Fil-qosor: Għand fornituri cloud u PaaS mhuwiex awtomatikament il-fornitur li jippatcja. Jekk jamministra r-runtime ta' PHP, jaġġornah, imma ta' spiss biss mad-deployment li jmiss. Jekk tibni images jew builds int jew iħaddem il-pjattaforma int, trid terġa' tibni u terġa' tpoġġi. Dejjem jgħodd ir-runtime li l-websajt tiegħek bħalissa qed tuża biex iservi.
Aġġornament ta' PHP fuq PaaS: lil min jappartjeni r-runtime?
Servizzi ta' pjattaformi, fil-ġargon PaaS (Platform as a Service), jeħdu mill-kumpaniji t-tħaddim tas-servers. Inti tgħabbi l-kodiċi, il-pjattaforma tibnih u taħdmu. F'PHP2Shell minn dan toħroġ inċertezza tipika: min fil-fatt għandu jaġġorna PHP?
Vercel jesprimiha fil-bulletin tiegħu dwar PHP2Shell: aġġornament tal-ambjent lokali tal-iżvilupp, tal-kodiċi tal-applikazzjoni jew tal-plugins mhuwiex biżżejjed. Jgħodd ir-runtime ta' PHP tad-deployment li verament iwieġeb it-talbiet. Jekk dan ir-runtime huwiex ippatchjat jiddependi minn min jipprovdih u meta nbena l-aħħar.
Erba' mudelli ta' operat imqabbla
L-ismijiet tal-fornituri jvarjaw. Għall-mistoqsija tal-patch il-biċċa l-kbira tal-offerti jistgħu jiġu assenjati lil wieħed minn dawn il-mudelli:
| Mudell | Min jaġġorna PHP? | X'trid tagħmel |
|---|---|---|
| Runtime amministrat mill-fornitur | Il-fornitur | Ikseb konferma, jekk meħtieġ erġa' agħmel deployment biex ir-runtime il-ġdid jidħol fis-seħħ |
| Runtime bbażat fuq build (buildpack) | Il-fornitur jipprovdi verżjoni ġdida, il-build tiegħek jiffissaha | Attiva build ġdid, iċċekkja l-verżjoni fil-protokoll tal-build |
| Image tal-container proprju | Int | Erġa' ibni l-image b'PHP rranġat u poġġih mill-ġdid |
| Pjattaforma mħaddma minnek | Int, għall-pjattaforma u l-applikazzjonijiet | Ippatcja l-pjattaforma u kull applikazzjoni individwalment |
Ħafna kumpaniji jużaw diversi mudelli fl-istess ħin, pereżempju runtime amministrat għall-websajt u containers proprji għal għodod interni. Kull applikazzjoni għalhekk teħtieġ tweġiba proprja.
Hemm lazz moħbi fil-kelma „amministrat“. Anke jekk il-fornitur iżomm ir-runtime, applikazzjoni diġà mqiegħda spiss tkompli taħdem bl-istat li bih inbniet. Il-verżjoni l-ġdida tidħol fis-seħħ allura biss mal-build jew deployment li jmiss. Xi pjattaformi jżommu barra minn hekk deployments eqdem jew ambjenti ta' preview aċċessibbli taħt indirizzi proprji. Għalhekk tistaqsix biss jekk il-fornitur ippatchjax, imma wkoll minn meta l-istanzi tiegħek li qed jaħdmu jużaw il-patch u x'jiġri bid-deployments qodma.
X'jgħidu Vercel u Coolify dwar PHP2Shell
Żewġ fornituri għamlu pubbliċi l-indikazzjonijiet tagħhom. Huma tagħlim tajjeb, għax isemmu b'mod ċar il-limiti tal-miżuri ta' protezzjoni proprji.
Vercel, skont il-bulletin tiegħu, qabel il-pubblikazzjoni attivat regoli ta' protezzjoni fil-Web Application Firewall (WAF) tiegħu, filtru għal talbiet tal-web. Japplikaw awtomatikament għal funzjonijiet ta' PHP fuq Vercel u għal talbiet li Vercel jgħaddi lil servers esterni ta' PHP. Fl-istess ħin Vercel jitlob li r-runtime ta' PHP jiġi aġġornat minnufih għal verżjoni rranġata. Deployments ta' containers għandhom jinbnew mill-ġdid u jitqiegħdu b'image bażi aġġornat ta' PHP. Talbiet li jevitaw Vercel u jmorru direttament lejn server estern ta' PHP, il-WAF ma tkoprihomx.
Coolify, pjattaforma li tista' tħaddem int stess, skont l-advisory proprju kienet hi stess affettwata: il-fergħat kollha tal-verżjoni 4. Bħala l-ewwel stati rranġati Coolify isemmi 4.0.1, 4.1.3, 4.2.1, 4.3.24 u 4.4.7 u jirrakkomanda 4.4.7. Importanti hija l-addizzjoni: l-aġġornament ta' Coolify ma jaġġornax l-applikazzjonijiet ta' PHP li tħaddem permezz tiegħu. Ir-runtimes jew l-images tagħhom trid taġġornahom separatament u terġa' tibni jew terġa' tpoġġi. Skont Coolify dan japplika wkoll għal klijenti ta' Coolify Cloud u wkoll wara Cloudflare, għax ir-regoli ta' Cloudflare jiċċekkjaw biss it-traffiku li jgħaddi minn Cloudflare.
X'jagħmlu r-regoli ta' Cloudflare jikklassifikah l-artikolu Regoli ta' protezzjoni ta' Cloudflare kontra PHP2Shell.
Kif tivverifika r-runtime li qed iservi
Il-passi li ġejjin jaħdmu indipendentement mill-fornitur. Jimmiraw lejn prova, mhux lejn sensazzjoni.
- Elenka l-ambjenti kollha: produzzjoni, staging, deployments ta' preview u servizzi fl-isfond bħal queue workers. Kull ambjent jista' jkollu runtime differenti.
- Aqra l-verżjoni tar-runtime għal kull ambjent: fil-console tal-fornitur, fil-protokoll tal-build jew fil-fajl tal-konfigurazzjoni tal-proġett.
- Iċċekkja d-data tal-aħħar deployment: jekk tkun qabel il-21/10/2026, bi probabbiltà għolja għadu jaħdem ir-runtime l-qadim, sakemm il-fornitur ma jikkonfermax b'mod espliċitu xi ħaġa oħra.
- Ħares fl-istanza li qed taħdem: jekk il-pjattaforma toffri console, il-kmand li ġej juri l-verżjoni tal-istanza.
- Inkludi servers esterni ta' PHP: servers li lejhom il-pjattaforma tgħaddi talbiet jeħtieġu aġġornament proprju u m'għandhomx jintlaħqu direttament mill-internet.
# Fil-console tal-istanza li qed taħdem (jekk offrut mill-fornitur)
php -v
php -r 'echo PHP_VERSION, " ", PHP_SAPI, PHP_EOL;'
Mistennija huma 8.5.12, 8.4.27, 8.3.36 jew 8.2.35 jew backport ikkonfermat mill-fornitur. Innota li l-linja tal-kmand ta' istanza mhux dejjem tuża l-istess runtime bħall-proċess tal-web. Għall-verifika tagħmilx fajl phpinfo aċċessibbli pubblikament. Kif tinterpreta sew in-numru tal-verżjoni u l-istat tal-backport tiddeskrivih Kif tivverifika l-verżjoni ta' PHP u l-istat tal-patch.
Deployment ġdid ma jneħħix softwer malizzjuż li qabel daħal f'ħażniet persistenti bħal volumes tal-upload jew id-database. Dawn l-oqsma ivverifikahom separatament.
Aħżen ir-responsabbiltà bil-miktub
PHP2Shell juri kemm spiss hija mhux ċara l-fruntiera bejn il-pjattaforma u l-klijent. Għal kull applikazzjoni aħżen min jipprovdi r-runtime, min jibni mill-ġdid f'każ ta' avviżi tas-sigurtà u kif il-fornitur jaħabbar il-patches. Dan jinkludi min għandu aċċess għall-console tal-pjattaforma meta jkun urġenti, u min barra mill-ħinijiet tax-xogħol jista' jattiva build ġdid.
Għad-dokumentazzjoni proprja hija biżżejjed tabella qasira għal kull applikazzjoni: pjattaforma, mudell ta' operat, fergħa ta' PHP, data tal-aħħar build, persuna responsabbli. Min għandu din il-lista f'idejh fl-avviż li jmiss jiffranka l-jiem li ħafna timijiet qattgħu jfittxu wara l-21 ta' Ottubru. Fil-każ ta' applikazzjonijiet f'containers jappartjeni wkoll min iżomm l-image bażi; l-isfond jispjegah PHP fil-containers.
Għal servers amministrati mingħajr karattru ta' PaaS japplikaw mistoqsijiet simili, li miġbura taħt Server amministrat: iċċara r-responsabbiltà.
Kif tgħin PHP SOS b'mod konkret?
- Nassenjaw: Nassenjaw kull waħda mill-applikazzjonijiet tagħkom lil mudell ta' operat u niċċaraw min jipprovdi r-runtime ta' PHP.
- Nippruvaw: Niċċekkjaw ir-runtime, id-data tal-build u d-deployment għal kull ambjent u niddokumentaw ir-riżultat.
- Nerġgħu nibnu u npoġġu: Permezz tal-Patch Service ta' PHP naġġornaw images u builds u npoġġuhom b'mod ikkontrollat.
- Nagħlqu l-lakuni: Niċċekkjaw jekk servers esterni ta' PHP jintlaħqux direttament, u nillimitaw l-aċċess.
Mistoqsijiet frekwenti
Il-fornitur PaaS tiegħi jippatcja PHP awtomatikament?
Dan jiddependi mill-mudell. Jekk il-fornitur jamministra r-runtime, jaġġornah, imma ta' spiss biss għal deployments ġodda. Jekk tibni images jew builds int, trid terġa' tibni u terġa' tpoġġi. Itlob konferma tal-istat għall-applikazzjoni tiegħek.
Il-WAF tal-fornitur tal-pjattaforma tiegħi hija biżżejjed kontra PHP2Shell?
Le. Vercel u Coolify jiktbu espliċitament li r-regoli ta' protezzjoni ma jissostitwixxux l-aġġornament tar-runtime ta' PHP. Barra minn hekk jaħdmu biss fuq it-traffiku li jgħaddi mill-pjattaforma.
Irrid nerġa' nagħmel deployment wara l-patch?
Spiss iva. Vercel isemmi għal deployments ta' containers il-bini mill-ġdid b'image bażi aġġornat ta' PHP u deployment ġdid. Fil-pjattaformi bbażati fuq builds ir-runtime jiġi ffissat waqt il-build; biss build ġdid jieħu l-patch.
Nuża Coolify. L-aġġornament ta' Coolify huwa biżżejjed?
Le. Skont l-advisory ta' Coolify, l-aġġornament jaġġorna biss lil Coolify innifsu. Ir-runtimes ta' PHP jew l-images tal-container tal-applikazzjonijiet tiegħek trid taġġornahom separatament u terġa' tibni jew terġa' tpoġġi.