Fil-qosor: Wara PHP2Shell huma probabbli aktar rapporti dwar PHP, għax diġà jumejn wara l-patch ġie t-tielet avviż, advisory sħiħ għadu pendenti u d-distribuzzjonijiet jikkonsenjaw il-pakketti tagħhom gradwalment. Min issa jwaqqaf proċess fiss ta' osservazzjoni, valutazzjoni, aġġornament u restart jirreaġixxi għall-vulnerabbiltà li jmiss ta' PHP f'sigħat minflok f'jiem.
Il-patch ma kienx it-tmiem tal-istorja
Fil-21 ta' Ottubru 2026 il-proġett PHP għalaq iż-żewġ vulnerabbiltajiet kritiċi CVE-2026-109618 u CVE-2026-109619 bil-verżjonijiet 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Ħafna responsabbli wara poġġew marka ta' spunta. Madankollu, jumejn wara, fit-23 ta' Ottubru, segwa avviż ieħor minn php.net dwar CVE-2026-115560.
Dan it-tielet avviż jikkonċerna biss konfigurazzjoni mhux tas-soltu tas-session. Imma juri mudell magħruf minn każijiet kbar tas-sigurtà: Meta komponent f'daqqa jkun fil-ħarsa, ħafna esperti jħarsu aktar mill-qrib fl-istess ħin. Jekk minn dan jinħolqu aktar vulnerabbiltajiet, illum ħadd ma jaf. Probabbli, madankollu, li s-sitwazzjoni tal-aħbarijiet ma tinqatax.
Għalikom bħala operaturi dan ifisser: Ippjanaw rapporti ta' segwitu, minflok ma tiġu sorpriżi minn kull wieħed. Il-kors tal-avvenimenti sa issa jiġbru l-kronoloġija ta' PHP2Shell tagħna.
Għaliex aktar rapporti huma probabbli
Il-valutazzjoni li ġejja tistrieħ fuq fatti magħrufa pubblikament. Mhix previżjoni ta' vulnerabbiltajiet konkreti.
- Advisory għadu pendenti. php.net jittratta CVE-2026-115560 fiċ-ċiklu regolari tar-release u ħabbar li se jippubblika l-advisory sħiħ mar-release li jmiss. Sa dak iż-żmien
session.upload_progress.enabled=0jgħodd bħala rimedju. - Id-dettalji kienu pubbliċi kmieni. Skont diversi rapporti, id-dettalji saru magħrufa qabel it-tmiem tal-embargo. Skont rapporti, watchTowr irriproduċa CVE-2026-109618 skont dak li ddikjara hu stess. Xogħol bħal dan spiss iwassal għal mistoqsijiet ta' segwitu dwar partijiet ġirien tal-kodiċi.
- Id-distribuzzjonijiet jikkonsenjaw gradwalment. Ubuntu fil-21 ta' Ottubru ipprovda l-releases attwali b'USN-8948-1 u kkonsenja wara korrezzjonijiet għal 14.04 sa 20.04 permezz ta' Ubuntu Pro b'USN-8948-2. Red Hat kiteb fil-bulletin tiegħu li xi aġġornamenti huma disponibbli, oħrajn għaddejjin.
- Il-verżjoni tal-iżvilupp hija affettwata. Skont php.net, anke PHP 8.6.0 RC4 fiha l-korrezzjonijiet. Min jittestja verżjonijiet preliminari jrid jaġġorna wkoll dawn l-ambjenti.
- Verżjonijiet qodma jibqgħu miftuħa. Għal PHP 8.1 u eqdem hemm biss backports minimi tas-sors. Kull fornitur li jikkonsenja verżjonijiet bħal dawn jirrapporta l-istat tiegħu b'mod indipendenti u f'ħinijiet proprji.
Kif vulnerabbiltà ġdida ta' PHP tasalkom
Ir-rapporti jaslu b'modi differenti u b'affidabbiltà differenti. L-ordni hija kważi dejjem l-istess: l-ewwel il-proġett PHP, imbagħad id-distribuzzjonijiet u l-hosters, wara l-awtoritajiet u l-midja.
| Sors | X'tgħallmu hemm | Kemm huwa affidabbli |
|---|---|---|
| php.net | Fergħat affettwati, verżjonijiet irranġati, miżuri temporanji | Sors primarju |
| Ubuntu, Debian, Red Hat | Stat tal-pakketti għal kull release, mument tal-konsenja | Sors primarju għas-sistema tagħkom |
| Hosters u fornituri tal-panels | Stat tal-bini proprju ta' PHP | Vinkolanti biss jekk bil-miktub |
| BSI, CERT-Bund | Valutazzjoni tas-sitwazzjoni, livell ta' twissija, rakkomandazzjonijiet | Klassifikazzjoni uffiċjali |
| Stampa tekniċa u kumpaniji tas-sigurtà | Osservazzjonijiet ta' attakki, numri, sfond | Utli, immarkaw bħala rapport |
Importanti hija d-differenza bejn “hemm patch” u “is-sistema tiegħi għandha l-patch”. L-ewwel stqarrija tinsab fuq php.net. It-tieni trid tippruvawha intom għal kull server.
Abbonaw ir-rapporti ta' php.net u tad-distribuzzjoni tagħkom permezz ta' RSS jew lista tal-email u mexxuhom lejn kaxxa tal-posta komuni jew kanal li jaqra aktar minn persuna waħda. Btala u mard huma r-raġunijiet l-aktar frekwenti għal aġġornamenti tard.
X'għandkom tippreparaw qabel ir-rapport li jmiss
L-esperjenza minn PHP2Shell turi fejn jintilef il-ħin: fit-tiftix tas-servers, fiċ-ċarifikazzjoni tar-responsabbiltajiet u fir-restart minsi. Dan kollu jista' jsir minn qabel.
- Inventarju: Lista tas-servers u tal-websajts kollha bil-fergħa ta' PHP, il-modalità tat-tħaddim (PHP-FPM, mod_php, LiteSpeed) u s-sors tal-pakketti. Mingħajr din il-lista kull rapport jibda bit-tiftix. Kif jirnexxi dan jiddeskrivih l-artikolu Inventarju tal-websajts u s-servers kollha.
- Responsabbiltà: Għal kull sistema jkun stabbilit min jagħmel patch, min jerġa' jibda u min japprova. Mal-hosters u l-aġenziji dan jappartjeni fil-kuntratt.
- Raster ta' valutazzjoni: Tliet mistoqsijiet huma biżżejjed għall-ewwel klassifikazzjoni. Il-fergħa tagħna hija affettwata? Nużaw il-funzjoni jew il-modalità tat-tħaddim affettwata? Hemm patch jew biss miżuri temporanji?
- Triq tat-test: Ambjent ta' staging fejn aġġornament ta' PHP jista' jiġi vverifikat fi żmien qasir.
- Prova: Format fiss li fih jiġu rreġistrati l-istat tal-pakkett, il-qbil tal-changelog u l-ħin tar-restart.
Kif proċess bħal dan jaħdem bħala rutina minflok bħala azzjoni ta' emerġenza jinsab taħt Il-ġestjoni tal-patches bħala proċess. Sfond dwar kif il-proġett PHP jittratta l-vulnerabbiltajiet jipprovdi l-paġna Kif il-proġett PHP jittratta l-vulnerabbiltajiet tas-sigurtà.
Il-konfigurazzjoni proprja bħala sistema ta' twissija bikrija
Parti mir-rapporti ta' segwitu tikkonċerna biss ċerti issettjar. CVE-2026-115560 hija eżempju: php.net isemmi bħala prerekwiżit li applikazzjoni tbiddel is-serializer tas-session waqt it-tħaddim, waqt li upload progress ikun attiv. Applikazzjonijiet li qatt ma jagħmlu dan, skont php.net, mhumiex affettwati.
Min jaf il-konfigurazzjoni effettiva tiegħu jista' jikklassifika rapporti bħal dawn aktar malajr. Għalhekk irreġistraw għal kull fergħa liema valuri huma ssettjati min-naħa tas-server u liema applikazzjonijiet jistgħu jissostitwuhom. Paragun sempliċi tal-issettjar attiv diġà jgħin:
# Valuri effettivi tal-linja tal-kmand (il-konfigurazzjoni tal-web tista' tkun differenti)
php -i | grep -E "session.upload_progress.enabled|session.serialize_handler|memory_limit|post_max_size"
# Valuri ssettjati fil-pools ta' FPM (il-mogħdija tvarja skont id-distribuzzjoni)
grep -RhE "php_(admin_)?value" /etc/php/*/fpm/pool.d/ 2>/dev/null
Il-linja tal-kmand ma turix neċessarjament x'jgħodd fil-kuntest tal-web. Ċarezza jagħtu l-konfigurazzjoni tal-pool jew tal-VirtualHost u, għal ftit żmien u protett, paġna phpinfo.
Vantaġġ ieħor: Min jaf liema valuri temporanji mill-ġimgħa ta' PHP2Shell għadhom ssettjati jista' jivverifikahom bil-għaqal wara r-release regolari li jmiss. Xi issettjar, pereżempju upload progress diżattivat, jistgħu jibqgħu sensati b'mod permanenti. Oħrajn, bħal limiti stretti ħafna tal-upload, għandkom terġgħu tadattawhom għall-ħtieġa reali wara kunsens mad-dipartimenti speċjalizzati.
Kif tgħin PHP SOS b'mod konkret?
- Insegwu r-rapporti ta' php.net, tad-distribuzzjonijiet u tal-BSI u nivvalutaw avviżi ġodda għas-sistemi konkreti tagħkom.
- Nistabbilixxu magħkom l-inventarju tal-installazzjonijiet kollha ta' PHP u niddeterminaw ir-responsabbiltajiet għal kull server.
- Fil-qafas ta' kuntratt ta' manutenzjoni tas-sigurtà ninstallaw aġġornamenti, nerġgħu nibdew il-proċessi kollha u niddokumentaw l-istat.
- Għal rapporti mingħajr patch napplikaw miżuri temporanji li ma jistgħux jiġu sostitwiti u nivverifikawhom.
Mistoqsijiet frekwenti
Teżisti diġà vulnerabbiltà ġdida ta' PHP wara PHP2Shell?
Fit-23 ta' Ottubru 2026 php.net ippubblika avviż dwar CVE-2026-115560. Skont dan, eżekuzzjoni ta' kodiċi hija possibbli biss b'konfigurazzjoni mhux tas-soltu tas-session. Advisory sħiħ għandu jiġi mar-release regolari li jmiss.
Għandi nirreaġixxi minnufih wara kull rapport ġdid?
Mhux kull rapport jeżiġi l-istess urġenza. Id-deċiżivi huma s-severità, jekk il-konfigurazzjoni tagħkom hijiex affettwata u jekk patch huwiex disponibbli. Proċess stabbilit jgħin biex dan jiġi vvalutat f'minuti minflok f'jiem.
Fejn nisma' għall-ewwel dwar vulnerabbiltajiet ġodda ta' PHP?
Sorsi primarji huma r-rapporti fuq php.net u l-avviżi tas-sigurtà tad-distribuzzjoni tagħkom, pereżempju Ubuntu Security Notices, id-Debian Security Tracker jew Red Hat. Il-BSI jinforma dwar twissijiet. Rapporti tal-midja huma utli, imma spiss aktar tard u inqas eżatti.
Għaliex id-distribuzzjonijiet jirrapportaw xi drabi jiem wara php.net?
Id-distribuzzjonijiet iridu jieħdu l-korrezzjoni fil-pakketti proprji tagħhom, jibnuha u jittestjawha. Għal releases eqdem dan jista' jdum aktar jew isir biss permezz ta' offerti addizzjonali. Għalhekk jixraq li ż-żewġ sorsi jiġu segwiti separatament.