Fil-qosor: Backdoor f'WordPress issibuha l-aktar malajr billi tqabblu l-qalba u l-plugins b'WP-CLI mal-checksums uffiċjali, u mbagħad tfittxu b'mod immirat fil-mu-plugins, fl-uploads, fi wp-config.php, fil-kontijiet tal-amministratur u fid-database. Importanti wara PHP2Shell: aġġornament ta' WordPress ma jagħlaqx il-vulnerabbiltà ta' PHP u ma jneħħix backdoor li diġà teżisti.
Għaliex l-operaturi ta' WordPress għandhom jiċċekkjaw aktar mill-qrib issa
B'PHP2Shell saru magħrufa f'Ottubru 2026 żewġ vulnerabbiltajiet kritiċi f'PHP innifsu, CVE-2026-109618 u CVE-2026-109619. Jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mingħajr login, indipendentement minn kemm l-installazzjoni ta' WordPress tagħkom hija mżammha tajjeb. Il-patches jeżistu mill-21/10/2026, imma skont rapporti tal-midja l-ewwel tentattiv ta' attakk ġie osservat diġà fis-17/10.
Min kien vulnerabbli f'dan il-perjodu għandu jfittex traċċi. WordPress huwa mira tipika, għax ħafna installazzjonijiet għandhom struttura simili u l-attakkanti jafu l-moħbijiet. X'jeħtieġ jagħmlu l-operaturi dwar PHP2Shell b'mod ġenerali jinsab fuq il-paġna WordPress u PHP2Shell.
Għamlu l-verifiki li ġejjin, jekk possibbli, fuq kopja jew wara backup. Il-kmandi jaqraw biss u ma jbiddlu xejn.
Kif tinnutaw backdoor fil-ħajja ta' kuljum
Backdoor hija magħmula biex tibqa' mhux notata. Madankollu hemm sinjali li jidhru anke mingħajr għarfien tekniku. Dawn jinkludu ridirezzjonijiet lejn paġni barranin li jseħħu biss għal viżitaturi mit-tiftix ta' Google jew biss fuq apparati mobbli. Ukoll suspettużi huma paġni ġodda b'reklami għal mediċini, logħob tal-azzard jew kopji ta' prodotti ta' marka, li jidhru fl-indiċi tat-tiftix imma mhux fil-backend ta' WordPress.
Indikazzjonijiet oħra huma twissijiet minn Google jew mill-browser, ilmenti mill-klijenti dwar e-mails spam mid-dominju tagħkom, użu f'daqqa wieħed ħafna ogħla ta' ħin tal-kompjuter għand il-hoster jew amministraturi li ħadd mit-tim ma jaf. Ebda wieħed minn dawn is-sinjali waħdu ma jippruva backdoor. Jekk jidhru diversi flimkien, ma għandkomx iħallu l-verifiki li ġejjin għal aktar tard.
Bil-maqlub: jekk xejn minn dan ma jidher, dan ma jfissirx li l-installazzjoni hija nadifa. Propju l-backdoors li nħolqu biss għal aċċess aktar tard spiss ma juru l-ebda effett minn barra.
Sib backdoor f'WordPress: ivverifikaw il-qalba u l-plugins
WP-CLI jista' jqabbel il-fajls tal-qalba ta' WordPress u tal-plugins mid-direttorju uffiċjali mal-checksums ippubblikati. Kull differenza hija ordni konkret ta' verifika.
cd /var/www/meine-seite
# Fajls tal-qalba kontra l-checksums uffiċjali
wp core verify-checksums
# Plugins mid-direttorju uffiċjali
wp plugin verify-checksums --all
# Verżjonijiet installati u stat
wp plugin list
wp theme list
Plugins u themes kummerċjali ma jistgħux jiġu vverifikati hekk. Għalihom jgħin biss paragun ma' pakkett oriġinali maħmul friski mill-fornitur. Plugins mhux magħrufa li ħadd mit-tim ma installa huma dejjem suspettużi, anke jekk jidhru diżattivati.
Moħbijiet tipiċi fis-sistema tal-fajls
Xi postijiet jidhru ripetutament f'installazzjonijiet kompromessi ta' WordPress:
wp-content/mu-plugins/: jitgħabba awtomatikament u ma jidhirx fil-lista normali tal-plugins.wp-content/uploads/: hemmhekk jappartjenu immaġini u dokumenti, mhux fajls PHP.wp-config.php: linji żejda ta'includejewrequirefil-bidu jew fl-aħħar..htaccessu.user.inifid-direttorju tal-web u fis-subfolders: ridirezzjonijiet mhux mistennija jew fajls li jitgħabbew minn qabel awtomatikament.- Fajls fid-direttorju prinċipali li isimhom jixbah fajls tal-qalba ta' WordPress, imma ma jappartjenux.
# Fajls PHP fil-folder tal-upload
find wp-content/uploads -type f -name "*.php*"
# Kontenut tal-Must-Use plugins
ls -la wp-content/mu-plugins/
# Il-fajls kollha .htaccess u .user.ini bid-data tal-bidla
find . \( -name ".htaccess" -o -name ".user.ini" \) -exec ls -la {} +
# Fajls PHP mibdula reċentement
find . -type f -name "*.php" -newermt "2026-10-17" -ls
Mudelli ġenerali ta' tiftix għal kodiċi moħbi tiddeskrivihom il-gwida Kif tagħrfu u tneħħu webshells.
Nivverifikaw l-utenti, id-database u l-kompiti skedati
Ħafna backdoors ma jinsabux fis-sistema tal-fajls xejn. Kont żejjed ta' amministratur ħafna drabi huwa biżżejjed biex l-attakkanti jirritornaw aktar tard.
# L-amministraturi kollha bid-data tar-reġistrazzjoni
wp user list --role=administrator --fields=ID,user_login,user_email,user_registered
# Kompiti skedati f'WordPress
wp cron event list
# Indirizz tal-websajt (manipulazzjonijiet iwasslu għal ridirezzjonijiet)
wp option get siteurl
wp option get home
# Posts b'skripts inkorporati
wp db query "SELECT ID, post_title FROM $(wp db prefix)posts WHERE post_content LIKE '%<script%'"
Iċċekkjaw ukoll għażliet b'kontenut kbir mhux tas-soltu u widgets b'kodiċi barrani. Sejbiet ma jfissrux awtomatikament attakk, għax anke kodiċi ta' traċċar jew mapep inkorporati jużaw skripts. Id-deċiżiv huwa jekk xi ħadd fit-tim jaf il-kontenut.
Wara sejba biddlu l-passwords kollha u ċ-ċwievet tas-sigurtà fi wp-config.php. Inkella l-logins eżistenti tal-attakkanti jibqgħu validi.
Agħlqu l-backdoors u evitaw li jirritornaw
Jekk sibtu backdoor, installazzjoni mill-ġdid hija ġeneralment aktar sigura mir-rranġar ta' fajls individwali. Din is-sekwenza ppruvat ruħha:
- Issalvaw it-traċċi: logs, fajls suspettużi u esportazzjoni tad-database bid-data.
- Ġibu PHP għal stat rranġat u erġgħu ibdew il-proċessi kollha ta' PHP.
- Installaw mill-ġdid il-qalba ta' WordPress, il-plugins u t-themes minn sorsi oriġinali.
- Ittrasferixxu l-uploads u d-database wara verifika, ħassru l-kontijiet barranin, biddlu l-aċċessi kollha.
- Ipprevjenu l-eżekuzzjoni ta' PHP fil-folder tal-upload fil-livell tas-server.
Għal Nginx jibqa' biżżejjed blokk fil-konfigurazzjoni tas-server:
location ~* ^/wp-content/uploads/.*\.php$ {
deny all;
}
Taħt Apache tiksbu l-istess b'regola fil-konfigurazzjoni tas-server għall-folder tal-upload. .htaccess fil-folder tal-upload innifsu hija aktar dgħajfa, għax attakkant b'drittijiet ta' kitba jista' jerġa' jbiddilha.
Ippjanaw wara t-tindif xi ġimgħat ta' sorveljanza aktar mill-qrib. Amministraturi ġodda, fajls PHP ġodda u bidliet fi wp-config.php għandhom jidhru minnufih f'dan il-perjodu, pereżempju b'verifika regolari b'WP-CLI jew b'sorveljanza tal-fajls fuq is-server.
Kif tiffissaw wara dan id-drittijiet tal-fajls b'mod li WordPress jista' jikteb biss fejn hemm bżonn turi l-gwida Drittijiet tal-fajls fuq is-server tal-web.
Kif tgħin PHP SOS b'mod konkret?
- Insalvaw l-istat tal-installazzjoni qabel ma jinbidel xi ħaġa.
- Niċċekkjaw il-qalba, il-plugins, it-themes, id-database, il-kontijiet u l-konfigurazzjoni tas-server għal backdoors.
- Nerġgħu nistabbilixxu WordPress minn sorsi nodfa u nittrasferixxu biss kontenut ivverifikat.
- Nisħu s-server u l-installazzjoni u niddokumentaw x'ġie misjub u rranġat.
Il-proċess ta' tindif jiddeskrivih is-servizz Tneħħija ta' malware u webshells.
Mistoqsijiet frekwenti
Aġġornament ta' WordPress jagħlaq il-vulnerabbiltà ta' PHP2Shell?
Le. PHP2Shell jinsab fl-interpretatur ta' PHP, mhux f'WordPress. Aġġornament ta' WordPress, ta' themes jew ta' plugins ma jbiddel xejn f'dan; id-deċiżiv huwa l-istat ta' PHP fuq is-server u r-restart tal-proċessi kollha ta' PHP.
Plugin tas-sigurtà jsib il-backdoors kollha?
Mhux b'mod affidabbli. Plugin jaħdem ġewwa l-installazzjoni kompromessa u jista' hu stess jiġi manipulat. Ikkumplimentawh b'verifiki minn barra, pereżempju bil-checksums ta' WP-CLI u paragun ma' fajls oriġinali nodfa.
X'inhuma l-mu-plugins u għaliex huma suspettużi?
Il-Must-Use plugins fil-folder wp-content/mu-plugins jitgħabbew awtomatikament u ma jidhrux fil-lista normali tal-plugins. L-attakkanti jieħdu gost jużaw dan, għax l-operaturi rari jħarsu lejn dan il-folder.
Backdoor tista' tkun ukoll fid-database?
Iva. Kodiċi malizzjuż jew ridirezzjonijiet spiss jitpoġġew f'għażliet, f'posts jew f'widgets. Barra minn hekk, l-attakkanti spiss joħolqu kontijiet proprji ta' amministratur, li ssibuhom fit-tabella tal-utenti.