Kif tassiguraw Apache b'mod_php

Fil-qosor: F'Apache b'mod_php, PHP jaħdem direttament fis-server tal-web. It-tim ta' PHP jikklassifika r-riskju minn PHP2Shell preċiżament f'din il-modalità tat-tħaddim bħala l-ogħla, għax intwera exploit qabel ma jibda jaħdem xi kodiċi tal-applikazzjoni. Ippatchjaw minnufih, erġgħu ibdew Apache kompletament u wara ippjanaw il-bidla għal PHP-FPM.

X'inhu mod_php u għaliex jgħodd issa

F'mod_php, Apache jgħabbi lil PHP bħala modulu f'kull proċess tax-xogħol tiegħu. Kull talba għal fajl ta' PHP tiġi eżegwita direttament f'dan il-proċess. Għal żmien twil dan kien l-istandard u huwa sempliċi biex jiġi stabbilit. Imma jfisser ukoll: il-websajts kollha fuq is-server jaħdmu bl-istess utent, u PHP jaqsam il-proċess mas-server tal-web.

PHP2Shell jinkludi l-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619, it-tnejn b'CVSS v4.0 9,2. Fit-tieni, stat intern ta' talba jista' jibqa' wara li l-memorja tiġi meħlusa u jintuża minn talba aktar tard fl-istess proċess. Għal mod_php it-tim ta' PHP stabbilixxa l-ogħla riskju. L-isfond u l-klassifikazzjoni jinsabu f'Għaliex mod_php għandu l-ogħla riskju.

Għarfu Apache mod_php u ivverifikaw il-verżjoni

L-ewwel iċċekkjaw jekk Apache tagħkom jużax mod_php. Il-kmandi li ġejjin jaqraw biss. L-ismijiet tal-kmandi u tal-pakketti jvarjaw skont id-distribuzzjoni u huma eżempji.

# Debian/Ubuntu: geladene Module
apache2ctl -M 2>/dev/null | grep -i php

# RHEL-Familie
httpd -M 2>/dev/null | grep -i php

# Welches MPM ist aktiv? mod_php setzt prefork voraus
apache2ctl -V 2>/dev/null | grep -i mpm

# Paketstand des Moduls (Beispiele)
dpkg -l | grep libapache2-mod-php
rpm -qa | grep -E '^php(-[0-9.]+)?$|^php-common'

Jekk jidher modulu bħal php_module, mod_php jaħdem. Il-verżjoni ta' PHP murija waħedha mhijiex prova tal-patch, għax id-distribuzzjonijiet spiss jinstallaw korrezzjonijiet bħala backport. Verżjonijiet irranġati tal-proġett PHP huma 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Fil-każ ta' pakketti tad-distribuzzjoni jgħodd il-changelog bin-numri tas-CVE.

Ippatchjaw u erġgħu ibdew Apache kompletament

Installaw l-aġġornament permezz tal-ġestjoni tal-pakketti. Billi PHP jinsab fil-proċess ta' Apache, wara jrid jerġa' jibda s-servizz kollu. Tgħabbija mill-ġdid tal-konfigurazzjoni hawnhekk mhijiex it-triq sigura.

# Debian/Ubuntu
systemctl restart apache2

# RHEL-Familie
systemctl restart httpd

# Kontrolle: Startzeit aller Apache-Prozesse
ps -eo pid,lstart,cmd | grep -E 'apache2|httpd' | grep -v grep

Il-proċessi kollha ta' Apache iridu juru ħin tal-bidu wara l-aġġornament. Jekk fuq l-istess server jaħdem ukoll PHP-FPM jew php-cgi, erġgħu ibdew ukoll dawn is-servizzi.

Miżuri temporanji fil-konfigurazzjoni ta' Apache

php.net isemmi miżuri temporanji li jnaqqsu r-riskju, imma ma joffrux protezzjoni sħiħa. B'mod_php tissettjaw il-valuri b'php_admin_value jew php_admin_flag fil-konfigurazzjoni ta' Apache, biex .htaccess u l-applikazzjonijiet ma jkunux jistgħu jissostitwuhom.

# Beispiel: in der VirtualHost- oder serverweiten Konfiguration
<IfModule php_module>
    php_admin_flag  session.upload_progress.enabled off
    php_admin_value post_max_size 8M
    php_admin_value upload_max_filesize 6M
</IfModule>

Meta jkun hemm funzjoni ta' upload, php.net jissuġġerixxi post_max_size = 32M, bi upload_max_filesize taħtu. Fuq PHP 8.5 jiżdied fatal_error_backtraces=0. L-indikazzjoni dwar memory_limit=-1 timplimentawha biss flimkien ma' limitu tal-memorja għas-servizz permezz tas-cgroups, pereżempju b'MemoryMax f'estensjoni ta' systemd, mhux permezz ta' RLIMIT_AS jew RLIMIT_DATA. Wara erġgħu ibdew Apache kompletament. Il-miżuri kollha fil-qosor: Miżuri immedjati mingħajr patch.

It-triq 'il bogħod minn mod_php

Wara l-patch akut jiswa li tgħaddu għal PHP-FPM. Hemm PHP jaħdem fi proċessi proprji, separati mis-server tal-web. Kull websajt tista' tikseb pool proprju b'utent proprju, il-limiti jistgħu jiġu ssettjati għal kull pool, u r-restarts jaffettwaw biss lil PHP. Apache jorbot PHP-FPM permezz ta' mod_proxy_fcgi u mbagħad jista' juża MPM aktar modern bħal event minflok prefork.

Ippjanaw il-bidla f'ambjent tat-test: oħolqu pools għal kull websajt, adattaw id-drittijiet tal-fajls għall-utenti l-ġodda, ittrasferixxu d-daħliet php_value ta' .htaccess fl-issettjar tal-pools, agħmlu testijiet tat-tagħbija. Kif tidher struttura nadifa turi Kif tassiguraw Nginx b'PHP-FPM; il-prinċipji japplikaw ukoll għal Apache b'PHP-FPM.

Indipendentement mill-modalità tat-tħaddim: patch ma jneħħix malware li diġà ġiet introdotta. Żommu l-logs mill-20/10/2026 'il quddiem u iċċekkjaw is-server għal traċċi.

Meta tfittxu traċċi fuq servers b'mod_php jiswa li tħarsu lejn l-utent komuni. Billi l-websajts kollha jaħdmu taħt l-utent ta' Apache, pereżempju www-data jew apache, attakkant li jkun ħa f'idejh websajt wieħda ġeneralment jista' jaqra u jibdel ukoll il-fajls tal-oħrajn. Għalhekk iċċekkjaw mhux biss il-websajt li tidher strana, imma d-document-roots kollha fuq is-server. Oqogħdu attenti b'mod partikolari għal fajls ta' PHP b'data ta' tibdil riċenti f'direttorji tal-upload u tal-cache, għal kodiċi tal-programm li jappartjeni lill-utent ta' Apache, u għal daħliet mhux magħrufa fil-crontab ta' dan l-utent. Jekk issibu xi ħaġa, l-ewwel issalvaw l-istat u tħassrux fajls bla ħsieb, biex il-kawża tibqa' traċċabbli aktar tard.

Kif tgħin PHP SOS b'mod konkret?

• Niċċekkjaw il-modalità tat-tħaddim, l-MPM u l-istat tal-pakketti u nevalwaw jekk is-server tagħkom huwiex tassew ippatchjat.
• Permezz tas-servizz ta' patch ta' PHP ninstallaw l-aġġornament, nerġgħu nibdew Apache kompletament u niddokumentaw il-prova.
• Sakemm jasal il-patch, nissettjaw il-miżuri temporanji b'mod li ma jistax jiġi sostitwit u nillimitaw il-memorja fil-livell tas-servizz.
• Fil-qafas tat-tisħiħ tas-server nippjanaw u nittestjaw il-bidla għal PHP-FPM b'pools separati.

Mistoqsijiet frekwenti

Sorsi

• php.net: Avviżi tas-sigurtà
• PHP 8 ChangeLog
• BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni)
• OWASP Cheat Sheets