Gwidi: sigurtà ta' PHP u tas-servers
Artikoli tekniċi għall-admins u l-iżviluppaturi: tagħrfu webshells, tisħu l-php.ini, tanalizzaw il-logs, tipprogrammaw b'mod sigur.
Kronoloġija ta' PHP2Shell: mis-17 sal-25 ta' Ottubru 2026
Id-dati kollha ppruvati dwar PHP2Shell f'ħarsa waħda, mill-ewwel tentattiv ta' attakk osservat sal-25/10/2026, u x'jirriżulta minnhom għall-verifika tagħkom.
Aqra aktar →02Konferma tal-aġġornament ta' PHP mill-hoster: kif tistaqsu dwar l-istat tal-patch
Il-verżjoni murija ta' PHP tippruva ftit wara PHP2Shell. B'dan il-mudell titolbu mingħand il-hoster konferma li tistgħu tiddokumentaw.
Aqra aktar →03Kif tagħrfu u tneħħu webshell
Kif issibu backdoors fuq servers tal-web bi PHP mingħajr ma teqirdu t-traċċi, u għaliex it-tħassir waħdu rari jkun biżżejjed.
Aqra aktar →04Sib backdoor f'WordPress: kif issibu l-backdoors b'mod sistematiku
Fejn tinħeba tipikament backdoor f'WordPress u kif l-admins isibuha b'mod sistematiku b'WP-CLI u ftit kmandi.
Aqra aktar →05Kif tikkonfiguraw php.ini b'mod sikur
Liema issettjar fil-php.ini inaqqas is-superfiċje ta' attakk, kif tipproteġuh milli jiġi megħlub u x'japplika addizzjonalment wara PHP2Shell.
Aqra aktar →06Kif tużaw PHP disable_functions sewwa
B'disable_functions issakkru funzjonijiet riskjużi ta' PHP. Kif tiffissaw il-lista skont l-applikazzjoni tagħkom mingħajr ma twaqqfu l-websajt.
Aqra aktar →07open_basedir u iżolament għal kull websajt
Kif b'open_basedir, utenti tas-sistema proprji u pools PHP-FPM separati tevitaw li dħul f'websajt waħda jolqot lill-oħrajn kollha fuq is-server.
Aqra aktar →08Drittijiet tal-fajls fuq is-server tal-web
Għaliex is-server tal-web m'għandux ibiddel il-kodiċi tiegħu stess, liema drittijiet huma sensati għall-fajls u l-folders u kif tivverifikaw malajr l-istat attwali.
Aqra aktar →09composer audit: ivverifikaw id-dipendenzi għal vulnerabbiltajiet
Kif l-iżviluppaturi b'composer audit isibu vulnerabbiltajiet tas-sigurtà magħrufa f'libreriji, awtomatizzaw il-verifika u jevitaw żbalji tipiċi fid-deployment.
Aqra aktar →10PHP End of Life: ir-riskji ta' verżjonijiet skaduti
X'jfisser it-tmiem tal-appoġġ ta' verżjoni ta' PHP, liema fergħat għadhom jirċievu patches uffiċjali wara PHP2Shell u kif tagħmlu l-migrazzjoni ppjanabbli.
Aqra aktar →11Kif tevitaw SQL injection f'PHP
Kif l-iżviluppaturi jeskludu b'mod affidabbli SQL injection f'applikazzjonijiet ta' PHP b'Prepared Statements, listi permessi u drittijiet minimi tad-database.
Aqra aktar →12Evita XSS f'PHP: kif tiddefendu b'mod sikur kontra Cross-Site Scripting
Kif l-iżviluppaturi jevitaw Cross-Site Scripting f'applikazzjonijiet ta' PHP: kodifika skont il-kuntest, auto-escaping fit-templates, tindif tal-HTML u Content Security Policy.
Aqra aktar →13Kif timplimentaw uploads sikuri tal-fajls f'PHP: sigurtà tal-uploads f'PHP
Il-formoli tal-upload huma triq frekwenti għal webshells. Kif tivverifikaw it-tipi tal-fajls sewwa, taħżnu l-fajls b'mod sikur u tipprevjenu li s-server jesegwixxi skripts imgħobbija.
Aqra aktar →14Kif tassiguraw is-sessions f'PHP: sigurtà tas-sessions fil-prattika
Is-sessions iżommu l-utenti illoggjati u huma għalhekk mira li tixraq. Kif tikkonfiguraw b'mod sikur cookies, session IDs u postijiet ta' ħażna u tapplikaw l-avviż ta' PHP2Shell dwar l-upload progress.
Aqra aktar →15Deserjalizzazzjoni mhux sikura f'PHP: unserialize u sigurtà
unserialize() b'data barranija jista' fl-agħar każ iwassal għal eżekuzzjoni ta' kodiċi. Kif tissostitwuh b'JSON, tillimitawh fejn irid jibqa' u ssibu postijiet riskjużi fil-kodiċi.
Aqra aktar →16Kif tevitaw Local File Inclusion f'PHP: LFI u RFI
Meta include jew require jieħdu mogħdijiet mit-talba, l-attakkanti jistgħu jgħabbu fajls barranin. Kif tibnu b'mod sikur l-għażla tal-paġni u t-templates u tassiguraw is-server addizzjonalment.
Aqra aktar →17Kif tipproteġu l-logins tal-amministraturi minn brute force: protezzjoni brute force għal kull login
Tentattivi awtomatizzati ta' passwords jolqtu kull paġna ta' login li tintlaħaq. Kif tnaqqsu l-attakkanti b'rate limiting u Fail2ban, tipproteġu l-kontijiet b'tieni fattur u taħżnu l-passwords sewwa.
Aqra aktar →18DDoS jew attakk ta' hackers? Kif tikklassifikaw l-attakki sewwa
Websajt bil-mod, tagħbija għolja, fajls stramb: jekk wara hemm DDoS jew dħul jiddeċiedi r-reazzjoni t-tajba. Kif tikklassifikaw is-sitwazzjoni b'ftit verifiki.
Aqra aktar →19Kif tevalwaw il-logs tas-server tal-web wara attakk: aqraw sewwa l-log tal-aċċess
Il-fajls tal-log wara attakk spiss huma l-aktar traċċa importanti. Kif issalvaw sewwa l-logs tal-aċċess, tal-iżbalji u ta' PHP, issibu talbiet suspettużi u tevitaw żbalji tipiċi fl-evalwazzjoni.
Aqra aktar →20Kif tistabbilixxu awtentikazzjoni b'żewġ fatturi għall-aċċessi tal-amministraturi
Password misruqa m'għandhiex tkun biżżejjed biex tittieħed il-kontroll tas-server jew tal-ħanut tagħkom. Kif tagħżlu l-metodu xieraq, tassiguraw l-aċċessi kollha tal-admin u tippjanaw aċċessi ta' emerġenza.
Aqra aktar →21Strateġija ta' backup għal servers: backups skont ir-regola 3-2-1
Backup jgħin biss jekk jgħix attakk u jista' jerġa' jitqiegħed lura. Kif timplimentaw ir-regola 3-2-1 għal servers tal-web u tippjanaw sewwa ż-żamma u t-testijiet.
Aqra aktar →22Headers tas-sigurtà għall-websajts: kif tissettjawhom sewwa
Headers tas-sigurtà jgħidu lill-browser biex jipproteġi aħjar il-viżitaturi tagħkom. Kif tissettjaw l-aktar headers importanti f'Nginx u Apache, tintroduċu Content-Security-Policy pass wara pass u tivverifikaw ir-riżultat.
Aqra aktar →23Kif tneħħu t-twissija ta' Google “Din il-websajt ġiet hackjata”
Twissija dwar hack fir-riżultati tat-tiftix tiswa viżitaturi u fiduċja. Kif tnaddfu l-websajt sewwa, issibu paġni spam moħbija u titolbu r-rieżami fis-Search Console.
Aqra aktar →24Checklist wara hack: 20 punt għas-segwitu
Wara attakk tgħodd is-sekwenza t-tajba. Din ic-checklist twassalkom f'20 punt mil-limitazzjoni, is-salvataġġ tal-provi, it-tindif, l-aċċessi ġodda, l-obbligi u t-tmiem iddokumentat.
Aqra aktar →Kull siegħa tgħodd. Iktbu lilna issa.
Iddeskrivu fil-qosor is-sistema, il-verżjoni ta' PHP u dak li osservajtu. Nikkuntattjawkom, niċċaraw is-sitwazzjoni u naħdmu mill-bogħod sakemm l-inċident jingħalaq u jiġi ddokumentat.