# Vulnerabbiltà ta' PHP2Shell f'Laravel: kif tissigurizzaw sew l-applikazzjonijiet

> Sigurizzaw Laravel wara PHP2Shell: iċċekkjaw PHP b'artisan about, erġgħu ibdew il-queue workers u Octane u kkontrollaw .env, APP_KEY u storage.

Sors: https://phpsos.de/mt/plattformen/laravel/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Il-vulnerabbiltà ta' Laravel li bħalissa ħafna żviluppaturi qed ifittxu hija PHP2Shell u tinsab f'PHP innifsu. Aġġornament ta' Laravel ma jagħlaqhiex. Importanti huma PHP ippatchjat, ir-restart tal-proċessi kollha inklużi l-queue workers u Octane, u verifika ta' `.env`, `storage` u `public`.

## X'jfisser PHP2Shell għall-applikazzjonijiet ta' Laravel

Laravel huwa l-pedament ta' ħafna żviluppi proprji: portals tal-klijenti, għodod interni, sistemi ta' prenotazzjoni, APIs għal apps. Skont it-tim ta' PHP, il-vulnerabbiltajiet ta' PHP CVE-2026-109618 u CVE-2026-109619 jippermettu kodiċi malizzjuż mill-bogħod mingħajr login. Kemm il-kodiċi ta' Laravel huwa nadif ma jaqbel xejn f'dan.

Huma affettwati l-modalitajiet tat-tħaddim PHP-FPM, Apache bi mod_php, php-cgi, FrankenPHP u LiteSpeed. Laravel Octane jista' juża FrankenPHP bħala server; allura PHP jinsab fil-programm FrankenPHP jew fl-image tal-container u jiġi aġġornat miegħu. Kif dan jidher f'FrankenPHP jiddeskrivih [Sigurizzaw FrankenPHP](https://phpsos.de/mt/server/frankenphp/).

## Vulnerabbiltà ta' Laravel: ivverifikaw il-verżjoni ta' PHP u l-proċessi

Fil-linja tal-kmand `php artisan about` juri l-verżjoni ta' PHP, il-verżjoni ta' Laravel u issettjar importanti bħall-ambjent u l-modalità tad-debug. Din hija, madankollu, il-verżjoni tal-PHP tas-CLI. It-talbiet tal-web jittrattahom PHP-FPM jew Octane, u dan jista' jkun verżjoni differenti. Jekk għandkom dubju, ħallu lill-operatur jikkonferma liema stat tal-pakkett jaħdem fuq it-toroq kollha.

Il-verżjonijiet upstream rranġati huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35, il-backports jistgħu jġorru numri eqdem. Liema verżjonijiet ta' PHP tappoġġja l-verżjoni ta' Laravel tagħkom tivverifikawh, skont ir-rekwiżiti tas-sistema, fid-dokumentazzjoni fuq laravel.com.

Wara l-aġġornament jiġi l-parti li f'Laravel tintesa l-aktar spiss: il-proċessi li jaħdmu fit-tul.

```bash
# Uri l-verżjonijiet u l-konfigurazzjoni
php artisan about
# Ordna lill-queue workers jieqfu wara l-job attwali
php artisan queue:restart
# Waqqaf Horizon, biex il-maniġer tal-proċessi jerġa' jibdih
php artisan horizon:terminate
```

Il-workers jerġgħu jibdew wara biss jekk maniġer tal-proċessi bħal Supervisor jew systemd jissorveljahom. Servers Octane u containers iridu jerġgħu jinbdew kompletament jew jiġu nstallati b'image ġdid. Għas-setups bil-containers japplika [Ippatchjaw PHP fil-containers ta' Docker](https://phpsos.de/mt/php2shell/docker-container-patchen/).

## Fejn l-applikazzjonijiet ta' Laravel huma vulnerabbli

| Post | Kontenut | Punt ta' verifika |
|---|---|---|
| `.env` | `APP_KEY`, database, mail, ċwievet tal-API | Qatt ma għandu jkun aċċessibbli mill-web |
| `bootstrap/cache/config.php` | Konfigurazzjoni fil-cache bis-sigrieti | Drittijiet, data tal-bidla |
| `public/` | Għerq tad-dokumenti b'`index.php` | Fajls PHP addizzjonali |
| `storage/app/public` | Uploads, aċċessibbli permezz ta' `public/storage` | L-ebda fajl PHP |
| `storage/logs/` | `laravel.log`, spiss b'data tat-talbiet | Issalvawh, mhux pubbliku |
| `vendor/` | Pakketti ta' Composer | `composer audit`, paragun ma' `composer.lock` |

Il-folder `storage/app/public` huwa aċċessibbli permezz ta' link simboliku taħt `public/storage`. Fajl PHP mpoġġi hemm jista', skont il-konfigurazzjoni tas-server, jiġi eżegwit direttament. Ibblokkaw dan fil-livell tas-server tal-web.

> **Importanti:**
> `APP_DEBUG` irid ikun `false` fil-produzzjoni. Paġna ta' żball bl-output tad-debug tista' turi bidliet tal-ambjent, mogħdijiet u partijiet mill-kodiċi u tgħin lil kull attakkant.

## Interfaces tal-admin u pakketti bħala riskju

L-applikazzjonijiet ta' Laravel m'għandhomx interface uniformi tal-admin. Spiss huma żoni proprji jew pakketti bħal Filament jew Nova. Ivverifikaw min għandu drittijiet ta' admin, jekk il-login għandux stadju b'żewġ fattur u jekk ir-rotot tal-admin iridu verament ikunu aċċessibbli minn barra. Anke tokens tal-API, pereżempju minn Sanctum jew Passport, għandhom wara suspett jiġu revokati u maħruġin mill-ġdid.

Ivverifikaw barra minn hekk jekk għodod tal-iżvilupp humiex aċċessibbli fil-produzzjoni, pereżempju debug bars, Telescope jew rotot tat-test. Spiss juru talbiet, queries u konfigurazzjoni u jappartjenu wara login jew għandhom jitneħħew għal kollox mill-ambjent tal-produzzjoni.

Il-pakketti ta' Composer huma t-tieni blokk kbir. Kull dipendenza ġġib kodiċi proprju, u pakketti mingħajr manutenzjoni aktar tard jippreveni upgrades ta' PHP. `composer audit` juri vulnerabbiltajiet magħrufa, imma ma jissostitwixxix verifika tal-kodiċi proprju.

## X'jista' jagħmel aġġornament ta' Laravel u x'ma jistax

Aġġornament ta' Laravel jew ta' pakketti individwali jagħlaq żbalji magħrufa f'dan il-kodiċi. Ma jipatchjax PHP, ma jibdiex mill-ġdid workers, ma jġeddidx `APP_KEY` li ħareġ u ma jneħħix fajls minn `storage` jew `public`. Jekk qabel il-patch ġarax xi ħaġa jista' jiġi ċċarat biss b'verifika tal-logs, tal-fajls u tad-database.

Għat-timijiet b'pipeline tad-deployment japplika: l-aġġornament ta' PHP jappartjeni wkoll fl-ambjent tal-build u fl-images bażi, inkella d-deployment li jmiss iġib mill-ġdid verżjoni qadima. Ivverifikaw barra minn hekk jekk l-ambjenti ta' staging jew ta' review humiex aċċessibbli pubblikament. Spiss jaħdmu b'`APP_DEBUG=true` u data vera u faċilment jintnesew f'aġġornamenti tas-sigurtà.

## Kif tgħin PHP SOS b'mod konkret?

- Niċċekkjaw il-PHP tal-web, tas-CLI u tal-workers tal-applikazzjoni ta' Laravel tagħkom u nakkumpanjaw ir-restart ordnat tal-proċessi kollha.
- Insalvaw il-logs mill-20/10/2026, id-database u l-istat tal-kodiċi u nqabbluh mar-repożitorju tagħkom.
- Niċċekkjaw `.env`, il-cache tal-konfigurazzjoni, `storage`, `public`, il-kontijiet tal-admin u t-tokens tal-API.
- Għal verifika aktar fonda tal-kodiċi proprju nirranġaw [awditu tas-sigurtà jew penetration test](https://phpsos.de/mt/leistungen/sicherheitsaudit-penetrationstest/) permezz ta' imsieħba speċjalizzati.


## Mistoqsijiet frekwenti

**Irrid naġġorna Laravel minħabba PHP2Shell?**  
Aġġornament ta' Laravel ma jagħlaqx PHP2Shell, għax il-vulnerabbiltà tinsab fl-interpretatur ta' PHP. Madankollu żommu Laravel aġġornat. Għal PHP2Shell għandkom bżonn PHP ippatchjat u r-restart tal-proċessi kollha ta' PHP, anke tal-workers.

**Għaliex restart ta' PHP-FPM spiss ma jkunx biżżejjed f'Laravel?**  
Il-queue workers, Horizon, Octane u l-scheduler jaħdmu bħala proċessi PHP separati mil-linja tal-kmand. Jgħabbu PHP darba biss meta jibdew u wara jkomplu jaħdmu bil-verżjoni l-qadima fil-memorja sakemm jerġgħu jinbdew.

**X'jista' jsir jekk il-fajl .env jista' jkun ħareġ?**  
Allura għandkom iġeddu APP_KEY, il-password tad-database u ċ-ċwievet kollha għal servizzi esterni. Innotaw li APP_KEY ġdid ittemm is-sessions eżistenti u jagħmel data kriptata bliċ-ċavetta l-qadima mhux qarrejja aktar; ippjanawh mal-iżviluppaturi tagħkom.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [Laravel](https://laravel.com/)
- [OWASP Cheat Sheets](https://cheatsheetseries.owasp.org/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)