Fil-qosor: Webshell tagħrfuha minn fajls ġodda jew mibdula ta' PHP f'postijiet mhux tas-soltu, minn proċessi barranin tal-utent tas-server tal-web u minn konnessjonijiet mhux tas-soltu. Issalvaw it-traċċi qabel ma tħassru xi ħaġa, u erġgħu stabbilixxu l-kodiċi minn sors nadif. Patch waħdu ma jneħħix backdoor.
Għaliex il-webshells huma tema wara PHP2Shell
Il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 f'PHP innifsu jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod mingħajr login. Mira ovvja wara attakk b'suċċess hija backdoor permanenti, jiġifieri webshell. Hija tibqa' teżisti anke jekk PHP sadanittant ġie aġġornat.
Skont rapporti tal-midja, l-ewwel tentattiv ta' attakk ġie osservat diġà fis-17/10/2026, u l-patches ġew fil-21/10. Min kien vulnerabbli f'dan il-perjodu għandu jfittex b'mod immirat. Indicators of Compromise ikkonfermati s'issa ma ġewx ippubblikati. It-tiftix għalhekk jistrieħ fuq anomaliji fl-imġiba, mhux fuq lista lesta.
Jekk issibu webshell fuq server b'data tal-klijenti: tħassru xejn bil-għaġla. L-ewwel issalvaw il-provi, imbagħad iżolaw is-server u ppjanaw it-trattament ulterjuri.
Kif tagħrfu webshell: tivverifikaw il-fajls
Il-biċċa l-kbira tal-webshells huma fajls PHP fid-direttorju tal-web. Jolqtu l-għajn fajls li nħolqu jew nbidlu wara s-17/10, fajls PHP f'folders tal-upload u tal-cache u fajls b'kodiċi moħbi. Il-kmandi li ġejjin ma jbiddlu xejn, jelenkaw biss:
# Fajls PHP li nbidlu mis-17/10/2026
find /var/www -type f -name "*.php*" -newermt "2026-10-17" -ls
# Fajls PHP f'folders tal-upload, tal-cache jew tmp
find /var/www -type f -name "*.php*" \( -path "*upload*" -o -path "*cache*" -o -path "*tmp*" \) -ls
# Moħbija tipika: eval flimkien ma' dekodifikazzjoni
grep -rlE "eval\s*\(\s*(base64_decode|gzinflate|str_rot13|gzuncompress)" /var/www --include="*.php"
# Linji twal ħafna spiss jindikaw kodiċi ppakkjat
grep -rlE ".{3000,}" /var/www --include="*.php"
Is-sejbiet huma indikazzjonijiet, mhux provi. Xi plugins jużaw kodiċi kkodifikat b'mod leġittimu. Qabblu fajls suspettużi mal-pakkett oriġinali tal-manifattur. L-aktar affidabbli huwa paragun ma' checksums jew ma' sistema ta' kontroll tal-verżjonijiet bħal Git:
# Differenzi mill-aħħar stat magħruf fir-repository Git
git -C /var/www/projekt status --porcelain
Timestamp jista' jiġi falsifikat. Għalhekk ma tibqgħux fuq id-data tal-bidla ta' fajl waħedha.
Liema karatteristiċi jagħmlu fajl suspettuż
| Karatteristika | Għaliex tolqot l-għajn |
|---|---|
| Fajl PHP f'folder tal-upload jew tal-immaġini | Hemmhekk għandhom jinsabu biss fajls tal-midja |
Estensjoni doppja bħal .jpg.php jew .php.png |
Moħbi bħala fajl innoċenti |
| Linji twal ħafna mingħajr qasma | Tipiku għal kodiċi ppakkjat jew ikkriptat |
| Isem tal-fajl li jixbah fajl tal-qalba, imma mhux fil-pakkett oriġinali | Moħbi f'ambjent magħruf |
| Is-sid jew id-drittijiet ivarjaw mill-fajls ġirien | Il-fajl inħoloq b'mod ieħor |
Iktar karatteristiċi jingħaddu flimkien, iktar hija għolja l-probabbiltà ta' sejba. Iftħu fajls suspettużi biss bħala test, qatt mill-browser, għax sejħa mill-websajt tesegwixxi l-kodiċi.
Nivverifikaw il-proċessi, il-konnessjonijiet u l-cronjobs
Webshell attiva spiss thalli traċċi barra mis-sistema tal-fajls. L-utent tas-server tal-web, pereżempju www-data, apache jew nginx, normalment ma jibdiex shells, għodod tan-netwerk jew compilers.
# Proċessi tal-utenti tipiċi tas-server tal-web
ps -eo user,pid,ppid,lstart,cmd | grep -E "^(www-data|apache|nginx)"
# Konnessjonijiet miftuħa tan-netwerk bil-proċess relatat
sudo ss -tunap | grep -E "php|www-data|apache|nginx"
# Kompiti skedati tal-utent tas-server tal-web
sudo crontab -u www-data -l
ls -la /etc/cron.d /var/spool/cron 2>/dev/null
Jolqtu l-għajn konnessjonijiet permanenti 'il barra lejn destinazzjonijiet mhux magħrufa, proċessi b'ismijiet kriptiċi u cronjobs li jniżżlu fajls mill-internet. Ivverifikaw ukoll il-logs tal-aċċess għal talbiet lejn fajls li qabel ma kinux jeżistu. Kif isir dan tiddeskrivi l-gwida Kif tevalwaw il-logs tas-server wara attakk.
Issalvaw it-traċċi qabel ma tneħħu
Min iħassar l-ewwel jitlef it-tweġiba għall-mistoqsijiet l-aktar importanti: kif daħal l-attakkant, x'ra, liema data hija affettwata? Dawn it-tweġibiet għandkom bżonnhom għal notifika possibbli skont il-GDPR, għall-assiguraturi u għad-deċiżjoni jekk sistemi oħra humiex f'periklu.
Sekwenza sensata:
- Iddokumentaw l-istat: lista tal-proċessi, konnessjonijiet tan-netwerk, utenti illoggjati.
- Ikkupjaw il-fajls suspettużi u l-logs b'checksum, mingħajr ma tiftħuhom jew teżegwuhom.
- Jekk possibbli, oħolqu immaġni tas-sistema jew snapshot tal-magna virtwali.
- Neħħu s-server min-netwerk jew illimitaw bil-qawwa l-aċċess.
Għal sistemi b'data sensittiva jew possibbiltà ta' tilwima legali, is-salvataġġ għandu jsir b'mod forensiku nadif. Sfond dwar dan issibu taħt Forensika tal-IT wara attakk fuq server tal-web.
Kif tneħħu webshells b'mod nadif
It-tħassir ta' fajl wieħed rari jkun it-tmiem. L-attakkanti spiss joħolqu diversi aċċessi: fajls oħra f'postijiet moħbija, entrati f'fajls ta' konfigurazzjoni bħal .htaccess jew .user.ini, kontijiet ġodda ta' amministratur fl-applikazzjoni jew cronjobs. Tindif affidabbli jsegwi dawn il-passi:
- Ġibu PHP għal stat rranġat (8.5.12, 8.4.27, 8.3.36, 8.2.35 jew backport ikkonfermat) u erġgħu ibdew il-proċessi kollha ta' PHP.
- Erġgħu stabbilixxu l-kodiċi tal-applikazzjoni minn sors nadif, minflok ma tirranġaw fajls individwali.
- Ittrasferixxu biss kontenut ivverifikat bħall-uploads u d-database, u fittxu hemmhekk b'mod immirat għal kodiċi introdott.
- Biddlu l-kredenzjali kollha: database, SSH, FTP, kontijiet ta' amministratur, ċwievet API.
- Illimitaw id-drittijiet ta' kitba tas-server tal-web għal dak li hu meħtieġ u ipprevjenu l-eżekuzzjoni ta' PHP f'folders tal-upload.
Għal WordPress hemm moħbijiet tipiċi proprji, li tiddeskrivi l-gwida Kif issibu backdoors f'WordPress. Wara dan il-websajt għandha tiġi sorveljata aktar mill-qrib għal xi żmien, biex aċċess ġdid jinnota kmieni.
Kif tgħin PHP SOS b'mod konkret?
- Insalvaw il-logs, il-fajls u l-istat tas-sistema b'mod traċċabbli, qabel ma jinbidel xi ħaġa.
- Infittxu backdoors fil-fajls, fid-database, fil-cronjobs u fil-konfigurazzjoni u nikklassifikaw is-sejbiet.
- Nerġgħu nistabbilixxu l-applikazzjoni minn sors nadif, nibdlu l-aċċessi u nisħu s-server.
- Niddokumentaw l-inċident sakemm jingħalaq, bħala bażi għan-notifiki u għall-assiguraturi.
Il-proċess ta' tindif jiddeskrivih is-servizz Tneħħija ta' malware u webshells.
Mistoqsijiet frekwenti
X'inhi webshell?
Webshell hija fajl introdott, ġeneralment PHP, li bih l-attakkanti jistgħu jikkontrollaw is-server mill-bogħod. Spiss tidher bħala fajl innoċenti b'isem li ma jagħtix x'jinduna, u tibqa' attiva anke wara aġġornament.
Antivirus isib kull webshell?
Le. L-iscanners jagħrfu mudelli magħrufa, varjanti ġodda jew moħbija sew jgħaddu. Dwar PHP2Shell, barra minn hekk, ma hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati, għalhekk l-analiżi tal-imġiba hija iktar importanti minn lista ta' firem.
Huwa biżżejjed li nħassar il-fajl misjub?
Ġeneralment le. L-attakkanti spiss joħolqu diversi aċċessi, pereżempju fajls oħra, cronjobs jew kontijiet ġodda ta' amministratur. Mingħajr analiżi tal-kawża u bidla tal-kredenzjali kollha, aċċess ġdid huwa probabbli.
Irrid nirrapporta xi ħaġa jekk insib webshell?
Jekk data personali tista' tkun affettwata, jista' jkun hemm obbligu ta' notifika skont il-GDPR, ġeneralment fi żmien 72 siegħa. Iċċarawh mal-uffiċjal tal-protezzjoni tad-data jew ma' avukat; din mhix konsulenza legali.