# Tneħħija tal-malware u tal-webshells mill-websajt

> Tneħħija tal-malware mill-websajt: insibu webshells u backdoors, innaddfu minn sorsi nodfa u nagħlqu l-bieb tad-dħul b'mod permanenti għas-sigurtà tagħkom.

Sors: https://phpsos.de/mt/leistungen/malware-entfernung/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Jekk tixtiequ li l-malware jitneħħa mill-websajt tagħkom, ma jkunx biżżejjed li jitħassru fajls individwali. L-ewwel insalvaw is-sejba, insibu webshells, backdoors u kompiti moħbija, nibnu mill-ġdid minn sorsi affidabbli u nagħlqu l-bieb tad-dħul. Biss imbagħad it-tindif ikun jista' jiġi fdat.

## Kif tagħrfu l-malware fuq il-websajt

Kodiċi malizzjuż fuq websajts ta' spiss jinnota biss indirettament. Tipiċi huma rindirizzamenti lejn paġni barranin, kontenut tal-ispam li jidher biss lill-magni tat-tiftix jew lill-apparati mobbli, twissija ta' Google fir-riżultat tat-tiftix, ilmenti mill-klijenti jew blokk mill-hoster minħabba ibgħat ta' spam. Fuq is-server jidhru fajls mhux magħrufa tal-PHP, kontijiet ġodda ta' amministratur, fajls `.htaccess` mibdula jew cronjobs mhux spjegati.

Wara PHP2Shell tiżdied tħassib ieħor: permezz ta' CVE-2026-109618 u CVE-2026-109619 l-attakkanti jistgħu jesegwixxu kodiċi mingħajr login. Ma hemm ebda Indicators of Compromise ippubblikati u kkonfermati; is-skoperta tistrieħ fuq analiżi tal-imġiba. Kif jidhru tipikament il-webshells u fejn jinsabu jiddeskrivih [Kif tagħrfu u tneħħu l-webshells](https://phpsos.de/mt/ratgeber/webshell-erkennen/).

## Tneħħija tal-malware mill-websajt: għaliex il-bir-reqqa hu aktar importanti mill-ħeffa

L-attakkanti rarament iħallu fajl wieħed biss. Normalment ikun hemm diversi backdoors f'postijiet differenti: f'folders tal-upload, f'plugins jew themes, f'must-use plugins, fid-database, f'cronjobs jew f'kontijiet addizzjonali ta' utenti. Jekk jitħassar biss l-aktar fajl evidenti, il-kodiċi malizzjuż jirritorna.

Fl-istess ħin l-istat infettat huwa evidenza. Min inaddaf bla ħsieb jitlef il-possibbiltà li jistabbilixxi jekk data tal-klijenti ġietx affettwata. Għalhekk insalvaw qabel kull bidla. Dan jieħu ftit ħin u jżomm miftuħa l-għażliet kollha, anke notifika aktar tard lill-awtorità superviżorja jew lill-assikuratur.

> **Importanti:**
> Aġġornament ta' PHP jew tas-CMS ma jneħħix software malizzjuż li diġà jinsab fuq is-server. U websajt imnaddfa terġa' tiġi infettata sakemm il-bieb tad-dħul jibqa' miftuħ.

## Fejn jinħeba tipikament il-kodiċi malizzjuż

Il-postijiet li ġejjin niċċekkjawhom f'kull tindif, għax fil-prattika jiġu affettwati kontinwament:

| Post | Sejba tipika |
|---|---|
| Folders tal-upload | fajls tal-PHP b'ismijiet li jidhru innoċenti jew moħbija bħala immaġini |
| Plugins, themes, moduli | fajls addizzjonali jew fajls oriġinali mibdula |
| Konfigurazzjoni | linji mdaħħla f'`.htaccess`, `.user.ini` jew fil-fajls tad-dħul |
| Database | kontijiet barranin ta' amministratur, skripts fil-kontenut jew fl-għażliet |
| Sistema | cronjobs, ċwievet SSH addizzjonali, proċessi mingħajr skop rikonoxxibbli |
| Caches u folders temporanji | kopji tal-kodiċi malizzjuż li jerġgħu jidhru wara t-tħassir |

Importanti hu l-kuntest: sejba waħda rarament tispjega l-inċident kollu. Biss l-istampa sħiħa turi kif aġixxa l-attakkant u jekk ħa kredenzjali miegħu.

## Kif tgħin PHP SOS b'mod konkret?

1. **Insalvaw:** Noħolqu kopja tal-fajls, tad-database u tal-logs fl-istat infettat. Tibqa' disponibbli għal evalwazzjoni aktar tard.
2. **Infittxu:** Inqabblu l-fajls tal-programm mal-oriġinali tal-manifattur, niċċekkjaw il-folders tal-upload għal kodiċi eżegwibbli, infittxu fid-database, fil-cronjobs, fil-kontijiet tal-utenti u fil-konfigurazzjoni tas-server. Għal ambjenti ta' WordPress naġixxu kif deskritt f'[Kif issib backdoors f'WordPress](https://phpsos.de/mt/ratgeber/backdoor-wordpress-finden/).
3. **Innaddfu:** Il-qalba, l-estensjonijiet u t-themes nerġgħu ninstallawhom minn sorsi affidabbli, minflok ma ntaffu fajls suspettużi wieħed wieħed. Il-kontenut proprju u l-uploads niċċekkjawhom separatament u nieħdu biss dak li huwa bla periklu.
4. **Nagħlqu l-kawża:** Nipatchjaw PHP u l-applikazzjoni, ineħħu kontijiet barranin u nibdlu l-kredenzjali u ċ-ċwievet kollha li l-attakkant seta' ra.
5. **Kontroll sussegwenti:** Wara t-tindif nosservaw il-websajt għal bidliet ġodda u ngħinukom biex twissija ta' Google tiġi vverifikata permezz tas-Search Console. Aktar dwar dan f'[Tneħħija ta' twissija ta' Google](https://phpsos.de/mt/ratgeber/google-warnung-entfernen/).

Għall-amministraturi, l-ewwel ħarsa mingħajr riskju lejn fajls tal-PHP mibdula riċentement:

```bash
# Fajls tal-PHP fid-direttorju tal-web li nbidlu fl-aħħar 10 ijiem
find /var/www -type f -name "*.php" -mtime -10 -printf "%TY-%Tm-%Td %TH:%TM %p\n" | sort
```

Ir-riżultat huwa indikazzjoni, mhux prova: l-attakkanti jistgħu jibdlu l-timestamps.

## X'tirċievu u x'għandna bżonn

Tirċievu rapport bil-komponenti malizzjużi misjuba u l-post fejn instabu, il-miżuri ta' tindif, il-lista tal-kredenzjali mibdula u l-bieb probabbli tad-dħul. Aħna nifirdu b'mod ċar dak li huwa ppruvat, dak li huwa probabbli u dak li mhux magħruf.

Minnkom għandna bżonn:

- **aċċess** għas-server jew għall-panel tal-hosting, għall-backend tas-CMS u għad-database
- **persuna ta' kuntatt** li tista' tapprova l-bidla tal-passwords u t-tfajjar
- **informazzjoni** dwar l-aġenzija, l-żviluppatur jew il-hoster u dwar adattamenti proprji tas-sistema
- **backups eżistenti** bid-data, biex nevalwaw liema stat jista' jkun nadif
- **aċċess għall-Google Search Console**, jekk tintwera twissija

## X'ma nwiegħdux

Ma nwiegħdux li kull backdoor fuq kull sistema tinstab b'mod żgur meta l-logs jonqsu jew l-infezzjoni sseħħet żmien twil ilu. Meta s-sitwazzjoni mhix ċara nirrakkomandaw bini mill-ġdid fuq server frisk, li fuqu jitqiegħed biss kontenut ivverifikat. Dan jieħu aktar xogħol, imma ħafna drabi huwa t-triq l-aktar affidabbli. Lanqas ma nbassru meta Google jew servizzi oħra jneħħu twissija; dan jiddeċiduh dawk il-fornituri.

Jekk ikun meħtieġ li jiġi ċċarat b'mod li jiflaħ quddiem il-qorti x'ġara eżattament u liema data ġiet affettwata, ninvolvu l-[forensika tal-IT](https://phpsos.de/mt/leistungen/it-forensik/) ma' msieħba speċjalizzati. F'attakk akut li għadu għaddej, ix-xogħol jibda bl-[għajnuna ta' emerġenza għal websajt hackjata](https://phpsos.de/mt/leistungen/website-gehackt-notfallhilfe/).


## Mistoqsijiet frekwenti

**Plugin ta' scanner tal-malware huwa biżżejjed biex tinnaddaf il-websajt tiegħi?**  
Scanner isib mudelli magħrufa, imma mhux kull backdoor. Il-webshells spiss ikunu moħbija, jinsabu fi ħdan immaġini, caches jew id-database jew ikunu ankrati bħala cronjob. Scanner huwa għodda ta' appoġġ, mhux tindif sħiħ.

**Nista' sempliċement nerġa' nqiegħed backup qadim?**  
Biss jekk ikun żgur li l-backup inħoloq qabel id-dħul u jekk wara jiġi mgħolli l-bieb tad-dħul. Inkella l-websajt tkun nadifa għal ftit żmien u terġa' tiġi infettata bl-istess mod.

**Għaliex il-malware dejjem jerġa' jidher wara t-tħassir?**  
Ġeneralment hemm backdoor oħra, cronjob, kont ta' amministratur immanipulat jew il-vulnerabbiltà għadha miftuħa. Biss meta jinstabu l-mekkaniżmi kollha ta' persistenza u titneħħa l-kawża, it-tindif jibqa' f'postu.

**Aġġornament ta' PHP jneħħi malware eżistenti?**  
Le. Patch jagħlaq il-vulnerabbiltà, imma ma jneħħix software malizzjuż li jkun diġà ddaħħal. It-tnejn huma passi ta' xogħol separati.

## Sorsi

- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)
- [Għajnuna ta' Google Search Console](https://support.google.com/webmasters/)
- [php.net: Avviżi tas-sigurtà](https://www.php.net/)