Kronoloġija ta' PHP2Shell: mis-17 sal-25 ta' Ottubru 2026

Fil-qosor: Il-kronoloġija ta' PHP2Shell tinkludi s'issa erba' dati ppruvati: l-ewwel tentattiv ta' attakk osservat fis-17/10, it-twissija bil-quddiem ta' php.net fl-20/10, il-patches fil-21/10 fis-16:00 ta' ħin Ġermaniż u avviż ieħor dwar CVE-2026-115560 fit-23/10/2026. Għall-operaturi dan ifisser: applikaw il-patch, erġgħu ibdew il-proċessi kollha ta' PHP u żommu l-logs mill-20/10 l-aktar tard.

Għaliex il-kronoloġija ta' PHP2Shell hija importanti għall-operaturi

Meta vulnerabbiltà hija bħal din, ma tgħoddx biss jekk is-server tagħkom huwiex ippatchjat illum. Id-deċiżiv huwa wkoll kemm dam vulnerabbli qabel. Dan il-perjodu jiddetermina liema logs tissalvaw, liema fajls tivverifikaw u jekk tistgħu teskludu kompromess b'raġuni soda.

PHP2Shell jolqot lil PHP innifsu, mhux CMS individwali. Żewġ vulnerabbiltajiet kritiċi, CVE-2026-109618 u CVE-2026-109619, jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod mingħajr login. It-tnejn huma ttaxxati b'CVSS v4.0 9,2. Introduzzjoni li tinftiehem issibuha taħt X'inhu PHP2Shell?.

Il-kronoloġija li ġejja fiha biss dati ppruvati fil-25/10/2026. Meta dikjarazzjoni tistrieħ fuq rapporti tal-midja, dan huwa nnutat.

17 ta' Ottubru: l-ewwel tentattiv ta' attakk osservat

Skont rapporti tal-midja, fis-17/10/2026 ġie osservat l-ewwel tentattiv ta' attakk, irrapportat minn Amazon. Dan kien erbat ijiem qabel il-patches. Kien hemm għalhekk perjodu li fih diġà saru tentattivi ta' attakk, imma kien għad m'hemm l-ebda aġġornament.

Jekk u kemm attakki f'din il-fażi rnexxew mhuwiex ippruvat. Importanti hija l-konsegwenza għall-verifika tagħkom stess: server li llum huwa ppatchjat jista' jkun ġie kompromess qabel. Patch ma jneħħix softwer malizzjuż li jkun ġie introdott u ma jippruvax li qabel ma ġara xejn.

20 u 21 ta' Ottubru: twissija bil-quddiem u patches

Fl-20/10/2026 il-proġett PHP ħabbar l-aġġornamenti tas-sigurtà fuq php.net. Fil-21/10/2026 fis-14:00 UTC, jiġifieri fis-16:00 ta' ħin Ġermaniż, ġew wara l-verżjonijiet rranġati.

Għal PHP 8.1 u eqdem ma hemmx aktar aġġornamenti uffiċjali, hemm biss backports minimi tas-sors għal 7.4, 8.0 u 8.1. Skont l-istampa speċjalizzata, kważi l-verżjonijiet kollha lura sa PHP 5.4 huma affettwati. Huma affettwati l-modalitajiet tat-tħaddim PHP-FPM, Apache b'mod_php, php-cgi, FrankenPHP u LiteSpeed. L-ogħla riskju t-tim ta' PHP jarah f'mod_php, fejn intwera exploit qabel ma jibda jaħdem anke kodiċi tal-applikazzjoni.

Id-distribuzzjonijiet u l-hosters kultant jintroduċu backports. Imbagħad Plesk, pereżempju, ikompli juri 8.2.34 għalkemm is-server huwa ppatchjat. Id-deċiżiv huma l-istat tal-pakkett u l-konferma tal-fornitur, mhux in-numru tal-verżjoni murija. Kif tivverifikaw dan sewwa tarawh taħt Kif tivverifikaw sewwa l-verżjoni ta' PHP u l-istat tal-patches.

23 ta' Ottubru: avviż dwar CVE-2026-115560

Fit-23/10/2026 il-proġett PHP ippubblika avviż ieħor, din id-darba dwar CVE-2026-115560. Skontu, sfruttament huwa possibbli biss f'konfigurazzjoni mhux tas-soltu: fil-konfigurazzjoni l-serialize_handler huwa php_binary jew php_serialize, l-applikazzjoni, qabel session_start(), terġa' tbiddlu għal php permezz ta' ini_set(), u l-upload progress tas-session huwa attiv.

Is-soluzzjoni hija sempliċi u għandha tiġi applikata indipendentement minn jekk intomx taħsbu li tapplika għalikom din il-kombinazzjoni:

; fil-php.ini, fil-pool FPM jew fil-konfigurazzjoni tas-server
; mhux permezz ta' ini_set() jew .user.ini
session.upload_progress.enabled = 0

Wara dan erġgħu ibdew il-workers kollha ta' PHP. L-advisory sħiħ għandu jiġi mal-bugfix release regolari li jmiss. Sa dakinhar dan l-issettjar jibqa' s-soluzzjoni temporanja rakkomandata.

25 ta' Ottubru: is-sitwazzjoni u mistoqsijiet miftuħa

Il-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) ħabbar livell ta' twissija 3 / oranġjo. Jirrakkomanda aġġornament immedjat u, jekk dan ma jkunx possibbli minnufih, li s-servers tal-web jitneħħew temporanjament min-netwerk. Il-BSI kien jistenna sfruttament mgħaġġel fuq skala kbira; attakki ta' suċċess ikkonfermati fuq skala wiesgħa, skont il-BSI, għall-ewwel ma kinux magħrufa. L-evalwazzjoni tal-BSI hija miġbura fil-paġna X'jirrakkomanda l-BSI dwar PHP2Shell.

Cloudflare rrapporta tentattivi ta' attakk osservati u ppubblika regoli ta' protezzjoni, imma jwissi li regoli bbażati fuq id-data tat-talba waħedha mhumiex biżżejjed. Palo Alto Networks (Unit 42) għadd aktar minn 22,6 miljun istanza esposta u potenzjalment vulnerabbli. Indicators of Compromise ikkonfermati ma ġewx ippubblikati; l-identifikazzjoni tistrieħ fuq l-analiżi tal-imġiba.

Xi fornituri neħħew websajts offline b'prekawzjoni. Dan ma jfissirx awtomatikament li dawn il-paġni ġew hackjati. Il-mistoqsija ewlenija li tibqa' miftuħa, fl-istat ta' din il-ħarsa ġenerali, hija kemm servers kienu verament kompromessi fiż-żmien qabel il-patch.

X'tfisser il-kronoloġija għal-logs u għall-verifiki tagħkom

Mid-dati joħorġu tliet perjodi: qabel is-17/10, bejn is-17/10 u l-mument tal-patch u tar-restart tagħkom stess, u wara. Il-perjodu tan-nofs huwa dak kritiku. Iktar ma dam għandkom, iktar il-verifika għandha tkun bir-reqqa.

Mod sempliċi biex tissalvaw il-logs mingħajr ma jinbidlu u tirreġistraw l-istat:

# Issalvaw il-logs flimkien (adattaw il-mogħdijiet għas-sistema tagħkom)
sudo tar czf /root/logs-sicherung-$(date +%F).tar.gz /var/log/apache2 /var/log/nginx /var/log/php*
# Checksum bħala prova aktar tard
sha256sum /root/logs-sicherung-*.tar.gz
# Kemm iżomm il-logs is-sistema?
grep -R "rotate" /etc/logrotate.d/

Innutaw ukoll eżattament meta ġie installat l-aġġornament u meta ġew imnedija mill-ġdid il-proċessi ta' PHP. Fajls ġodda waħedhom ma jipproteġux sakemm proċessi qodma jibqgħu jaħdmu fil-memorja. Kif tevalwaw il-logs salvati jiddeskrivi l-gwida Kif tevalwaw il-logs tas-server wara attakk.

Kif tgħin PHP SOS b'mod konkret?

• Niddeterminaw magħkom it-tieqa reali ta' vulnerabbiltà tas-server tagħkom: l-istat tal-pakketti, il-ħin tal-patch, ir-restart tal-workers kollha.
• Insalvaw il-logs u l-istat tas-sistema b'mod traċċabbli, qabel ma jinbidel xi ħaġa.
• Niċċekkjaw għal imġiba suspettuża bħal fajls ġodda ta' PHP, proċessi barranin u konnessjonijiet 'il barra mhux tas-soltu.
• Niddokumentaw ir-riżultat b'mod li jistgħu jaħdmu bih il-maniġment, l-uffiċjali tal-protezzjoni tad-data u l-assiguraturi.

Il-proċess fid-dettall jiddeskrivih l-Għajnuna immedjata għal PHP2Shell tagħna.

Mistoqsijiet frekwenti

Sorsi

• php.net: Avviżi tas-sigurtà
• PHP 8 ChangeLog
• BSI: l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni
• TechTarget: PHP2Shell, 22M exposed servers at risk