Fil-qosor: Is-sigurtà ta' Contao f'PHP2Shell tiddependi mill-PHP tas-server, mhux minn Contao. Oqogħdu attenti li kemm il-PHP tal-web kif ukoll il-PHP tal-linja tal-kmand tal-Contao Manager ikunu ppatchjati. Wara ivverifikaw .env, it-templates proprji, il-folder files u l-aċċessi għall-backend u għall-Manager.
Contao u PHP2Shell: dwar xiex jaqbel
Contao huwa CMS mifrux fiż-żona li titkellem bil-Ġermaniż, li mill-verżjoni 4 huwa bbażat fuq il-framework Symfony. Skont it-tim ta' PHP, il-vulnerabbiltajiet ta' PHP CVE-2026-109618 u CVE-2026-109619 jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod mingħajr login. Jolqtu lil PHP innifsu, allura wkoll kull installazzjoni ta' Contao fuq server mhux ippatchjat.
Ħafna websajts ta' Contao jappartjenu lil intrapriżi ta' daqs medju, assoċjazzjonijiet u muniċipalitajiet u jiġu mmaniġġjati minn aġenziji. Iċċaraw għalhekk l-ewwel min huwa responsabbli għal PHP: il-hoster, l-aġenzija jew l-IT tagħkom stess.
Żball frekwenti jikkonċerna l-modalità ta' manutenzjoni. Contao jista' jibblokka websajt għall-viżitaturi, imma dan il-blokk innifsu jiġi pprovdut minn PHP. Kull talba allura tkompli tilħaq l-interpretatur ta' PHP. Kontra PHP2Shell il-modalità ta' manutenzjoni għalhekk ma tipproteġix. Meta l-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) jirrakkomanda li s-servers tal-web jitneħħew min-netwerk sakemm isir l-aġġornament, jirreferi għal blokk fil-livell tas-server jew tal-hosting, mhux għal issettjar fis-CMS.
Is-sigurtà ta' Contao tibda b'żewġ verżjonijiet ta' PHP
Contao juża PHP b'żewġ modi. Is-server tal-web jittratta l-aċċessi għall-paġni ġeneralment permezz ta' PHP-FPM. Il-Contao Manager u l-console ta' Contao jaħdmu barra minn hekk b'PHP tal-linja tal-kmand, pereżempju għal installazzjonijiet, aġġornamenti u cronjobs. F'pakketti tal-hosting b'diversi verżjonijiet ta' PHP dawn jistgħu jkunu żewġ programmi differenti.
Il-Contao Manager juri fil-konfigurazzjoni tas-server tiegħu liema fajl tal-programm PHP juża. Il-verżjoni tal-web tarawha fil-panel tal-hosting. Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35; il-backports jistgħu jġorru numri eqdem. Iż-żewġ toroq iridu jkunu ppatchjati u l-proċessi kollha mibdija mill-ġdid. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Contao tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fuq contao.org. Aktar dwar il-verifika taħt Kif tivverifikaw sewwa l-verżjoni u l-istat tal-patch ta' PHP.
Direttorji u fajls f'Contao
| Post | Kontenut | Punt ta' verifika |
|---|---|---|
.env, .env.local |
Aċċess tad-database, APP_SECRET |
Iġeddu wara suspett |
config/config.yaml |
Konfigurazzjoni tal-installazzjoni | Bidliet mhux mistennija |
public/ (verżjonijiet aktar qodma web/) |
Għerq tad-dokumenti b'index.php, fajl tal-Contao Manager, assets |
Fajls PHP addizzjonali |
files/ |
Ġestjoni tal-fajls tal-editors | L-ebda fajl PHP |
templates/ |
Templates proprji, klassikament .html5 bil-PHP |
Templates mhux magħrufa jew mibdula |
system/config/localconfig.php |
Issettjar aktar qodma | Kodiċi miżjud |
var/ |
Cache u logs | Issalvaw il-logs, erġgħu oħolqu l-cache |
Propju templates/ jiġi sottovalutat: it-templates klassiċi ta' Contao bl-estensjoni .html5 huma fajls PHP. Kmand miżjud fi template proprju jaħdem f'kull aċċess tal-paġna u jibqa' wara l-aġġornamenti ta' Contao.
L-ewwel verifiki mingħajr periklu:
# Fajls PHP fil-ġestjoni tal-fajls
find files -type f -name "*.php"
# Templates mibdula mis-17/10/2026
find templates -type f -newermt "2026-10-17"
# Ivverifika l-kmandi disponibbli ta' Contao u d-dipendenzi
vendor/bin/contao-console list contao
composer audit
Il-Contao Manager jista' jinstalla pakketti u hekk idaħħal kull kodiċi fuq is-server. Wara suspett ivverifikaw il-kontijiet tal-utenti tiegħu, agħtu passwords ġodda u neħħu l-aċċessi ta' fornituri ta' qabel.
Backend, Manager u estensjonijiet
Il-backend jinsab taħt /contao. Ivverifikaw l-utenti b'drittijiet ta' amministratur u l-gruppi ta' utenti b'drittijiet wiesgħa, pereżempju fuq il-ġestjoni tal-fajls, it-templates jew l-amministrazzjoni tal-utenti. Contao jiġi b'login b'żewġ fattur; uzawh għall-kontijiet kollha b'drittijiet ogħla.
L-estensjonijiet jiġu installati permezz ta' Composer jew tal-Contao Manager. Kull waħda ġġib kodiċi PHP, u estensjonijiet aktar qodma mingħajr manutenzjoni iżommu lura l-upgrades ta' PHP. Fuq servers b'diversi websajts kull installazzjoni għandha taħdem separatament, biex inċident ma jaqbiżx lejn il-websajts ġirien; aktar dwar dan taħt open_basedir u iżolament għal kull websajt.
X'jista' jagħmel aġġornament ta' Contao u x'ma jistax
Aġġornament ta' Contao permezz tal-Manager jew ta' Composer jagħlaq żbalji magħrufa f'Contao u fl-estensjonijiet. Ma jipatchjax PHP u ma jibdiex mill-ġdid la PHP-FPM u lanqas proċessi fl-isfond. It-templates proprji, il-fajls f'files/ u l-kontijiet barranin tal-utenti jibqgħu mhux mibdula. Wara bidla ta' verżjoni ewlenija ta' PHP il-cache għandha terġa' tinħoloq u l-websajt tiġi vverifikata f'ambjent tal-ittestjar.
F'websajts b'ħafna editors, wara l-patch jixraq li jiġu vverifikati d-drittijiet fil-backend. Min jista' jbiddel it-templates jista' jpoġġi kodiċi PHP fit-templates klassiċi .html5. Din il-permess tappartjeni f'idejn ftit persuni b'għarfien tekniku. L-istess japplika għall-aċċess għall-ġestjoni tal-fajls b'drittijiet ta' upload f'folders aċċessibbli pubblikament.
Kif tgħin PHP SOS b'mod konkret?
- Nistabbilixxu l-PHP tal-web u tas-CLI tal-installazzjoni ta' Contao tagħkom u nikkonfermaw il-patch u r-restart.
- Insalvaw il-logs, il-fajls u d-database qabel ma nbiddlu xi ħaġa.
- Niċċekkjaw it-templates,
files/, l-għerq tad-dokumenti u l-kontijiet tal-backend u tal-Manager. - Il-bidla ta' PHP bi prova nieħdu ħsiebha, jekk tixtiequ, bis-servizz tal-patch ta' PHP tagħna, ikkoordinat mal-aġenzija tagħkom.
Mistoqsijiet frekwenti
Contao huwa affettwat minn PHP2Shell?
Contao innifsu m'għandux vulnerabbiltà ġdida. Jekk il-websajt taħdem fuq PHP mhux ippatchjat, madankollu, hija vulnerabbli bħal kull applikazzjoni tal-PHP. Aġġornament ta' Contao ma jagħlaqx il-vulnerabbiltà ta' PHP.
Għaliex il-Contao Manager huwa rilevanti għas-sigurtà?
Il-Contao Manager jista' jinstalla, jaġġorna u jneħħi pakketti. Min għandu aċċess għalih jista' jdaħħal kull kodiċi. L-aċċess għalhekk jeħtieġ password b'saħħitha u ftit persuni awtorizzati.
It-templates ta' Contao fihom kodiċi PHP?
It-templates klassiċi bl-estensjoni .html5 huma templates tal-PHP. Templates proprji fil-folder templates jistgħu għalhekk jkun fihom PHP. Templates mhux magħrufa jew mibdula reċentement għandkom tkunu tistgħu tispjegawhom.