# php-cgi: wirt qadim b'riskju

> Vulnerabbiltà ta' php-cgi f'PHP2Shell: sibu setups CGI u FastCGI, ippatchjaw, itterminaw il-proċessi qodma kollha u ippjanaw il-bidla għal PHP-FPM.

Sors: https://phpsos.de/mt/server/php-cgi/  
Stat: 25/10/2026  
Fornitur: PHP SOS, Għajnuna ta' emerġenza għal PHP u sigurtà tas-server. Għajnuna immedjata fuq WhatsApp: https://wa.me/491736494914?text=Bongu%20PHP%20SOS%2C%20g%C4%A7andna%20b%C5%BConn%20g%C4%A7ajnuna%20bis-server%20tal-PHP%20tag%C4%A7na.%20Kumpanija%3A%20%E2%80%A6%20Websajt%3A%20%E2%80%A6

**Fil-qosor:** php-cgi huwa l-eqdem mod kif PHP jitħaddem wara server tal-web, u għadu jaħdem fuq ħafna servers, spiss mingħajr ma wieħed jinduna. Il-vulnerabbiltà ta' php-cgi f'PHP2Shell taffettwa espliċitament din il-modalità tat-tħaddim. Ippatchjaw, itterminaw il-proċessi php-cgi kollha li jaħdmu u ippjanaw il-bidla għal PHP-FPM.

## X'inhu php-cgi u fejn għadu jaħdem

PHP jeżisti f'diversi varjanti: bħala programm tal-linja tal-kmand, bħala modulu ta' Apache, bħala PHP-FPM u bħala php-cgi. php-cgi huwa programm li s-server tal-web jibda u li lilu jgħaddi t-talbiet permezz ta' CGI jew FastCGI. Mingħajr ġestjoni proprja tal-proċessi huwa aktar sempliċi minn PHP-FPM, imma wkoll inqas ikkontrollabbli.

Postijiet tipiċi fejn jinstab huma panels tal-hosting eqdem, Apache b'`mod_fcgid`, skripts wrapper proprji għal diversi verżjonijiet ta' PHP u PHP taħt Windows b'IIS permezz ta' FastCGI. F'aġenziji u awtoritajiet jinstabu wkoll servers li ġew stabbiliti snin ilu u minn dakinhar biss ġew imħaddma.

## Il-vulnerabbiltà ta' php-cgi f'PHP2Shell

PHP2Shell jinkludi l-vulnerabbiltajiet CVE-2026-109618 u CVE-2026-109619 f'PHP innifsu, kull waħda b'CVSS v4.0 9,2. It-tnejn jippermettu l-eżekuzzjoni ta' kodiċi malizzjuż mingħajr login. Il-proġett PHP isemmi espliċitament lil php-cgi fost il-modalitajiet tat-tħaddim affettwati, flimkien ma' PHP-FPM, mod_php, FrankenPHP u LiteSpeed.

Irranġati huma PHP 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Għal PHP 8.1 u eqdem m'hemmx aktar aġġornamenti uffiċjali, biss backports minimi tas-sors għal 7.4, 8.0 u 8.1. Preċiżament is-setups php-cgi jaħdmu aktar spiss mill-medja fuq verżjonijiet qodma. php-cgi, barra minn hekk, mhuwiex affettwat għall-ewwel darba: diġà fl-2024 vulnerabbiltà f'php-cgi taħt Windows (CVE-2024-4577) qanqlet attenzjoni. Wirt ta' dan it-tip jixraqlu għalhekk attenzjoni speċjali.

## Nsibu php-cgi fuq is-server

Il-kmandi li ġejjin jaqraw biss u jgħinu jinstab php-cgi. Il-mogħdijiet u l-ismijiet tal-moduli huma eżempji.

```bash
# Laufende php-cgi-Prozesse mit Startzeit und Benutzer
ps -eo pid,lstart,user,cmd | grep -E 'php-cgi|php[0-9.]*-cgi' | grep -v grep

# Installierte php-cgi-Programme
ls /usr/bin/php*-cgi /usr/lib/cgi-bin/php* 2>/dev/null

# Apache: Ist mod_fcgid oder mod_cgi geladen?
apache2ctl -M 2>/dev/null | grep -Ei 'fcgid|cgi'
grep -RniE 'FcgidWrapper|AddHandler.*php|Action.*php' /etc/apache2 /etc/httpd 2>/dev/null
```

Jekk issibu daħliet `FcgidWrapper` jew handlers li juru lejn programm php-cgi, din il-modalità tat-tħaddim taħdem. Għal kull programm misjub iċċekkjaw il-verżjoni b'`-v`. Fil-każ ta' pakketti tad-distribuzzjoni, il-changelog bin-numri tas-CVE jippruva l-patch, għax il-backports spiss ma jibdlux in-numru tal-verżjoni.

## Ippatchjaw u itterminaw il-proċessi kollha

Installaw l-aġġornament permezz tal-ġestjoni tal-pakketti jew is-sors li minnu jiġi php-cgi. Wara, il-proċessi php-cgi kollha li jaħdmu iridu jisparixxu. B'`mod_fcgid` Apache iżomm proċessi lesti għal xi żmien; restart sħiħ ta' Apache jtemmhom.

```bash
# Apache vollständig neu starten (Debian/Ubuntu bzw. RHEL-Familie)
systemctl restart apache2   # jew: systemctl restart httpd

# Kontrolle: Gibt es noch php-cgi-Prozesse älter als das Update?
ps -eo pid,lstart,cmd | grep -E 'php-cgi' | grep -v grep
```

Jekk php-cgi jaħdem permezz ta' maniġer tal-proċessi proprju jew servizz tal-panel, erġgħu ibdew dan. Taħt Windows b'IIS erġgħu ibdew (recycle) l-application pools, ara [PHP taħt Windows u IIS](https://phpsos.de/mt/server/windows-iis-php/).

> **Aġixxu immedjatament:**
> Jekk php-cgi jaħdem b'PHP 8.1 jew eqdem fuq server li jintlaħaq pubblikament, ma jeżisti l-ebda patch uffiċjali. Issettjaw minnufih il-miżuri temporanji u ikkunsidraw, skont ir-rakkomandazzjoni tal-BSI, li tneħħu s-server temporanjament min-netwerk.

## Miżuri temporanji għal php-cgi

php.net jirrakkomanda miżuri temporanji li ma joffrux protezzjoni sħiħa. F'php-cgi l-valuri jappartjenu fil-php.ini li l-programm rispettiv iġorr, jew fil-konfigurazzjoni tas-server. Fajls `.user.ini` u `ini_set()` mhumiex biżżejjed għal `session.upload_progress.enabled` skont php.net.

```ini
; php.ini der php-cgi-Installation
session.upload_progress.enabled = 0
post_max_size = 8M
upload_max_filesize = 6M
```

Meta jkun hemm funzjoni ta' upload, php.net jissuġġerixxi `post_max_size = 32M`. Fuq PHP 8.5 jiżdied `fatal_error_backtraces=0`. Limiti tal-memorja tissettjawhom permezz tal-cgroups għas-servizz tas-server tal-web, mhux permezz ta' `RLIMIT_AS` jew `RLIMIT_DATA`. Wara erġgħu ibdew il-proċessi kollha.

## It-triq lejn PHP-FPM

Fit-tul php-cgi mhuwiex għażla tajba. PHP-FPM joffri pools għal kull websajt, utenti proprji, limiti għal kull pool, paġni tal-istatus u restarts ikkontrollati. Il-bidla ġeneralment tista' tiġi ppjanata tajjeb: tinstalla PHP-FPM, toħloq pools, tibdel is-server tal-web għal FastCGI lejn PHP-FPM, tneħħi l-iskripts wrapper. Kif tidher struttura nadifa turi [Kif tassiguraw Nginx b'PHP-FPM](https://phpsos.de/mt/server/nginx-php-fpm/). Jekk jaħdem ukoll verżjoni qadima ta' PHP, għaqqdu l-bidla mal-upgrade.

Sakemm isir il-bidla, għandkom tivverifikaw b'mod kritiku l-konfigurazzjoni eżistenti. Is-server tal-web għandu jgħaddi lil php-cgi biss fajls bit-tmiem `.php` u mhux mogħdijiet li jindikaw fajls li ma jeżistux. F'direttorji tal-upload ma jistax ikun hemm eżekuzzjoni ta' PHP. Skripts wrapper li jgħabbu php.ini proprju għal kull websajt, iċċekkjawhom jekk dawn il-fajls jerġgħux ineħħu l-valuri temporanji. Jekk programm php-cgi jinsab direttament f'direttorju aċċessibbli pubblikament bħal `cgi-bin`, hemmhekk għandu jitneħħa. Wirt bħal dan spiss joriġina minn istruzzjonijiet ta' installazzjoni ta' snin ilu u sempliċement jintesa f'tibdiliet aktar tard. Iddokumentaw kull sejba bil-mogħdija u l-għan, biex il-bidla aktar tard ma tinsa xejn.

Jibqa' importanti: patch ma jneħħix malware li tkun ġiet introdotta qabel. Żommu l-logs mill-20/10/2026 'il quddiem.

## Kif tgħin PHP SOS b'mod konkret?

- Insibu l-installazzjonijiet php-cgi, il-wrappers u l-handlers u nassenjawhom lill-websajts.
- Nippatchjaw, nitterminaw il-proċessi qodma kollha u niddokumentaw l-istat.
- Għal PHP 8.1 u eqdem nippjanaw magħkom il-[migrazzjoni għal verżjoni appoġġjata ta' PHP](https://phpsos.de/mt/leistungen/php-migration-legacy/).
- Fil-qafas tat-[tisħiħ tas-server](https://phpsos.de/mt/leistungen/server-haertung/) nissostitwixxu php-cgi b'PHP-FPM b'pools separati.


## Mistoqsijiet frekwenti

**Nuża php-cgi mingħajr ma naf?**  
Dan iseħħ aktar milli wieħed jaħseb. Panels eqdem, setups FastCGI b'mod_fcgid u PHP taħt Windows b'IIS spiss jibdew lil PHP bħala php-cgi. Lista tal-proċessi jew is-Server API f'phpinfo juru dan b'mod affidabbli.

**FastCGI huwa l-istess bħal php-cgi?**  
Mhux eżattament. FastCGI huwa protokoll. PHP-FPM u php-cgi it-tnejn jistgħu jitkellmu FastCGI, imma php-cgi huwa l-programm l-eqdem u l-aktar sempliċi, mingħajr pools u ġestjoni tal-proċessi. PHP2Shell jaffettwa espliċitament lil php-cgi.

**X'ifisser CGI klassiku f'PHP?**  
Fis-CGI klassiku s-server tal-web jibda proċess ġdid ta' PHP għal kull talba. Dan huwa bil-mod u llum rari. Aktar spiss php-cgi jinstab wara mod_fcgid jew FastCGI, fejn il-proċessi jittrattaw diversi talbiet.

**Irrid nerġa' nibda xi ħaġa wara l-aġġornament?**  
Iva. Fis-setups FastCGI il-proċessi php-cgi jkomplu jaħdmu għal xi żmien. Erġgħu ibdew is-server tal-web jew il-maniġer tal-proċessi u kkontrollaw li ebda proċess php-cgi ma jkun eqdem mill-aġġornament.

## Sorsi

- [php.net: Avviżi tas-sigurtà](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [php.net: Verżjonijiet appoġġjati](https://www.php.net/supported-versions.php)
- [BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni)](https://www.bsi.bund.de/)