Fil-qosor: Il-vulnerabbiltajiet tas-sigurtà f'PHP jiġu rrapportati b'mod kunfidenzjali, preferibbilment permezz tal-formola privata ta' advisory fir-repository GitHub php/php-src, inkella lil security@php.net. L-iżviluppaturi ta' PHP jikklassifikaw is-sejba bħala għolja, medja jew baxxa; żbalji gravi jiġu rranġati f'repository separat tas-sigurtà u jiġu ppubblikati biss mar-rilaxx flimkien ma' GitHub Security Advisory u ġeneralment numru CVE. F'PHP2Shell dan il-proċess ġera b'ritmu mgħaġġel: tħabbira minn qabel fl-20 ta' Ottubru 2026, patches fil-21 ta' Ottubru 2026, nota addizzjonali fit-23 ta' Ottubru 2026.
Min jieħu ħsieb is-sigurtà f'PHP?
PHP huwa proġett open source. Il-politika tas-sigurtà fil-wiki tiddeskrivih bħala proġett ta' voluntiera mingħajr baġit għal premjijiet. Għal kull verżjoni hemm release managers li huma responsabbli għall-pubblikazzjonijiet. Hemm ukoll il-PHP Foundation, li skont id-deskrizzjoni tagħha stess timpjega tim ta' żviluppaturi part-time u full-time li jaħdem fuq manutenzjoni, sigurtà u funzjonijiet ġodda ta' PHP.
Għall-kumpaniji dan ifisser: m'hemm l-ebda manifattur b'kuntratt, hotline jew ħinijiet ta' tweġiba garantiti. Min jeħtieġ impenji vinkolanti jikseb dawn mid-distribuzzjoni Linux tiegħu, mill-hoster tiegħu jew minn fornitur ta' appoġġ fit-tul, mhux mill-proġett PHP nnifsu. Din il-ktajna tal-provvista għandkom tafuha.
Kif tiġi rrapportata vulnerabbiltà
It-triq hija deskritta fil-politika tas-sigurtà fuq GitHub:
- Irrapporta: permezz tal-formola privata għal Security Advisories fir-repository
php/php-src. Min ma jistax juża dan jew irid jiddiskuti suġġett li mhuwiex rapport ta' żball, jikteb lil security@php.net. - Iddeskrivi fil-qosor: Huwa mixtieq eżempju qasir li juri ż-żball, mhux rapport twil dwar effetti possibbli. B'hekk it-tim jista' jifli aktar malajr.
- Kunfidenzjalità: Ir-rapport jibqa' privat sal-pubblikazzjoni.
- Isem: Min jirrapporta jissemma bħala kontributur skont is-sistema tal-krediti ta' MITRE.
Il-paġna eqdem tal-wiki issemmi barra minn hekk l-issue tracker klassiku bit-tip “Security”. Illum deċiżiva hija t-triq permezz ta' GitHub.
X'jikklassifika l-proġett PHP bħala vulnerabbiltà tas-sigurtà
Mhux kull ħabta hija vulnerabbiltà tas-sigurtà. Il-wiki jisma erba' kriterji: żball jippermetti azzjonijiet mhux awtorizzati, jaqbeż konfini tas-sigurtà, jiftaħ aċċess għal data barranija jew jippreġudika serjament id-disponibbiltà jew il-prestazzjoni. Il-klassifikazzjoni ssir fi tliet livelli:
| Livell | Tifsira skont il-politika | Numru CVE |
|---|---|---|
| Għoli | Terzi jistgħu jikkompromettu l-biċċa l-kbira tal-installazzjonijiet, jeżegwixxu kodiċi jew jaqraw fajls | ġeneralment iva |
| Medju | effett simili, imma biss f'kundizzjonijiet aktar rari, pereżempju estensjoni jew konfigurazzjoni rari | l-aktar iva |
| Baxx | teoretikament possibbli, fil-prattika diffiċli ħafna biex jiġi sfruttat | l-aktar le |
Daqstant għaliex tinstruwixxi hija l-lista ta' dak li espliċitament mhuwiex vulnerabbiltà tas-sigurtà: kodiċi malizzjuż li jiġi eżegwit apposta, evażjonijiet ta' open_basedir u disable_functions, inputs malizzjużi għal unserialize(), l-użu ta' FFI u waqfien ordinarju minħabba memorja fejn memory_limit jaħdem u t-talba kurrenti biss tintemm. Għall-operaturi dan ifisser: disable_functions huwa tishiħ utli, imma mhuwiex ħajt protettiv.
Mill-korrezzjoni għall-pubblikazzjoni
Korrezzjonijiet għal vulnerabbiltajiet għoljin u medji, skont il-wiki, jiddaħħlu f'repository separat tas-sigurtà qabel jinħoloq ir-rilaxx. Żbalji klassifikati baxxi jaħdmu bħal korrezzjonijiet normali ta' żbalji. Il-vulnerabbiltà tiġi ppubblikata skont il-prinċipju tad-divulgazzjoni responsabbli: l-ewwel il-korrezzjoni, imbagħad id-dettalji. Ir-rilaxxi, skont il-wiki, ġeneralment joħorġu nhar il-Ħamis, spiss bħala parti mill-pubblikazzjonijiet regolari ta' kull xahar.
Mar-rilaxx joħroġ GitHub Security Advisory b'identifikatur proprju (GHSA) u grad ta' gravità. Fir-repository, pereżempju, fl-24 ta' Settembru 2026 dehru diversi advisories dwar stream wrappers, FastCGI u filtri b'gradi ta' gravità minn baxx sa għoli. Il-pakketti sors fuq php.net jiġu offruti bi checksums SHA-256 u firem GPG tar-release managers; it-tags ta' Git huma ffirmati. Liema fergħat tal-verżjonijiet għadhom jirċievu korrezzjonijiet tas-sigurtà turi l-paġna dwar il-verżjonijiet ta' PHP u ċ-ċiklu tar-rilaxxi.
PHP2Shell bħala eżempju ta' każ serju
PHP2Shell juri kif il-proċess jaħdem taħt pressjoni:
- 20 ta' Ottubru 2026: php.net iħabbar rilaxx kritiku tas-sigurtà għall-21 ta' Ottubru 2026 fl-14:00 UTC u jżomm id-dritt li jippubblika qabel jekk id-dettalji jsiru pubbliċi jew jidhru attakki. Skont diversi rapporti, id-dettalji fil-fatt saru magħrufa qabel it-tmiem tal-perjodu ta' embargo; l-isfond jixħtu dawl fuqu Għaliex il-vulnerabbiltà ta' PHP saret magħrufa qabel il-patch.
- 21 ta' Ottubru 2026: Joħorġu PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, flimkien mal-advisories GHSA-w8hw-w9fx-j79w (CVE-2026-109618) u GHSA-6wmf-4rv5-p3rp (CVE-2026-109619), it-tnejn klassifikati bħala kritiċi. Skont php.net, id-distribuzzjonijiet Linux u l-fornituri ta' appoġġ fit-tul kienu rċevew il-korrezzjonijiet minn qabel. Għal 7.4, 8.0 u 8.1 hemm backports minimi.
- 23 ta' Ottubru 2026: Nota informattiva dwar CVE-2026-115560 tirrakkomanda
session.upload_progress.enabled=0; l-advisory sħiħ jiġi mar-rilaxx li jmiss.
X'jikkonkludu l-operaturi minn dan
- Issieħbu mas-sorsi: php.net, l-advisories GitHub ta'
php/php-srcu l-avviżi tas-sigurtà tad-distribuzzjoni tagħkom. - Kunu jafu l-ktajna tal-provvista: Min jipprovdi l-pakkett PHP tagħkom, u kemm malajr jaslu hemmhekk il-backports?
- Ippjanaw it-twieqi taż-żmien: Rilaxxi kritiċi jistgħu jiġu barra mir-ritmu tas-soltu; tieqa għall-patches trid tkun possibbli fil-qosor.
- Ippjanaw ir-restart: Aġġornament jaħdem biss meta l-proċessi kollha ta' PHP ikunu tnedew mill-ġdid.
- Żommu l-evidenza: Iddokumentaw il-verżjoni, l-istat tal-pakkett u l-mument.
Kif jgħin PHP SOS konkretament?
Bis-Servizz ta' patch għal PHP nieħdu f'idejna l-parti li tappartjeni lilkom:
- Insegwu l-avviżi: Nosservaw php.net, l-advisories u l-avviżi tad-distribuzzjonijiet u nevalwaw jekk is-sistemi tagħkom humiex affettwati.
- Napplikaw il-patch: Aġġornament mis-sors xieraq, restart tal-proċessi kollha, kontroll tal-verżjoni li taħdem.
- Nassiguraw it-tranżizzjoni: Fejn l-aġġornament jibqa' mdendel, napplikaw il-miżuri temporanji uffiċjali.
- Niddokumentaw: Tirċievu evidenza b'verżjonijiet, stati tal-pakketti u mumenti.
Mistoqsijiet frekwenti
Kif tirrapporta vulnerabbiltà tas-sigurtà f'PHP?
Preferibbilment permezz tal-formola privata għal Security Advisories fir-repository GitHub php/php-src. Min ma jistax juża dan, jikteb lil security@php.net. Ir-rapport jibqa' kunfidenzjali sal-pubblikazzjoni.
Il-proġett PHP iħallas premju għall-vulnerabbiltajiet misjuba?
Le. Skont il-politika tas-sigurtà PHP huwa proġett ta' voluntiera mingħajr flus għal bug bounties. Min jirrapporta, madankollu, jissemma bħala kontributur.
Evażjoni ta' disable_functions hija vulnerabbiltà tas-sigurtà?
Skont il-politika tal-proġett PHP le. Evażjonijiet ta' open_basedir u disable_functions ma jitqisux problema tas-sigurtà ta' PHP. L-issettjar huma tishiħ, imma mhumiex konfini affidabbli tas-sigurtà.
Fejn insir naf b'vulnerabbiltajiet ġodda tas-sigurtà ta' PHP?
Fuq il-paġna ewlenija ta' php.net bl-avviżi tar-rilaxxi u fis-Security Advisories tar-repository GitHub php/php-src. Min jieħu PHP mid-distribuzzjoni jsegwi wkoll l-avviżi tas-sigurtà tagħha.
Għaliex PHP2Shell ġie ppubblikat nhar il-Erbgħa?
Skont il-wiki, ir-rilaxxi ġeneralment joħorġu nhar il-Ħamis. Għal PHP2Shell php.net ħabbar fl-20 ta' Ottubru 2026 rilaxx tas-sigurtà għall-Erbgħa, 21 ta' Ottubru 2026, 14:00 UTC, u żamm id-dritt li jippubblika qabel jekk id-dettalji jsiru pubbliċi.