# Sigurtà ta' Contao wara PHP2Shell: kif tissigurizzaw sew il-websajts

> Sigurtà ta' Contao wara PHP2Shell: iċċekkjaw PHP għall-web u l-Manager, ivverifikaw .env u t-templates u pproteġu l-aċċess tal-backend.

Sors: https://phpsos.de/mt/plattformen/contao/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Is-sigurtà ta' Contao f'PHP2Shell tiddependi mill-PHP tas-server, mhux minn Contao. Oqogħdu attenti li kemm il-PHP tal-web kif ukoll il-PHP tal-linja tal-kmand tal-Contao Manager ikunu ppatchjati. Wara ivverifikaw `.env`, it-templates proprji, il-folder `files` u l-aċċessi għall-backend u għall-Manager.

## Contao u PHP2Shell: dwar xiex jaqbel

Contao huwa CMS mifrux fiż-żona li titkellem bil-Ġermaniż, li mill-verżjoni 4 huwa bbażat fuq il-framework Symfony. Skont it-tim ta' PHP, il-vulnerabbiltajiet ta' PHP CVE-2026-109618 u CVE-2026-109619 jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod mingħajr login. Jolqtu lil PHP innifsu, allura wkoll kull installazzjoni ta' Contao fuq server mhux ippatchjat.

Ħafna websajts ta' Contao jappartjenu lil intrapriżi ta' daqs medju, assoċjazzjonijiet u muniċipalitajiet u jiġu mmaniġġjati minn aġenziji. Iċċaraw għalhekk l-ewwel min huwa responsabbli għal PHP: il-hoster, l-aġenzija jew l-IT tagħkom stess.

Żball frekwenti jikkonċerna l-modalità ta' manutenzjoni. Contao jista' jibblokka websajt għall-viżitaturi, imma dan il-blokk innifsu jiġi pprovdut minn PHP. Kull talba allura tkompli tilħaq l-interpretatur ta' PHP. Kontra PHP2Shell il-modalità ta' manutenzjoni għalhekk ma tipproteġix. Meta l-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) jirrakkomanda li s-servers tal-web jitneħħew min-netwerk sakemm isir l-aġġornament, jirreferi għal blokk fil-livell tas-server jew tal-hosting, mhux għal issettjar fis-CMS.

## Is-sigurtà ta' Contao tibda b'żewġ verżjonijiet ta' PHP

Contao juża PHP b'żewġ modi. Is-server tal-web jittratta l-aċċessi għall-paġni ġeneralment permezz ta' PHP-FPM. Il-Contao Manager u l-console ta' Contao jaħdmu barra minn hekk b'PHP tal-linja tal-kmand, pereżempju għal installazzjonijiet, aġġornamenti u cronjobs. F'pakketti tal-hosting b'diversi verżjonijiet ta' PHP dawn jistgħu jkunu żewġ programmi differenti.

Il-Contao Manager juri fil-konfigurazzjoni tas-server tiegħu liema fajl tal-programm PHP juża. Il-verżjoni tal-web tarawha fil-panel tal-hosting. Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35; il-backports jistgħu jġorru numri eqdem. Iż-żewġ toroq iridu jkunu ppatchjati u l-proċessi kollha mibdija mill-ġdid. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Contao tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fuq contao.org. Aktar dwar il-verifika taħt [Kif tivverifikaw sewwa l-verżjoni u l-istat tal-patch ta' PHP](https://phpsos.de/mt/php2shell/php-version-pruefen/).

## Direttorji u fajls f'Contao

| Post | Kontenut | Punt ta' verifika |
|---|---|---|
| `.env`, `.env.local` | Aċċess tad-database, `APP_SECRET` | Iġeddu wara suspett |
| `config/config.yaml` | Konfigurazzjoni tal-installazzjoni | Bidliet mhux mistennija |
| `public/` (verżjonijiet aktar qodma `web/`) | Għerq tad-dokumenti b'`index.php`, fajl tal-Contao Manager, assets | Fajls PHP addizzjonali |
| `files/` | Ġestjoni tal-fajls tal-editors | L-ebda fajl PHP |
| `templates/` | Templates proprji, klassikament `.html5` bil-PHP | Templates mhux magħrufa jew mibdula |
| `system/config/localconfig.php` | Issettjar aktar qodma | Kodiċi miżjud |
| `var/` | Cache u logs | Issalvaw il-logs, erġgħu oħolqu l-cache |

Propju `templates/` jiġi sottovalutat: it-templates klassiċi ta' Contao bl-estensjoni `.html5` huma fajls PHP. Kmand miżjud fi template proprju jaħdem f'kull aċċess tal-paġna u jibqa' wara l-aġġornamenti ta' Contao.

L-ewwel verifiki mingħajr periklu:

```bash
# Fajls PHP fil-ġestjoni tal-fajls
find files -type f -name "*.php"
# Templates mibdula mis-17/10/2026
find templates -type f -newermt "2026-10-17"
# Ivverifika l-kmandi disponibbli ta' Contao u d-dipendenzi
vendor/bin/contao-console list contao
composer audit
```

> **Importanti:**
> Il-Contao Manager jista' jinstalla pakketti u hekk idaħħal kull kodiċi fuq is-server. Wara suspett ivverifikaw il-kontijiet tal-utenti tiegħu, agħtu passwords ġodda u neħħu l-aċċessi ta' fornituri ta' qabel.

## Backend, Manager u estensjonijiet

Il-backend jinsab taħt `/contao`. Ivverifikaw l-utenti b'drittijiet ta' amministratur u l-gruppi ta' utenti b'drittijiet wiesgħa, pereżempju fuq il-ġestjoni tal-fajls, it-templates jew l-amministrazzjoni tal-utenti. Contao jiġi b'login b'żewġ fattur; uzawh għall-kontijiet kollha b'drittijiet ogħla.

L-estensjonijiet jiġu installati permezz ta' Composer jew tal-Contao Manager. Kull waħda ġġib kodiċi PHP, u estensjonijiet aktar qodma mingħajr manutenzjoni iżommu lura l-upgrades ta' PHP. Fuq servers b'diversi websajts kull installazzjoni għandha taħdem separatament, biex inċident ma jaqbiżx lejn il-websajts ġirien; aktar dwar dan taħt [open_basedir u iżolament għal kull websajt](https://phpsos.de/mt/ratgeber/open-basedir/).

## X'jista' jagħmel aġġornament ta' Contao u x'ma jistax

Aġġornament ta' Contao permezz tal-Manager jew ta' Composer jagħlaq żbalji magħrufa f'Contao u fl-estensjonijiet. Ma jipatchjax PHP u ma jibdiex mill-ġdid la PHP-FPM u lanqas proċessi fl-isfond. It-templates proprji, il-fajls f'`files/` u l-kontijiet barranin tal-utenti jibqgħu mhux mibdula. Wara bidla ta' verżjoni ewlenija ta' PHP il-cache għandha terġa' tinħoloq u l-websajt tiġi vverifikata f'ambjent tal-ittestjar.

F'websajts b'ħafna editors, wara l-patch jixraq li jiġu vverifikati d-drittijiet fil-backend. Min jista' jbiddel it-templates jista' jpoġġi kodiċi PHP fit-templates klassiċi `.html5`. Din il-permess tappartjeni f'idejn ftit persuni b'għarfien tekniku. L-istess japplika għall-aċċess għall-ġestjoni tal-fajls b'drittijiet ta' upload f'folders aċċessibbli pubblikament.

## Kif tgħin PHP SOS b'mod konkret?

- Nistabbilixxu l-PHP tal-web u tas-CLI tal-installazzjoni ta' Contao tagħkom u nikkonfermaw il-patch u r-restart.
- Insalvaw il-logs, il-fajls u d-database qabel ma nbiddlu xi ħaġa.
- Niċċekkjaw it-templates, `files/`, l-għerq tad-dokumenti u l-kontijiet tal-backend u tal-Manager.
- Il-bidla ta' PHP bi prova nieħdu ħsiebha, jekk tixtiequ, bis-[servizz tal-patch ta' PHP](https://phpsos.de/mt/leistungen/php-patch-service/) tagħna, ikkoordinat mal-aġenzija tagħkom.


## Mistoqsijiet frekwenti

**Contao huwa affettwat minn PHP2Shell?**  
Contao innifsu m'għandux vulnerabbiltà ġdida. Jekk il-websajt taħdem fuq PHP mhux ippatchjat, madankollu, hija vulnerabbli bħal kull applikazzjoni tal-PHP. Aġġornament ta' Contao ma jagħlaqx il-vulnerabbiltà ta' PHP.

**Għaliex il-Contao Manager huwa rilevanti għas-sigurtà?**  
Il-Contao Manager jista' jinstalla, jaġġorna u jneħħi pakketti. Min għandu aċċess għalih jista' jdaħħal kull kodiċi. L-aċċess għalhekk jeħtieġ password b'saħħitha u ftit persuni awtorizzati.

**It-templates ta' Contao fihom kodiċi PHP?**  
It-templates klassiċi bl-estensjoni .html5 huma templates tal-PHP. Templates proprji fil-folder templates jistgħu għalhekk jkun fihom PHP. Templates mhux magħrufa jew mibdula reċentement għandkom tkunu tistgħu tispjegawhom.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [Contao](https://contao.org/)
- [Verżjonijiet appoġġjati ta' PHP](https://www.php.net/supported-versions.php)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)