Fil-qosor: Min jixtieq li jiġi installat aġġornament ta' PHP għandu bżonn iktar minn pakketti ġodda: id-deċiżiv huma l-istat it-tajjeb tal-pakketti, ir-restart tal-proċessi kollha ta' PHP u prova li dan sar. Eżattament dan jagħti s-servizz ta' patch ta' PHP tagħna. Tirċievu prova bil-miktub għal kull server, li tistgħu tippreżentaw internament jew lil terzi.
Għaliex aġġornament ta' PHP waħdu ħafna drabi mhuwiex biżżejjed
Mill-21/10/2026 'il quddiem hemm patches għall-vulnerabbiltajiet ta' PHP2Shell CVE-2026-109618 u CVE-2026-109619. Il-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) jirrakkomanda aġġornament immedjat. Fil-prattika naraw tliet ostakli tipiċi.
L-ewwel, in-numru tal-verżjoni mhux dejjem juri l-istat veru. Id-distribuzzjonijiet u l-hosters xi kultant jinstallaw backports; allura, pereżempju, Plesk ikompli jirrapporta 8.2.34 minkejja li l-pakkett huwa ppatchjat. It-tieni, wara l-installazzjoni ħafna drabi proċessi qodma ta' PHP ikomplu jaħdmu. Fajls ġodda fuq id-disk ma jipproteġux sakemm il-workers qodma jibqgħu jaħdmu fil-memorja. It-tielet, fuq server wieħed ħafna drabi jaħdmu diversi verżjonijiet ta' PHP b'mod parallel, u waħda minnhom tintesa.
Aġġornament ta' PHP: il-verżjonijiet irranġati
| Fergħa | Irranġata minn | Stat preċedenti | Nota |
|---|---|---|---|
| PHP 8.5 | 8.5.12 | 8.5.11 | iċċekkjaw ukoll fatal_error_backtraces |
| PHP 8.4 | 8.4.27 | 8.4.26 | |
| PHP 8.3 | 8.3.36 | 8.3.35 | |
| PHP 8.2 | 8.2.35 | 8.2.34 | l-appoġġ jintemm fil-31/12/2026 |
| PHP 8.1 u eqdem | l-ebda aġġornament uffiċjali | – | biss backports minimi tal-kodiċi sors għal 7.4, 8.0, 8.1 |
Fil-każ ta' pakketti minn distribuzzjonijiet jew minn hosters ma jgħoddx in-numru wara “PHP”, imma l-istat tal-pakkett li l-fornitur jikkonferma bħala ppatchjat. Kif tivverifikawh intom stess tarawh f'Kif tivverifikaw sewwa l-verżjoni ta' PHP u l-istat tal-patches.
Kif tgħin PHP SOS b'mod konkret?
- Inventarju: Niġbru l-installazzjonijiet kollha ta' PHP fuq is-server, il-modalità tat-tħaddim (PHP-FPM, mod_php, php-cgi, FrankenPHP, LiteSpeed) u liema websajt tuża liema verżjoni.
- Installazzjoni tal-aġġornament: Ninstallaw il-verżjonijiet irranġati mis-sors tal-pakketti tad-distribuzzjoni tagħkom, tal-panel tagħkom jew tal-proġett uffiċjali. Għall-kontenituri nibnu magħkom images ġodda.
- Restart tal-proċessi kollha: Nerġgħu nibdew kompletament PHP-FPM, Apache, LiteSpeed jew il-workers rispettivi u niċċekkjaw li ebda proċess ma hu eqdem mill-aġġornament. L-isfond jinsab f'Restart ta' PHP-FPM u tal-workers kollha.
- Verifika tal-funzjonament: Nesegwixxu l-paġni u l-funzjonijiet l-aktar importanti, pereżempju l-paġna ewlenija, il-login, il-formoli u l-kaxxa, u niċċekkjaw il-logs tal-iżbalji.
- Prova: Tirċievu għal kull server protokoll bil-verżjoni, l-istat tal-pakketti, il-ħin tar-restart u l-punti miftuħa.
Pass tipiku ta' verifika wara r-restart jidher hekk:
# Verżjoni tal-PHP-CLI u tal-binarju FPM (path skont is-sistema)
php -v
php-fpm8.3 -v
# Ħin tal-bidu tal-proċessi FPM: irid ikun wara l-aġġornament
ps -o pid,lstart,cmd -C php-fpm8.3
Każijiet speċjali: panels, kontenituri u diversi verżjonijiet ta' PHP
Fuq servers b'Plesk jew cPanel il-verżjonijiet ta' PHP ħafna drabi jiġu mis-sorsi tal-pakketti tal-panel u mhux mid-distribuzzjoni. Hemmhekk niċċekkjaw kull verżjoni installata separatament, anke dawk li bħalissa mhumiex assenjati lil ebda websajt. Verżjonijiet mhux użati u skaduti nneħħuhom wara ftehim, biex ma jiġux attivati mill-ġdid bi żball.
F'ambjenti Docker u Kubernetes aġġornament fuq l-host mhuwiex biżżejjed. PHP jinsab fl-image, u biss image mibnija mill-ġdid b'bażi ppatchjata, imqassma fuq il-kontenituri kollha li qed jaħdmu, tagħlaq il-vulnerabbiltà. Niċċekkjaw ukoll jekk images eqdem għadhomx jintużaw f'registries jew deployments. Id-dettalji jinsabu f'Patching ta' PHP fil-kontenituri Docker.
B'mod_php PHP jaħdem direttament fil-proċess ta' Apache. It-tim ta' PHP jikklassifika r-riskju hemmhekk bħala l-ogħla. Wara l-aġġornament, għalhekk, Apache innifsu jrid jerġa' jinbeda kompletament; reload sempliċi tal-konfigurazzjoni mhuwiex biżżejjed f'kull każ.
X'tirċievu minna
- protokoll tal-patch għal kull server: pakketti installati, verżjonijiet, sors, ħin
- il-prova li l-proċessi kollha ta' PHP ġew mibdija mill-ġdid
- lista tal-websajts u tal-funzjonijiet vverifikati
- indikazzjonijiet ta' sistemi li ma setgħux jiġu ppatchjati, bir-raġuni
- rakkomandazzjoni għall-mod kif tkomplu, pereżempju għal PHP 8.2 minħabba t-tmiem qrib tal-appoġġ
X'għandna bżonn minnkom
- Aċċess: SSH b'drittijiet ta' amministratur jew aċċess tal-panel (Plesk, cPanel jew simili)
- Tieqa ta' manutenzjoni: meta jista' jsir restart qasir
- Persuna ta' kuntatt: għal mistoqsijiet u għall-approvazzjoni wara l-verifika tal-funzjonament
- Backups: konferma li hemm backup attwali, jew l-inkarigu li jinħoloq wieħed qabel
- Noti dwar żviluppi proprji: estensjonijiet jew konfigurazzjonijiet speċjali ta' PHP li jridu jiġu kkunsidrati
Fil-każ ta' shared hosting mingħajr aċċess proprju għas-server ma nistgħux nipatchjaw aħna stess. Allura ngħinukom nistaqsu lill-hoster il-mistoqsijiet it-tajba u nevalwaw it-tweġiba.
X'ma nwiegħdux
Is-servizz ta' patch jagħlaq il-vulnerabbiltà magħrufa. Ma jweġibx jekk is-server kienx diġà kompromess qabel l-aġġornament u ma jneħħi ebda software malizzjuż li jkun ġie ddaħħal. Jekk tixtiequ tkunu tafu dan, l-inkarigu t-tajjeb huwa l-għajnuna immedjata għal PHP2Shell bi tfittxija ta' traċċi.
Għal PHP 8.1 u eqdem m'hemmx aktar aġġornamenti uffiċjali. Hawnhekk napplikaw miżuri temporanji u nirrakkomandaw il-migrazzjoni għal verżjoni appoġġjata. Ma nagħtux wegħda ta' kompatibbiltà għas-CMS tagħkom mill-memorja, imma niċċekkjawha skont ir-rekwiżiti tas-sistema tal-manifattur.
Mistoqsijiet frekwenti
Għaliex is-server tiegħi għadu juri l-verżjoni l-antika ta' PHP wara l-aġġornament?
Jista' jkun għal żewġ raġunijiet. Jew id-distribuzzjoni installat backport, u allura n-numru tal-verżjoni jibqa' l-istess minkejja li l-pakkett huwa ppatchjat. Jew proċessi qodma ta' PHP għadhom jaħdmu fil-memorja u jeħtieġ li jerġgħu jinbdew.
Liema verżjonijiet ta' PHP jagħlqu PHP2Shell?
Il-vulnerabbiltà hija rranġata f'PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, ippubblikati fil-21/10/2026. Fil-każ ta' pakketti tad-distribuzzjonijiet jgħodd l-istat tal-pakkett li l-fornitur jikkonferma bħala ppatchjat.
L-aġġornament jista' jwaqqaf il-websajt tiegħi?
Aġġornament fl-istess verżjoni maġġuri, pereżempju minn 8.3.35 għal 8.3.36, ġeneralment mhuwiex kritiku. Madankollu jkun meħtieġ restart qasir tal-proċessi ta' PHP. Niftehmu magħkom fuq it-tieqa taż-żmien u wara niċċekkjaw il-paġni.
Bil-patch kollox jinsab f'postu?
Għall-vulnerabbiltà nnifisha iva, hekk kif il-proċessi kollha jinbdew mill-ġdid. Jekk xi ħadd kienx diġà daħal qabel il-patch, il-patch ma jurix. Għal dan ikun meħtieġ eżami separat.