# Sigurtà ta' PHP f'Drupal wara PHP2Shell: kif tissigurizzaw il-websajt tagħkom

> Sigurizzaw Drupal wara PHP2Shell: iċċekkjaw PHP fir-rapport tal-istat, ipproteġu settings.php u l-folder files u ivverifikaw ir-rwoli u l-moduli.

Sors: https://phpsos.de/mt/plattformen/drupal/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Fis-sigurtà ta' PHP f'Drupal, wara PHP2Shell, jgħodd l-aktar is-server: il-vulnerabbiltà tinsab f'PHP, mhux f'Drupal. Ivverifikaw l-istat ta' PHP fir-rapport tal-istat u għand l-operatur, erġgħu ibdew il-proċessi kollha ta' PHP u wara kkontrollaw `settings.php`, id-direttorju `files` u d-drittijiet tar-rwoli.

## Drupal u PHP2Shell: is-sitwazzjoni

Drupal spiss jintuża għal websajts akbar, portals u entitajiet pubbliċi, spiss b'ħafna editors u interfaces. Skont it-tim ta' PHP, il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 ta' PHP jippermettu kodiċi malizzjuż mill-bogħod mingħajr login. Kemm Drupal innifsu huwa mmaniġġjat tajjeb ma jaqbel xejn f'dan.

Drupal għandu tim proprju tas-sigurtà li jippubblika avviżi dwar il-qalba u l-moduli. PHP2Shell ma jagħmilx parti minnhom, għax mhuwiex vulnerabbiltà ta' Drupal. Min isegwi biss l-avviżi ta' Drupal jista' għalhekk ma jkunx innota l-allarm.

F'proġetti akbar ta' Drupal ir-responsabbiltà spiss tinqasam f'diversi postijiet: aġenzija żżomm il-kodiċi, ċentru tad-data jopera s-servers, l-editorjal ikun fil-bini. Iċċaraw bil-miktub min jinstalla l-aġġornament ta' PHP, min jagħmel ir-restart u min jivverifika jekk ġara xi ħaġa qabel. F'setups b'diversi servers tal-web wara load balancer, kull server individwali jrid ikun ippatchjat u mibdi mill-ġdid, inkella parti mit-talbiet tibqa' fuq PHP qadim.

## Sigurtà ta' PHP f'Drupal: ivverifikaw il-verżjoni u l-istat tal-patch

Taħt **Reports > Status report** Drupal juri l-verżjoni ta' PHP li biha l-websajt taħdem, flimkien ma' twissijiet dwar il-konfigurazzjoni. Fil-linja tal-kmand `drush status` jagħti l-verżjoni tal-PHP tas-CLI, li biha jaħdmu wkoll il-cronjobs u d-deployments. It-tnejn iridu jkunu ppatchjati.

Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Id-distribuzzjonijiet u l-hosters xi kultant jinstallaw korrezzjonijiet bħala backport; allura n-numru jibqa' l-istess; id-deċiżiv huwa l-istat tal-pakkett ikkonfermat. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Drupal tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fuq drupal.org. Wara l-aġġornament ir-restart jappartjeni, deskritt taħt [Erġgħu ibdew PHP-FPM u l-workers kollha](https://phpsos.de/mt/php2shell/php-fpm-neustart/).

## Direttorji u fajls li jgħoddu

| Post | Kontenut | Punt ta' verifika |
|---|---|---|
| `sites/default/settings.php` | Database, hash salt, `trusted_host_patterns` | Data tal-bidla, includes miżjuda |
| `sites/default/files/` | Uploads pubbliċi, immaġini ġġenerati, CSS u JS | L-ebda fajl PHP, `.htaccess` preżenti |
| Direttorju privat tal-fajls | Uploads protetti, spiss barra mill-għerq tad-dokumenti | Drittijiet ta' aċċess |
| `modules/contrib/`, `modules/custom/` | Moduli minn drupal.org u żvilupp proprju | Moduli mibdula jew mhux magħrufa |
| `themes/` | Themes b'templates Twig | JavaScript barrani |
| `vendor/` | Dipendenzi ta' Composer | `composer audit` |

Drupal joħloq fid-direttorju `files` `.htaccess` li jimpedixxi l-eżekuzzjoni ta' PHP. Taħt Apache taħdem, taħt Nginx le. Hemmhekk hemm bżonn regola proprja:

```nginx
location ~* ^/sites/.+/files/.+\.php$ {
    deny all;
}
```

Verifiki mingħajr periklu b'mezzi li jiġu mal-ambjent u b'Drush:

```bash
find sites/*/files -type f -name "*.php"
drush pm:list --status=enabled --type=module
composer audit
```

> **Suġġeriment:**
> Qabblu l-istat tal-kodiċi fuq is-server mar-repożitorju Git tagħkom. F'proġetti ta' Drupal b'Composer din hija l-aktar triq mgħaġġla biex isibu fajls barranin jew mibdula, għax kull differenza trid tkun tista' tiġi spjegata.

## Rwoli, drittijiet u moduli bħala riskju

Il-login jinsab taħt `/user/login`, iż-żona tal-amministrazzjoni taħt `/admin`. F'Drupal mhux biss il-kontijiet tal-amministratur jiddeċiedu dwar is-sigurtà, imma permessi individwali. Drittijiet bħall-amministrazzjoni tal-moduli, tal-utenti, tal-permessi jew ta' formati tat-test b'HTML sħiħ huma prattikament drittijiet ta' amministratur. Ivverifikaw taħt People u Permissions liema rwoli għandhom dawn u min jagħmel parti minn dawn ir-rwoli.

Il-moduli contrib jespandu lil Drupal ħafna, imma jġibu kodiċi proprju. Moduli mingħajr manutenzjoni attiva u żvilupp proprju qadim spiss huma r-raġuni għaliex upgrade ta' PHP jiġi posposti. Aktar dwar id-dipendenzi jinsab taħt [Ivverifikaw id-dipendenzi ta' Composer għal vulnerabbiltajiet](https://phpsos.de/mt/ratgeber/composer-abhaengigkeiten-pruefen/).

## X'jagħmel aġġornament ta' Drupal u x'ma jagħmilx

Aġġornament tal-qalba jew ta' modulu jagħlaq żbalji f'dan il-kodiċi u jista' jippermetti verżjonijiet ġodda ta' PHP. Ma jipatchjax PHP, ma jneħħix fajls barranin minn `sites/default/files`, ma jerġax jissettja drittijiet u ma jħassarx kontijiet maħluqin bil-moħbi. Anke l-cache jista' jkompli jagħti kontenut manipulat sakemm jitbattal. Wara suspett l-hash salt u l-aċċess tad-database għandhom jiġu mġedda.

F'installazzjonijiet multisite diversi websajts jaqsmu l-istess kodiċi, imma taħt `sites/` kull waħda għandha `settings.php` proprju u direttorju `files` proprju. Ivverifikaw allura kull websajt waħedha. Sejba f'sit waħda minħabba l-kodiċi komuni ġeneralment taffettwa lill-oħrajn kollha wkoll.

## Kif tgħin PHP SOS b'mod konkret?

- Niċċekkjaw il-PHP tal-web u tas-CLI tas-server ta' Drupal tagħkom u nikkonfermaw il-patch u r-restart.
- Insalvaw il-logs u d-data u nqabblu l-istat tal-kodiċi mar-repożitorju tagħkom jew mal-pakketti oriġinali.
- Nikkontrollaw `settings.php`, id-direttorju `files`, ir-regoli tas-server, ir-rwoli u l-permessi.
- Jekk tixtiequ, nieħdu ħsieb il-manutenzjoni kontinwa fil-[kuntratt ta' manutenzjoni tas-sigurtà](https://phpsos.de/mt/leistungen/security-wartungsvertrag/), biex l-aġġornamenti ta' PHP u ta' Drupal ma jerġgħux jinfirdu.


## Mistoqsijiet frekwenti

**Aġġornament tas-sigurtà ta' Drupal jgħin kontra PHP2Shell?**  
Le. L-aġġornamenti ta' Drupal jagħlqu żbalji fil-qalba ta' Drupal u fil-moduli. PHP2Shell jinsab fil-PHP tas-server u jeħtieġ aġġornament ta' PHP jew backport ikkonfermat kif ukoll ir-restart tal-proċessi kollha ta' PHP.

**Fejn juri Drupal il-verżjoni ta' PHP?**  
Fir-rapport tal-istat taħt Reports. B'Drush, drush status juri l-verżjoni ta' PHP tal-linja tal-kmand. Iż-żewġ indikazzjonijiet jistgħu jvarjaw, u backport ma jistax jiġi rikonoxxut b'mod sikur minn ebda waħda minnhom.

**Il-.htaccess fil-folder files jipproteġi wkoll taħt Nginx?**  
Le. Il-.htaccess maħluq minn Drupal jiġi evalwat biss minn Apache. Taħt Nginx għandkom bżonn regola proprja fil-konfigurazzjoni tas-server li tibblokka l-fajls PHP fid-direttorju files.

**X'tfisser trusted_host_patterns?**  
L-issettjar f'settings.php jiddetermina taħt liema ismijiet ta' host Drupal jirrispondi. Jipproteġi minn attakki permezz ta' indikazzjonijiet manipulati tal-host u jappartjeni f'kull installazzjoni produttiva.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [Drupal](https://www.drupal.org/)
- [OWASP Top 10](https://owasp.org/www-project-top-ten/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)