżempju PHP-FPM jew mod_php
- stat installat tal-pakkett u sors tal-pakkett
- post ta' sejba fil-changelog jew referenza għall-avviż uffiċjali tas-sigurtà
- mument tal-aġġornament u ħin tal-bidu tal-proċessi ta' PHP li qed jaħdmu
- isem il-persuna li għamlet il-verifika u d-data tal-verifika
Aħżnu l-output mhux imfassal tal-kmandi bħala fajl tat-test ħdejn il-prova. Aktar tard huwa aktar faċli li jiġi segwit milli sommarju mill-memorja.
Prova twieġeb biss il-mistoqsija jekk il-vulnerabbiltà kinitx magħluqa minn mument ċertu. Għaż-żmien qabel għandkom bżonn il-logs mill-20 ta' Ottubru 2026 'il quddiem u, jekk meħtieġ, tiftix tat-traċċi. Il-proċedura ġenerali tal-verifika tal-verżjoni tiddeskriviha l-paġna Kif tivverifika sew il-verżjoni ta' PHP u l-istat tal-patch.
Kif tgħin PHP SOS b'mod konkret?
- Infittxu fil-changelogs tal-pakketti kollha ta' PHP fuq is-servers tagħkom u nqabbluhom mal-avviżi uffiċjali tas-sigurtà.
- Fejn il-changelogs jibqgħu siekta, niċċaraw l-istat mad-distribuzzjoni, mal-fornitur tal-panel jew mal-hoster.
- Niċċekkjaw li l-proċessi li qed jaħdmu reġgħu inbdew wara l-aġġornament.
- Bil-Patch Service ta' PHP tirċievu l-prova għal kull server f'forma li tista' tgħaddu lil terzi.
Mistoqsijiet frekwenti
Għaliex il-verżjoni ta' PHP ma tkunx biżżejjed bħala prova?
Ħafna distribuzzjonijiet jieħdu korrezzjonijiet tas-sigurtà bħala backport mingħajr ma jbiddlu l-verżjoni ta' PHP. In-numru tal-verżjoni mbagħad ma jgħid xejn dwar il-patch. Il-changelog tal-pakkett installat, min-naħa l-oħra, isemmi n-numri CVE li ġew irranġati.
X'ifisser jekk is-CVE ma tidhirx fil-changelog?
Jista' jfisser li l-korrezzjoni qed tonqos. Imma jista' jkun ukoll li l-maintainer tal-pakkett iformula b'mod differenti, pereżempju b'numru ta' bug jew bil-verżjoni upstream. Imbagħad qabblu l-istat tal-pakkett mal-avviż uffiċjali tas-sigurtà jew staqsu lill-fornitur.
Kemm żmien għandi nżomm il-prova?
Sakemm tkun tista' tkun rilevanti għal verifiki interni, għall-assiguraturi jew għal mistoqsijiet possibbli dwar il-protezzjoni tad-data. Aħżnuha flimkien mal-logs mill-20 ta' Ottubru 2026 'il quddiem. Termini konkreti ċarrhom mal-uffiċjal tal-protezzjoni tad-data jew mal-konsulent legali.
Nista' nivverifika l-changelog anke mingħajr aċċess għall-internet?
Iva. Debian u Ubuntu jaħżnu l-changelog ta' kull pakkett lokalment taħt /usr/share/doc, is-sistemi RPM jaħżnuh fid-database tal-pakketti. It-tnejn jistgħu jinqraw mingħajr netwerk.