Fil-qosor: Mill-vulnerabbiltà ta' PHP PHP2Shell huma affettwati l-friegħi 8.2 sa 8.5 sa-releases tal-21 ta' Ottubru 2026, u skont l-istampa speċjalizzata kważi l-verżjonijiet kollha lura sa PHP 5.4. Hija rranġata f'PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Għal PHP 8.1 u eqdem m'hemmx aktar aġġornamenti uffiċjali, imma biss backports minimi tal-kodiċi sors għal 7.4, 8.0 u 8.1.
Liema verżjonijiet affettwat il-vulnerabbiltà ta' PHP?
PHP2Shell jinkludi ż-żewġ vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619, kull waħda b'klassifikazzjoni CVSS v4.0 ta' 9,2. It-tnejn jippermettu eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod mingħajr login. Fil-21 ta' Ottubru 2026 fis-14:00 UTC (16:00 ħin Ġermaniż) il-proġett PHP ippubblika korrezzjonijiet għall-friegħi kollha appoġġjati.
| Fergħa ta' PHP | L-aħħar stat qabel il-fix | Rranġata minn | Appoġġ |
|---|---|---|---|
| 8.5 | 8.5.11 | 8.5.12 | appoġġjata uffiċjalment |
| 8.4 | 8.4.26 | 8.4.27 | appoġġjata uffiċjalment |
| 8.3 | 8.3.35 | 8.3.36 | appoġġjata uffiċjalment |
| 8.2 | 8.2.34 | 8.2.35 | jintemm fil-31/12/2026 |
| 8.1, 8.0, 7.4 | l-istati kollha | l-ebda release uffiċjali | biss backports minimi tal-kodiċi sors |
| 7.3 sa 5.4 | skont l-istampa speċjalizzata kważi kollha affettwati | l-ebda aġġornament | mingħajr appoġġ sa minn snin |
L-indikazzjonijiet għal 8.2 sa 8.5 ġejjin mill-avviżi ta' php.net. Id-dikjarazzjoni dwar il-verżjonijiet sa PHP 5.4 tiġi mill-istampa speċjalizzata; lista uffiċjali sħiħa għal verżjonijiet antiki ma teżistix.
Għal min mhux tekniku fi ftit sentenzi: jekk fuq is-server tagħkom hemm verżjoni mill-kolonna “Rranġata minn” jew ogħla u wara ġew mibdija mill-ġdid il-proċessi kollha ta' PHP, PHP2Shell huwa magħluq. Jekk hemm numru aktar antik, jew hemm backport li l-fornitur tagħkom irid jikkonferma, jew il-vulnerabbiltà hija miftuħa. Staqsu lill-IT jew lill-hoster tagħkom fil-każ ta' dubju eżattament dwar dawn it-tliet punti: verżjoni, backport, restart.
Modalitajiet tat-tħaddim affettwati
In-numru tal-verżjoni huwa biss nofs it-tweġiba. Huma affettwati l-modi komuni kollha biex PHP jitħaddem fuq server tal-web: PHP-FPM, Apache b'mod_php, php-cgi, FrankenPHP u LiteSpeed. It-tim ta' PHP jikklassifika r-riskju b'mod_php bħala l-ogħla, għax hemmhekk intwera exploit qabel ma jibda jaħdem xi kodiċi tal-applikazzjoni. Dettalji dwar dan f'Għaliex mod_php għandu l-ogħla riskju.
Protezzjoni ma tiġix mill-applikazzjoni: kemm jekk huwa WordPress, Shopware, TYPO3, Laravel jew żvilupp proprju, aġġornament tal-applikazzjoni ma jagħlaqx il-vulnerabbiltà f'PHP.
Backports: meta n-numru tal-verżjoni jqarraq
Ħafna distribuzzjonijiet ta' Linux u hosters jikkonsenjaw PHP f'pakketti proprji. Minflok ma jaqbżu għal verżjoni ġdida upstream, jieħdu l-korrezzjoni bħala backport fil-verżjoni eżistenti tagħhom. Dan għandu konsegwenza prattika: in-numru muri jibqa' qadim. Eżempju mis-sitwazzjoni attwali huwa Plesk, li jista' jkompli juri 8.2.34 minkejja li l-iżball huwa rranġat.
Għalikom dan ifisser: it-tabella ta' hawn fuq tapplika għall-releases uffiċjali ta' php.net. Fil-każ ta' pakketti mid-distribuzzjoni tagħkom jew mill-hoster jiddeċiedu l-istat tal-pakkett u l-konferma tal-fornitur. Kif tivverifikaw it-tnejn juri Kif tivverifikaw sewwa l-verżjoni ta' PHP u l-istat tal-patches. Għat-test rapidu fuq il-linja tal-kmand:
php -v
apt policy php8.3-fpm # Debian/Ubuntu, isem tal-pakkett differenti skont il-verżjoni u s-sors
dnf info php-fpm # familja RHEL
Verżjoni rranġata fuq id-disk għad ma tfissirx li taħdem. Biss wara r-restart tal-proċessi kollha ta' PHP jaħdem is-server bil-kodiċi korrett.
X'japplika għal PHP 8.1 u eqdem?
Għal PHP 8.1, 8.0 u 7.4 hemm biss backports minimi tal-kodiċi sors, jiġifieri korrezzjonijiet fil-kodiċi sors li xi ħadd irid jieħu u jikkompila huwa stess. Releases uffiċjali ma joħorġux. Xi distribuzzjonijiet b'manutenzjoni fit-tul jibnu korrezzjonijiet bħal dawn fil-pakketti tagħhom; jekk dan japplikax għas-sistema tagħkom jista' jiġi ċċarat biss mill-changelog tal-pakkett jew mal-fornitur.
Fit-tul ma hemm ebda triq mingħajr verżjoni appoġġjata. Liema verżjoni ta' PHP jifhem is-CMS jew il-ħanut tagħkom tivverifikawh skont ir-rekwiżiti tas-sistema tal-manifattur, pereżempju fuq wordpress.org, shopware.com jew typo3.org. Aktar dwar dan f'PHP 8.1 u eqdem: x'japplika issa.
U CVE-2026-115560?
Fit-23 ta' Ottubru php.net ippubblika avviż dwar vulnerabbiltà tielet. Taħdem biss b'konfigurazzjoni mhux tas-soltu tas-sessjoni. Verżjoni rranġata għad ma teżistix skont l-istat tal-25 ta' Ottubru; sal-bugfix release regolari li jmiss ir-rimedju huwa session.upload_progress.enabled=0. Lista ta' verżjonijiet hija mistennija biss mal-advisory sħiħ.
Kif tgħin PHP SOS b'mod konkret?
- Inventarju: Niġbru l-verżjonijiet kollha ta' PHP fuq is-servers tagħkom, anke installazzjonijiet sekondarji għal websajts individwali, li spiss jintesew.
- Tqabbil: Għal kull installazzjoni niċċaraw jekk hemmx release uffiċjali, backport tad-distribuzzjoni jew l-ebda korrezzjoni.
- Aġġornament bi prova: Permezz tas-servizz ta' patch ta' PHP ninstallaw il-korrezzjoni u nerġgħu nibdew il-proċessi kollha.
- Pjan ta' migrazzjoni: Għal verżjonijiet mingħajr aġġornamenti uffiċjali nippjanaw il-bdil permezz tal-migrazzjoni minn PHP 8.1 u eqdem u nissiguraw is-server sa dakinhar.
Mistoqsijiet frekwenti
PHP 8.3.35 għadu sigur?
Le, sakemm il-fornitur tagħkom ma jkunx installa backport. 8.3.35 huwa l-aħħar stat qabel il-fix; PHP2Shell huwa rranġat fil-fergħa 8.3 minn 8.3.36. Fil-każ ta' pakketti tad-distribuzzjonijiet in-numru jista' jibqa' l-istess minkejja li l-iżball huwa rranġat. Allura jgħoddu l-changelog tal-pakkett jew il-konferma tal-fornitur.
PHP 7.4 huwa affettwat minn PHP2Shell?
Skont l-istampa speċjalizzata kważi l-verżjonijiet kollha lura sa PHP 5.4 huma affettwati. Għal 7.4, 8.0 u 8.1 hemm biss backports minimi tal-kodiċi sors u l-ebda releases uffiċjali. Bidla għal verżjoni appoġġjata hija t-triq affidabbli.
Għaliex Plesk juri 8.2.34 minkejja li ġie ppatchjat?
Id-distribuzzjonijiet u l-hosters ħafna drabi jieħdu l-korrezzjonijiet bħala backport fil-pakketti eżistenti tagħhom. In-numru tal-verżjoni jibqa' l-istess, u l-iżball xorta huwa rranġat. Iċċekkjaw l-istat tal-pakkett jew itolbu lill-fornitur jikkonferma l-patch.
Liema verżjoni ta' PHP għandi nagħżel issa?
Verżjoni appoġġjata li l-applikazzjoni tagħkom hija approvata għaliha skont ir-rekwiżiti tas-sistema tal-manifattur. PHP 8.2 jilħaq it-tmiem tal-appoġġ fil-31/12/2026; min jibdel issa xorta waħda għandu jikkunsidra dan.