Fil-qosor: Jekk issuspettaw li s-server tagħkom ġie hackjat permezz ta' PHP2Shell, ikkuntattjawna issa. Intom affettwati? Ċemplulna. Aħna ngħinu. Mill-ewwel messaġġ nieħdu f'idejna l-konteniment, insalvaw it-traċċi, nagħlqu l-vulnerabbiltà, ineħħu l-kodiċi malizzjuż u niddokumentaw l-inċident sakemm jingħalaq.
Issa tħassru xejn u terġgħux twaqqfu xejn mill-ġdid. Il-fajls imħassra u l-logs miktuba fuqhom huma t-traċċi li juru jekk u kif xi ħadd daħal. Jekk meħtieġ, neħħu s-server min-netwerk, imma ħalluh bla bidliet. Irrapportaw emerġenza u ngħidulkom il-pass li jmiss.
Intom affettwati? Sinjali li PHP2Shell diġà ntuża
PHP2Shell huwa l-isem ta' żewġ vulnerabbiltajiet kritiċi f'PHP innifsu, li permezz tagħhom l-attakkanti jistgħu jesegwixxu kodiċi malizzjuż mill-bogħod mingħajr login. Għadu ma hemm ebda marka li tidentifikah b'mod żgur. Għalhekk jgħodd dak li jagħmel is-server, mhux dak li jsib scanner. Indikazzjonijiet ta' dħul huma:
- Proċessi tas-server tal-web jew ta' PHP-FPM li jibdew shell bħal
shjewbash. Dan huwa sinjal ta' twissija qawwi. - Fajls ġodda jew mibdula tal-PHP fil-folders tal-upload, tal-cache jew temporanji li ħadd ma ħoloq.
- Cronjobs, servizzi jew ċwievet SSH li ma tafux.
- Konnessjonijiet ħerġin lejn destinazzjonijiet mhux magħrufa, tagħbija għolja f'daqqa jew traffiku mhux tas-soltu.
- Talbiet fil-logs mis-17/10/2026 'il quddiem, speċjalment uploads u talbiet tas-sessjoni li jaqbdu l-għajn qabel ma ġie installat il-patch.
- Messaġġi mill-hoster, mill-browser jew mill-magna tat-tiftix dwar spam, malware jew rindirizzamenti.
Aktar dwar dan issibu f'Jien diġà kompromess?. Jekk ma jidher ebda sinjal, dan mhuwiex prova ta' server nadif. Ifisser biss li s-sa issa ma ġie nnutat xejn.
X'għandkom tagħmlu minnufih
- Tibdlux xejn. Tħassru l-ebda fajl, terġgħux tqegħdu backup lura, tagħmlux installazzjoni ġdida qabel ma jsir is-salvataġġ.
- Isalvaw il-logs. Itolbu lill-hoster jew lill-IT tagħkom biex ma jiktbux fuq il-logs tal-aċċess, tal-iżbalji u tas-sistema. L-istampa speċjalizzata tirrakkomanda li jinżammu l-logs mill-20/10/2026 'il quddiem.
- Iddeċiedu dwar id-disponibbiltà. Jekk id-data tista' tgħaddi 'l barra jew jekk il-viżitaturi jistgħu jkunu f'periklu, neħħu l-paġna min-netwerk jew qegħduha f'modalità ta' manutenzjoni.
- Ġabru l-aċċessi. Innotaw min għandu aċċess għas-server, għall-pannell, għas-CMS u għad-database. Il-passwords ibdluhom biss wara li naqblu u minn apparat nadif.
- Informaw in-nies. Id-direzzjoni, l-uffiċjal tal-protezzjoni tad-data u, jekk teżisti polza, l-assikuratur.
- Ċemplulna jew iktbulna. Kemm aktar kmieni nkunu nafu s-sitwazzjoni, aktar jibqa' jista' jiġi ppruvat.
Kif tgħin PHP SOS b'mod konkret?
Naħdmu mill-bogħod, mingħajr vjaġġ, fil-Ġermanja kollha u fl-Ewropa.
- Niġbru s-sitwazzjoni: Niċċaraw liema sistemi jaħdmu, liema modalità tat-tħaddim ta' PHP qed tintuża, x'ġie nnutat u liema data tista' tkun affettwata.
- Nisalvaw u nagħlqu: Nisalvaw il-fajls, id-database u l-logs u nistabbilixxu l-istat qabel kull bidla. Imbagħad nagħlqu l-vulnerabbiltà bil-patch jew, jekk dan ma jkunx possibbli għadu, b'miżuri tranżitorji, u nerġgħu nibdew il-proċessi kollha ta' PHP.
- Nivverifikaw u ninnaddfu: Infittxu webshells, backdoors, cronjobs u aċċessi barranin u neħħuhom jew inbnu mill-ġdid l-istat minn sorsi affidabbli. Il-proċedura hija deskritta f'Neħħi malware u webshells.
- Insaħħu u nirrapportaw: Nibdlu s-sigrieti affettwati, inżidu miżuri ta' protezzjoni u nagħtu rapport li jifred dak li huwa ppruvat, probabbli u mhux magħruf.
Jekk l-inċident jikber 'il barra minn server wieħed, ngħaddu għal Incident Response strutturat. Jekk ikunu meħtieġa provi li jżommu quddiem qorti, ngħaqqdu forensika tal-IT.
Għaliex patch waħdu ma jkunx biżżejjed wara attakk
Il-vulnerabbiltajiet jinsabu fl-interpretatur ta' PHP, mhux fis-CMS. Il-proġett PHP ippubblika fil-21/10/2026 il-verżjonijiet 8.5.12, 8.4.27, 8.3.36 u 8.2.35. Min jaġġorna wara u jerġa' jibda l-workers kollha huwa protett kontra attakki ġodda minn dan it-triq. Dak li attakkant ikun poġġa qabel, madankollu, jibqa' hemm: webshell, kont addizzjonali, kompitu skedat. Eżattament għalhekk il-jiem bejn is-17 u l-21/10 huma partikolarment importanti.
Hemm punt ieħor: webshell ta' spiss hija biss l-ewwel pass. Min seta' jesegwixxi kodiċi fuq is-server tal-web seta' wkoll jaqra fajls ta' konfigurazzjoni u jieħu minnhom l-aċċessi għad-database, għall-posta u għall-API. Dawn is-sigrieti jridu jinbidlu, inkella l-bieb jibqa' miftuħ minkejja li PHP huwa ppatchjat. Kif tivverifikaw il-fajls u l-hinijiet b'mod sensat tispjega l-gwida dwar Kif tagħrfu l-webshells.
Obbligu ta' notifika u dokumentazzjoni
Jekk data personali setgħet kienet affettwata, jista' jkun meħtieġ rapport lill-awtorità superviżorja fi żmien 72 siegħa. Il-ħin jibda jgħodd minn meta ssiru tafu, mhux minn meta tintemm l-investigazzjoni. Jekk il-każ tagħkom huwiex soġġett għal notifika jiddeċiedu l-uffiċjal tal-protezzjoni tad-data jew l-avukat; aħna ma nipprovdux pariri legali. Id-dokumentazzjoni tagħna tagħti l-bażi għal dan. Aktar dwar it-terminu issibu f'Obbligu ta' notifika GDPR fi 72 siegħa, u l-passi ta' wara fil-Lista ta' kontroll wara hack.
X'għandkom tibagħtu lilna
- Deskrizzjoni ta' x'qed jidher mil-liema żmien, u min innota
- Tip ta' server: server proprju, server ġestit jew pakkett ta' hosting, flimkien mal-hoster
- Ir-riżultat ta'
php -vu, jekk magħruf, il-modalità tat-tħaddim (PHP-FPM, mod_php, LiteSpeed) - Il-ħin tal-aġġornament ta' PHP, jekk diġà ġie installat
- Aċċess għas-server jew il-permess li nitkellmu mal-hoster tagħkom
- Persuna ta' kuntatt b'awtorità li tiddeċiedi dwar it-twaqqif u r-restarts
Għaliex PHP SOS
Naħdmu Made in Germany u, man-netwerk tas-sieħba tagħna ta' professjonisti taċ-ċibersigurtà, aħna speċjalizzati fis-sigurtà tal-IT għal aktar minn 25 sena. Ikollkom persuna waħda ta' kuntatt li takkumpanjakom mill-ewwel messaġġ sal-għeluq. Kull ma nagħmlu jiġi ddokumentat, biex tkunu tistgħu tipprovawh quddiem id-direzzjoni, l-assikuratur u l-awtoritajiet. Ma nwiegħdu xejn li ħadd ma jista' jżomm: jekk jonqsu l-logs, ngħidu b'mod miftuħ, u nsemmu dak li huwa ppruvat u dak li jibqa' suppożizzjoni.
Intom affettwati? Ċemplulna. Aħna ngħinu.
Tistennewx sakemm is-suspett isir ċertezza. Ċemplu jew iktbu fuq WhatsApp. Nieħdu f'idejna mill-ewwel messaġġ u nibqgħu miegħekom sakemm l-inċident jingħalaq u jiġi ddokumentat. Irrapportaw emerġenza issa.
Mistoqsijiet frekwenti
Huwa biżżejjed li naġġorna PHP jekk is-server tiegħi jista' jkun diġà ġie hackjat?
Le. L-aġġornament jagħlaq il-vulnerabbiltà, imma ma jneħħix malware li jkun diġà ddaħħal u ma jippruvax li qabel ma ġara xejn. Wara l-patch is-server irid jiġi vverifikat għal traċċi ta' dħul.
Kif nagħraf attakk PHP2Shell li rnexxa?
Ma hemm ebda Indicators of Compromise ippubblikati u kkonfermati. L-iskoperta tistrieħ fuq l-imġiba: proċessi tas-server tal-web li jibdew shell, fajls ġodda tal-PHP fil-folders tal-upload jew tal-cache, cronjobs jew ċwievet SSH mhux magħrufa u konnessjonijiet ħerġin li jaqbdu l-għajn.
Għandi nneħħi s-server min-netwerk jekk nissuspetta dħul?
Spiss dan huwa t-tajjeb, għax il-BSI (l-Uffiċċju Federali Ġermaniż għas-Sigurtà tal-Informazzjoni) jirrakkomanda li, jekk l-aġġornament ma jkunx possibbli minnufih, is-servers tal-web jitneħħew temporanjament min-netwerk. Importanti li ma titħassar xejn u li jinżammu l-logs u l-fajls, biex l-inċident ikun jista' jiġi investigat.
Wara attakk PHP2Shell irrid ninforma lill-awtorità tal-protezzjoni tad-data?
Jekk jista' jkun hemm data personali affettwata, jista' jkun meħtieġ rapport fi żmien 72 siegħa. Id-deċiżjoni tieħduha mal-uffiċjal tal-protezzjoni tad-data jew ma' avukat; aħna nipprovdu l-fatti tekniċi għal dan.
Tassew diġà ġew hackjati servers permezz ta' PHP2Shell?
Skont rapporti tal-midja, l-ewwel tentattivi ta' attakk osservati kienu mis-17/10/2026 'il quddiem, u Cloudflare irrapporta tentattivi ta' attakk osservati. Il-BSI inizjalment ma rrapportax attakki ikkonfermati li rnexxew fuq skala wiesgħa. F'każ individwali dan jista' jiġi ċċarat biss fuq is-server innifsu.