# Kif il-proġett PHP jittratta l-vulnerabbiltajiet tas-sigurtà

> Kif il-proġett PHP jittratta l-vulnerabbiltajiet tas-sigurtà: rapport permezz ta' GitHub jew security@php.net, klassifikazzjoni, korrezzjoni fir-rilaxx u x'jikkonkludu l-operaturi.

Sors: https://phpsos.de/mt/php/php-sicherheitsprozess/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Il-vulnerabbiltajiet tas-sigurtà f'PHP jiġu rrapportati b'mod kunfidenzjali, preferibbilment permezz tal-formola privata ta' advisory fir-repository GitHub `php/php-src`, inkella lil security@php.net. L-iżviluppaturi ta' PHP jikklassifikaw is-sejba bħala għolja, medja jew baxxa; żbalji gravi jiġu rranġati f'repository separat tas-sigurtà u jiġu ppubblikati biss mar-rilaxx flimkien ma' GitHub Security Advisory u ġeneralment numru CVE. F'PHP2Shell dan il-proċess ġera b'ritmu mgħaġġel: tħabbira minn qabel fl-20 ta' Ottubru 2026, patches fil-21 ta' Ottubru 2026, nota addizzjonali fit-23 ta' Ottubru 2026.

## Min jieħu ħsieb is-sigurtà f'PHP?

PHP huwa proġett open source. Il-politika tas-sigurtà fil-wiki tiddeskrivih bħala proġett ta' voluntiera mingħajr baġit għal premjijiet. Għal kull verżjoni hemm release managers li huma responsabbli għall-pubblikazzjonijiet. Hemm ukoll il-PHP Foundation, li skont id-deskrizzjoni tagħha stess timpjega tim ta' żviluppaturi part-time u full-time li jaħdem fuq manutenzjoni, sigurtà u funzjonijiet ġodda ta' PHP.

Għall-kumpaniji dan ifisser: m'hemm l-ebda manifattur b'kuntratt, hotline jew ħinijiet ta' tweġiba garantiti. Min jeħtieġ impenji vinkolanti jikseb dawn mid-distribuzzjoni Linux tiegħu, mill-hoster tiegħu jew minn fornitur ta' appoġġ fit-tul, mhux mill-proġett PHP nnifsu. Din il-ktajna tal-provvista għandkom tafuha.

## Kif tiġi rrapportata vulnerabbiltà

It-triq hija deskritta fil-politika tas-sigurtà fuq GitHub:

1. **Irrapporta:** permezz tal-formola privata għal Security Advisories fir-repository `php/php-src`. Min ma jistax juża dan jew irid jiddiskuti suġġett li mhuwiex rapport ta' żball, jikteb lil security@php.net.
2. **Iddeskrivi fil-qosor:** Huwa mixtieq eżempju qasir li juri ż-żball, mhux rapport twil dwar effetti possibbli. B'hekk it-tim jista' jifli aktar malajr.
3. **Kunfidenzjalità:** Ir-rapport jibqa' privat sal-pubblikazzjoni.
4. **Isem:** Min jirrapporta jissemma bħala kontributur skont is-sistema tal-krediti ta' MITRE.

Il-paġna eqdem tal-wiki issemmi barra minn hekk l-issue tracker klassiku bit-tip “Security”. Illum deċiżiva hija t-triq permezz ta' GitHub.

## X'jikklassifika l-proġett PHP bħala vulnerabbiltà tas-sigurtà

Mhux kull ħabta hija vulnerabbiltà tas-sigurtà. Il-wiki jisma erba' kriterji: żball jippermetti azzjonijiet mhux awtorizzati, jaqbeż konfini tas-sigurtà, jiftaħ aċċess għal data barranija jew jippreġudika serjament id-disponibbiltà jew il-prestazzjoni. Il-klassifikazzjoni ssir fi tliet livelli:

| Livell | Tifsira skont il-politika | Numru CVE |
|---|---|---|
| Għoli | Terzi jistgħu jikkompromettu l-biċċa l-kbira tal-installazzjonijiet, jeżegwixxu kodiċi jew jaqraw fajls | ġeneralment iva |
| Medju | effett simili, imma biss f'kundizzjonijiet aktar rari, pereżempju estensjoni jew konfigurazzjoni rari | l-aktar iva |
| Baxx | teoretikament possibbli, fil-prattika diffiċli ħafna biex jiġi sfruttat | l-aktar le |

Daqstant għaliex tinstruwixxi hija l-lista ta' dak li espliċitament mhuwiex vulnerabbiltà tas-sigurtà: kodiċi malizzjuż li jiġi eżegwit apposta, evażjonijiet ta' `open_basedir` u `disable_functions`, inputs malizzjużi għal `unserialize()`, l-użu ta' FFI u waqfien ordinarju minħabba memorja fejn `memory_limit` jaħdem u t-talba kurrenti biss tintemm. Għall-operaturi dan ifisser: [disable_functions](https://phpsos.de/mt/ratgeber/disable-functions/) huwa tishiħ utli, imma mhuwiex ħajt protettiv.

## Mill-korrezzjoni għall-pubblikazzjoni

Korrezzjonijiet għal vulnerabbiltajiet għoljin u medji, skont il-wiki, jiddaħħlu f'repository separat tas-sigurtà qabel jinħoloq ir-rilaxx. Żbalji klassifikati baxxi jaħdmu bħal korrezzjonijiet normali ta' żbalji. Il-vulnerabbiltà tiġi ppubblikata skont il-prinċipju tad-divulgazzjoni responsabbli: l-ewwel il-korrezzjoni, imbagħad id-dettalji. Ir-rilaxxi, skont il-wiki, ġeneralment joħorġu nhar il-Ħamis, spiss bħala parti mill-pubblikazzjonijiet regolari ta' kull xahar.

Mar-rilaxx joħroġ GitHub Security Advisory b'identifikatur proprju (GHSA) u grad ta' gravità. Fir-repository, pereżempju, fl-24 ta' Settembru 2026 dehru diversi advisories dwar stream wrappers, FastCGI u filtri b'gradi ta' gravità minn baxx sa għoli. Il-pakketti sors fuq php.net jiġu offruti bi checksums SHA-256 u firem GPG tar-release managers; it-tags ta' Git huma ffirmati. Liema fergħat tal-verżjonijiet għadhom jirċievu korrezzjonijiet tas-sigurtà turi l-paġna dwar il-[verżjonijiet ta' PHP u ċ-ċiklu tar-rilaxxi](https://phpsos.de/mt/php/release-zyklus/).

## PHP2Shell bħala eżempju ta' każ serju

PHP2Shell juri kif il-proċess jaħdem taħt pressjoni:

- **20 ta' Ottubru 2026:** php.net iħabbar rilaxx kritiku tas-sigurtà għall-21 ta' Ottubru 2026 fl-14:00 UTC u jżomm id-dritt li jippubblika qabel jekk id-dettalji jsiru pubbliċi jew jidhru attakki. Skont diversi rapporti, id-dettalji fil-fatt saru magħrufa qabel it-tmiem tal-perjodu ta' embargo; l-isfond jixħtu dawl fuqu [Għaliex il-vulnerabbiltà ta' PHP saret magħrufa qabel il-patch](https://phpsos.de/mt/blog/php-luecke-vorzeitig-bekannt/).
- **21 ta' Ottubru 2026:** Joħorġu PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35, flimkien mal-advisories GHSA-w8hw-w9fx-j79w (CVE-2026-109618) u GHSA-6wmf-4rv5-p3rp (CVE-2026-109619), it-tnejn klassifikati bħala kritiċi. Skont php.net, id-distribuzzjonijiet Linux u l-fornituri ta' appoġġ fit-tul kienu rċevew il-korrezzjonijiet minn qabel. Għal 7.4, 8.0 u 8.1 hemm backports minimi.
- **23 ta' Ottubru 2026:** Nota informattiva dwar CVE-2026-115560 tirrakkomanda `session.upload_progress.enabled=0`; l-advisory sħiħ jiġi mar-rilaxx li jmiss.

## X'jikkonkludu l-operaturi minn dan

1. **Issieħbu mas-sorsi:** php.net, l-advisories GitHub ta' `php/php-src` u l-avviżi tas-sigurtà tad-distribuzzjoni tagħkom.
2. **Kunu jafu l-ktajna tal-provvista:** Min jipprovdi l-pakkett PHP tagħkom, u kemm malajr jaslu hemmhekk il-backports?
3. **Ippjanaw it-twieqi taż-żmien:** Rilaxxi kritiċi jistgħu jiġu barra mir-ritmu tas-soltu; tieqa għall-patches trid tkun possibbli fil-qosor.
4. **Ippjanaw ir-restart:** Aġġornament jaħdem biss meta l-proċessi kollha ta' PHP ikunu tnedew mill-ġdid.
5. **Żommu l-evidenza:** Iddokumentaw il-verżjoni, l-istat tal-pakkett u l-mument.

## Kif jgħin PHP SOS konkretament?

Bis-[Servizz ta' patch għal PHP](https://phpsos.de/mt/leistungen/php-patch-service/) nieħdu f'idejna l-parti li tappartjeni lilkom:

- **Insegwu l-avviżi:** Nosservaw php.net, l-advisories u l-avviżi tad-distribuzzjonijiet u nevalwaw jekk is-sistemi tagħkom humiex affettwati.
- **Napplikaw il-patch:** Aġġornament mis-sors xieraq, restart tal-proċessi kollha, kontroll tal-verżjoni li taħdem.
- **Nassiguraw it-tranżizzjoni:** Fejn l-aġġornament jibqa' mdendel, napplikaw il-miżuri temporanji uffiċjali.
- **Niddokumentaw:** Tirċievu evidenza b'verżjonijiet, stati tal-pakketti u mumenti.


## Mistoqsijiet frekwenti

**Kif tirrapporta vulnerabbiltà tas-sigurtà f'PHP?**  
Preferibbilment permezz tal-formola privata għal Security Advisories fir-repository GitHub php/php-src. Min ma jistax juża dan, jikteb lil security@php.net. Ir-rapport jibqa' kunfidenzjali sal-pubblikazzjoni.

**Il-proġett PHP iħallas premju għall-vulnerabbiltajiet misjuba?**  
Le. Skont il-politika tas-sigurtà PHP huwa proġett ta' voluntiera mingħajr flus għal bug bounties. Min jirrapporta, madankollu, jissemma bħala kontributur.

**Evażjoni ta' disable_functions hija vulnerabbiltà tas-sigurtà?**  
Skont il-politika tal-proġett PHP le. Evażjonijiet ta' open_basedir u disable_functions ma jitqisux problema tas-sigurtà ta' PHP. L-issettjar huma tishiħ, imma mhumiex konfini affidabbli tas-sigurtà.

**Fejn insir naf b'vulnerabbiltajiet ġodda tas-sigurtà ta' PHP?**  
Fuq il-paġna ewlenija ta' php.net bl-avviżi tar-rilaxxi u fis-Security Advisories tar-repository GitHub php/php-src. Min jieħu PHP mid-distribuzzjoni jsegwi wkoll l-avviżi tas-sigurtà tagħha.

**Għaliex PHP2Shell ġie ppubblikat nhar il-Erbgħa?**  
Skont il-wiki, ir-rilaxxi ġeneralment joħorġu nhar il-Ħamis. Għal PHP2Shell php.net ħabbar fl-20 ta' Ottubru 2026 rilaxx tas-sigurtà għall-Erbgħa, 21 ta' Ottubru 2026, 14:00 UTC, u żamm id-dritt li jippubblika qabel jekk id-dettalji jsiru pubbliċi.

## Sorsi

- [php-src: Politika tas-sigurtà u Advisories (GitHub)](https://github.com/php/php-src/security)
- [PHP Wiki: Politika tas-sigurtà](https://wiki.php.net/security)
- [php.net: Avviżi mill-20 sat-23 ta' Ottubru 2026](https://www.php.net/)
- [php.net: Verżjonijiet appoġġati](https://www.php.net/supported-versions.php)