php-cgi: wirt qadim b'riskju

Fil-qosor: php-cgi huwa l-eqdem mod kif PHP jitħaddem wara server tal-web, u għadu jaħdem fuq ħafna servers, spiss mingħajr ma wieħed jinduna. Il-vulnerabbiltà ta' php-cgi f'PHP2Shell taffettwa espliċitament din il-modalità tat-tħaddim. Ippatchjaw, itterminaw il-proċessi php-cgi kollha li jaħdmu u ippjanaw il-bidla għal PHP-FPM.

X'inhu php-cgi u fejn għadu jaħdem

PHP jeżisti f'diversi varjanti: bħala programm tal-linja tal-kmand, bħala modulu ta' Apache, bħala PHP-FPM u bħala php-cgi. php-cgi huwa programm li s-server tal-web jibda u li lilu jgħaddi t-talbiet permezz ta' CGI jew FastCGI. Mingħajr ġestjoni proprja tal-proċessi huwa aktar sempliċi minn PHP-FPM, imma wkoll inqas ikkontrollabbli.

Postijiet tipiċi fejn jinstab huma panels tal-hosting eqdem, Apache b'mod_fcgid, skripts wrapper proprji għal diversi verżjonijiet ta' PHP u PHP taħt Windows b'IIS permezz ta' FastCGI. F'aġenziji u awtoritajiet jinstabu wkoll servers li ġew stabbiliti snin ilu u minn dakinhar biss ġew imħaddma.

Il-vulnerabbiltà ta' php-cgi f'PHP2Shell

PHP2Shell jinkludi l-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 f'PHP innifsu, kull waħda b'CVSS v4.0 9,2. It-tnejn jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mingħajr login. Il-proġett PHP isemmi espliċitament lil php-cgi fost il-modalitajiet tat-tħaddim affettwati, flimkien ma' PHP-FPM, mod_php, FrankenPHP u LiteSpeed.

Irranġati huma PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Għal PHP 8.1 u eqdem m'hemmx aktar aġġornamenti uffiċjali, biss backports minimi tas-sors għal 7.4, 8.0 u 8.1. Preċiżament is-setups php-cgi jaħdmu aktar spiss mill-medja fuq verżjonijiet qodma. php-cgi, barra minn hekk, mhuwiex affettwat għall-ewwel darba: diġà fl-2024 vulnerabbiltà f'php-cgi taħt Windows (CVE-2024-4577) qanqlet attenzjoni. Wirt ta' dan it-tip jixraqlu għalhekk attenzjoni speċjali.

Nsibu php-cgi fuq is-server

Il-kmandi li ġejjin jaqraw biss u jgħinu jinstab php-cgi. Il-mogħdijiet u l-ismijiet tal-moduli huma eżempji.

# Laufende php-cgi-Prozesse mit Startzeit und Benutzer
ps -eo pid,lstart,user,cmd | grep -E 'php-cgi|php[0-9.]*-cgi' | grep -v grep

# Installierte php-cgi-Programme
ls /usr/bin/php*-cgi /usr/lib/cgi-bin/php* 2>/dev/null

# Apache: Ist mod_fcgid oder mod_cgi geladen?
apache2ctl -M 2>/dev/null | grep -Ei 'fcgid|cgi'
grep -RniE 'FcgidWrapper|AddHandler.*php|Action.*php' /etc/apache2 /etc/httpd 2>/dev/null

Jekk issibu daħliet FcgidWrapper jew handlers li juru lejn programm php-cgi, din il-modalità tat-tħaddim taħdem. Għal kull programm misjub iċċekkjaw il-verżjoni b'-v. Fil-każ ta' pakketti tad-distribuzzjoni, il-changelog bin-numri tas-CVE jippruva l-patch, għax il-backports spiss ma jibdlux in-numru tal-verżjoni.

Ippatchjaw u itterminaw il-proċessi kollha

Installaw l-aġġornament permezz tal-ġestjoni tal-pakketti jew is-sors li minnu jiġi php-cgi. Wara, il-proċessi php-cgi kollha li jaħdmu iridu jisparixxu. B'mod_fcgid Apache iżomm proċessi lesti għal xi żmien; restart sħiħ ta' Apache jtemmhom.

# Apache vollständig neu starten (Debian/Ubuntu bzw. RHEL-Familie)
systemctl restart apache2   # jew: systemctl restart httpd

# Kontrolle: Gibt es noch php-cgi-Prozesse älter als das Update?
ps -eo pid,lstart,cmd | grep -E 'php-cgi' | grep -v grep

Jekk php-cgi jaħdem permezz ta' maniġer tal-proċessi proprju jew servizz tal-panel, erġgħu ibdew dan. Taħt Windows b'IIS erġgħu ibdew (recycle) l-application pools, ara PHP taħt Windows u IIS.

Miżuri temporanji għal php-cgi

php.net jirrakkomanda miżuri temporanji li ma joffrux protezzjoni sħiħa. F'php-cgi l-valuri jappartjenu fil-php.ini li l-programm rispettiv iġorr, jew fil-konfigurazzjoni tas-server. Fajls .user.ini u ini_set() mhumiex biżżejjed għal session.upload_progress.enabled skont php.net.

; php.ini der php-cgi-Installation
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M

Meta jkun hemm funzjoni ta' upload, php.net jissuġġerixxi post_max_size = 32M. Fuq PHP 8.5 jiżdied fatal_error_backtraces=0. Limiti tal-memorja tissettjawhom permezz tal-cgroups għas-servizz tas-server tal-web, mhux permezz ta' RLIMIT_AS jew RLIMIT_DATA. Wara erġgħu ibdew il-proċessi kollha.

It-triq lejn PHP-FPM

Fit-tul php-cgi mhuwiex għażla tajba. PHP-FPM joffri pools għal kull websajt, utenti proprji, limiti għal kull pool, paġni tal-istatus u restarts ikkontrollati. Il-bidla ġeneralment tista' tiġi ppjanata tajjeb: tinstalla PHP-FPM, toħloq pools, tibdel is-server tal-web għal FastCGI lejn PHP-FPM, tneħħi l-iskripts wrapper. Kif tidher struttura nadifa turi Kif tassiguraw Nginx b'PHP-FPM. Jekk jaħdem ukoll verżjoni qadima ta' PHP, għaqqdu l-bidla mal-upgrade.

Sakemm isir il-bidla, għandkom tivverifikaw b'mod kritiku l-konfigurazzjoni eżistenti. Is-server tal-web għandu jgħaddi lil php-cgi biss fajls bit-tmiem .php u mhux mogħdijiet li jindikaw fajls li ma jeżistux. F'direttorji tal-upload ma jistax ikun hemm eżekuzzjoni ta' PHP. Skripts wrapper li jgħabbu php.ini proprju għal kull websajt, iċċekkjawhom jekk dawn il-fajls jerġgħux ineħħu l-valuri temporanji. Jekk programm php-cgi jinsab direttament f'direttorju aċċessibbli pubblikament bħal cgi-bin, hemmhekk għandu jitneħħa. Wirt bħal dan spiss joriġina minn istruzzjonijiet ta' installazzjoni ta' snin ilu u sempliċement jintesa f'tibdiliet aktar tard. Iddokumentaw kull sejba bil-mogħdija u l-għan, biex il-bidla aktar tard ma tinsa xejn.

Jibqa' importanti: patch ma jneħħix malware li tkun ġiet introdotta qabel. Żommu l-logs mill-20/10/2026 'il quddiem.

Kif tgħin PHP SOS b'mod konkret?

• Insibu l-installazzjonijiet php-cgi, il-wrappers u l-handlers u nassenjawhom lill-websajts.
• Nippatchjaw, nitterminaw il-proċessi qodma kollha u niddokumentaw l-istat.
• Għal PHP 8.1 u eqdem nippjanaw magħkom il-migrazzjoni għal verżjoni appoġġjata ta' PHP.
• Fil-qafas tat-tisħiħ tas-server nissostitwixxu php-cgi b'PHP-FPM b'pools separati.

Mistoqsijiet frekwenti

Sorsi

• php.net: Avviżi tas-sigurtà
• PHP 8 ChangeLog
• php.net: Verżjonijiet appoġġjati
• BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni)