# Kif tagħrfu u tneħħu webshell

> Kif tagħrfu webshell wara PHP2Shell: fittxu fajls, proċessi u konnessjonijiet suspettużi ta' PHP, issalvaw it-traċċi u neħħu l-backdoors b'mod nadif.

Sors: https://phpsos.de/mt/ratgeber/webshell-erkennen/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** Webshell tagħrfuha minn fajls ġodda jew mibdula ta' PHP f'postijiet mhux tas-soltu, minn proċessi barranin tal-utent tas-server tal-web u minn konnessjonijiet mhux tas-soltu. Issalvaw it-traċċi qabel ma tħassru xi ħaġa, u erġgħu stabbilixxu l-kodiċi minn sors nadif. Patch waħdu ma jneħħix backdoor.

## Għaliex il-webshells huma tema wara PHP2Shell

Il-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 f'PHP innifsu jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mill-bogħod mingħajr login. Mira ovvja wara attakk b'suċċess hija backdoor permanenti, jiġifieri webshell. Hija tibqa' teżisti anke jekk PHP sadanittant ġie aġġornat.

Skont rapporti tal-midja, l-ewwel tentattiv ta' attakk ġie osservat diġà fis-17/10/2026, u l-patches ġew fil-21/10. Min kien vulnerabbli f'dan il-perjodu għandu jfittex b'mod immirat. Indicators of Compromise ikkonfermati s'issa ma ġewx ippubblikati. It-tiftix għalhekk jistrieħ fuq anomaliji fl-imġiba, mhux fuq lista lesta.

> **Aġixxu immedjatament:**
> Jekk issibu webshell fuq server b'data tal-klijenti: tħassru xejn bil-għaġla. L-ewwel issalvaw il-provi, imbagħad iżolaw is-server u ppjanaw it-trattament ulterjuri.

## Kif tagħrfu webshell: tivverifikaw il-fajls

Il-biċċa l-kbira tal-webshells huma fajls PHP fid-direttorju tal-web. Jolqtu l-għajn fajls li nħolqu jew nbidlu wara s-17/10, fajls PHP f'folders tal-upload u tal-cache u fajls b'kodiċi moħbi. Il-kmandi li ġejjin ma jbiddlu xejn, jelenkaw biss:

```bash
# Fajls PHP li nbidlu mis-17/10/2026
find /var/www -type f -name "*.php*" -newermt "2026-10-17" -ls

# Fajls PHP f'folders tal-upload, tal-cache jew tmp
find /var/www -type f -name "*.php*" \( -path "*upload*" -o -path "*cache*" -o -path "*tmp*" \) -ls

# Moħbija tipika: eval flimkien ma' dekodifikazzjoni
grep -rlE "eval\s*\(\s*(base64_decode|gzinflate|str_rot13|gzuncompress)" /var/www --include="*.php"

# Linji twal ħafna spiss jindikaw kodiċi ppakkjat
grep -rlE ".{3000,}" /var/www --include="*.php"
```

Is-sejbiet huma indikazzjonijiet, mhux provi. Xi plugins jużaw kodiċi kkodifikat b'mod leġittimu. Qabblu fajls suspettużi mal-pakkett oriġinali tal-manifattur. L-aktar affidabbli huwa paragun ma' checksums jew ma' sistema ta' kontroll tal-verżjonijiet bħal Git:

```bash
# Differenzi mill-aħħar stat magħruf fir-repository Git
git -C /var/www/projekt status --porcelain
```

Timestamp jista' jiġi falsifikat. Għalhekk ma tibqgħux fuq id-data tal-bidla ta' fajl waħedha.

### Liema karatteristiċi jagħmlu fajl suspettuż

| Karatteristika | Għaliex tolqot l-għajn |
|---|---|
| Fajl PHP f'folder tal-upload jew tal-immaġini | Hemmhekk għandhom jinsabu biss fajls tal-midja |
| Estensjoni doppja bħal `.jpg.php` jew `.php.png` | Moħbi bħala fajl innoċenti |
| Linji twal ħafna mingħajr qasma | Tipiku għal kodiċi ppakkjat jew ikkriptat |
| Isem tal-fajl li jixbah fajl tal-qalba, imma mhux fil-pakkett oriġinali | Moħbi f'ambjent magħruf |
| Is-sid jew id-drittijiet ivarjaw mill-fajls ġirien | Il-fajl inħoloq b'mod ieħor |

Iktar karatteristiċi jingħaddu flimkien, iktar hija għolja l-probabbiltà ta' sejba. Iftħu fajls suspettużi biss bħala test, qatt mill-browser, għax sejħa mill-websajt tesegwixxi l-kodiċi.

## Nivverifikaw il-proċessi, il-konnessjonijiet u l-cronjobs

Webshell attiva spiss thalli traċċi barra mis-sistema tal-fajls. L-utent tas-server tal-web, pereżempju `www-data`, `apache` jew `nginx`, normalment ma jibdiex shells, għodod tan-netwerk jew compilers.

```bash
# Proċessi tal-utenti tipiċi tas-server tal-web
ps -eo user,pid,ppid,lstart,cmd | grep -E "^(www-data|apache|nginx)"

# Konnessjonijiet miftuħa tan-netwerk bil-proċess relatat
sudo ss -tunap | grep -E "php|www-data|apache|nginx"

# Kompiti skedati tal-utent tas-server tal-web
sudo crontab -u www-data -l
ls -la /etc/cron.d /var/spool/cron 2>/dev/null
```

Jolqtu l-għajn konnessjonijiet permanenti 'il barra lejn destinazzjonijiet mhux magħrufa, proċessi b'ismijiet kriptiċi u cronjobs li jniżżlu fajls mill-internet. Ivverifikaw ukoll il-logs tal-aċċess għal talbiet lejn fajls li qabel ma kinux jeżistu. Kif isir dan tiddeskrivi l-gwida [Kif tevalwaw il-logs tas-server wara attakk](https://phpsos.de/mt/ratgeber/logfiles-auswerten/).

## Issalvaw it-traċċi qabel ma tneħħu

Min iħassar l-ewwel jitlef it-tweġiba għall-mistoqsijiet l-aktar importanti: kif daħal l-attakkant, x'ra, liema data hija affettwata? Dawn it-tweġibiet għandkom bżonnhom għal notifika possibbli skont il-GDPR, għall-assiguraturi u għad-deċiżjoni jekk sistemi oħra humiex f'periklu.

Sekwenza sensata:

1. Iddokumentaw l-istat: lista tal-proċessi, konnessjonijiet tan-netwerk, utenti illoggjati.
2. Ikkupjaw il-fajls suspettużi u l-logs b'checksum, mingħajr ma tiftħuhom jew teżegwuhom.
3. Jekk possibbli, oħolqu immaġni tas-sistema jew snapshot tal-magna virtwali.
4. Neħħu s-server min-netwerk jew illimitaw bil-qawwa l-aċċess.

Għal sistemi b'data sensittiva jew possibbiltà ta' tilwima legali, is-salvataġġ għandu jsir b'mod forensiku nadif. Sfond dwar dan issibu taħt [Forensika tal-IT wara attakk fuq server tal-web](https://phpsos.de/mt/leistungen/it-forensik/).

## Kif tneħħu webshells b'mod nadif

It-tħassir ta' fajl wieħed rari jkun it-tmiem. L-attakkanti spiss joħolqu diversi aċċessi: fajls oħra f'postijiet moħbija, entrati f'fajls ta' konfigurazzjoni bħal `.htaccess` jew `.user.ini`, kontijiet ġodda ta' amministratur fl-applikazzjoni jew cronjobs. Tindif affidabbli jsegwi dawn il-passi:

- Ġibu PHP għal stat rranġat (8.5.12, 8.4.27, 8.3.36, 8.2.35 jew backport ikkonfermat) u erġgħu ibdew il-proċessi kollha ta' PHP.
- Erġgħu stabbilixxu l-kodiċi tal-applikazzjoni minn sors nadif, minflok ma tirranġaw fajls individwali.
- Ittrasferixxu biss kontenut ivverifikat bħall-uploads u d-database, u fittxu hemmhekk b'mod immirat għal kodiċi introdott.
- Biddlu l-kredenzjali kollha: database, SSH, FTP, kontijiet ta' amministratur, ċwievet API.
- Illimitaw id-drittijiet ta' kitba tas-server tal-web għal dak li hu meħtieġ u ipprevjenu l-eżekuzzjoni ta' PHP f'folders tal-upload.

Għal WordPress hemm moħbijiet tipiċi proprji, li tiddeskrivi l-gwida [Kif issibu backdoors f'WordPress](https://phpsos.de/mt/ratgeber/backdoor-wordpress-finden/). Wara dan il-websajt għandha tiġi sorveljata aktar mill-qrib għal xi żmien, biex aċċess ġdid jinnota kmieni.

## Kif tgħin PHP SOS b'mod konkret?

- Insalvaw il-logs, il-fajls u l-istat tas-sistema b'mod traċċabbli, qabel ma jinbidel xi ħaġa.
- Infittxu backdoors fil-fajls, fid-database, fil-cronjobs u fil-konfigurazzjoni u nikklassifikaw is-sejbiet.
- Nerġgħu nistabbilixxu l-applikazzjoni minn sors nadif, nibdlu l-aċċessi u nisħu s-server.
- Niddokumentaw l-inċident sakemm jingħalaq, bħala bażi għan-notifiki u għall-assiguraturi.

Il-proċess ta' tindif jiddeskrivih is-servizz [Tneħħija ta' malware u webshells](https://phpsos.de/mt/leistungen/malware-entfernung/).


## Mistoqsijiet frekwenti

**X'inhi webshell?**  
Webshell hija fajl introdott, ġeneralment PHP, li bih l-attakkanti jistgħu jikkontrollaw is-server mill-bogħod. Spiss tidher bħala fajl innoċenti b'isem li ma jagħtix x'jinduna, u tibqa' attiva anke wara aġġornament.

**Antivirus isib kull webshell?**  
Le. L-iscanners jagħrfu mudelli magħrufa, varjanti ġodda jew moħbija sew jgħaddu. Dwar PHP2Shell, barra minn hekk, ma hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati, għalhekk l-analiżi tal-imġiba hija iktar importanti minn lista ta' firem.

**Huwa biżżejjed li nħassar il-fajl misjub?**  
Ġeneralment le. L-attakkanti spiss joħolqu diversi aċċessi, pereżempju fajls oħra, cronjobs jew kontijiet ġodda ta' amministratur. Mingħajr analiżi tal-kawża u bidla tal-kredenzjali kollha, aċċess ġdid huwa probabbli.

**Irrid nirrapporta xi ħaġa jekk insib webshell?**  
Jekk data personali tista' tkun affettwata, jista' jkun hemm obbligu ta' notifika skont il-GDPR, ġeneralment fi żmien 72 siegħa. Iċċarawh mal-uffiċjal tal-protezzjoni tad-data jew ma' avukat; din mhix konsulenza legali.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [OWASP Cheat Sheet Series](https://cheatsheetseries.owasp.org/)
- [BSI: l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni](https://www.bsi.bund.de/)
- [GDPR Art. 33: Notifika lill-awtorità superviżorja](https://dsgvo-gesetz.de/art-33-dsgvo/)