21 Deireadh Fómhair 2026 | PHP | Slándáil TF
Ar 21 Deireadh Fómhair 2026 d’fhoilsigh foireann slándála PHP nuashonruithe do gach leagan PHP a bhfuil tacaíocht fós leo. Dúnann siad dhá leochaileacht chriticiúil ar tugadh PHP2Shell orthu. D’eisigh BSI rabhadh ina leith agus éilíonn sé go gcuirfí paiste ar na córais i gcontúirt gan mhoill. An té a reáchtálann freastalaí gréasáin le PHP, ba cheart dó gníomhú inniu. Baineann sé sin le gach duine nach reáchtálann ach “WordPress”, Nextcloud nó Joomla, mar ritheann na hiarratais seo ar PHP.
Achoimríonn an t-alt seo cad a tharla, cé na leaganacha PHP atá i gcontúirt, cén leagan a theastaíonn uait anois agus conas a sheiceálann tú i gcúpla nóiméad an bhfuil do fhreastalaí daingnithe.
Ábhar an ailt seo
- Cad a tharla? An sraith ama
- An dá leochaileacht PHP i mbreac-chuntas
- Cé atá i gcontúirt?
- Tá na leaganacha PHP seo sábháilte
- Conas a sheiceálann agus a nuashonraíonn tú do fhreastalaí
- PHP 8.1 agus níos sine: gan nuashonrú oifigiúil
- Bearta eatramhacha agus an cheist “An bhfuil gá an freastalaí a thógáil as líne?”
- Ceisteanna Coitianta
- Tacaíocht ó Biricon IT Services
Cad a tharla? An sraith ama
D’fhógair foireann slándála PHP foilsiú na gceartúchán roimh ré chun go mbeadh am ag óstálaithe agus riarthóirí ullmhú. Tharla an foilsiú féin ar 21 Deireadh Fómhair 2026. D’eisigh BSI a rabhadh (leagan 1.1) an lá céanna.
- 20 Deireadh Fómhair 2026: Réamhrabhadh ó fhoireann slándála PHP go mbeidh nuashonruithe slándála ann an lá dár gcionn.
- 21 Deireadh Fómhair 2026, 14:00 UTC (16:00 CEST): Foilsítear na paistí do PHP 8.5, 8.4, 8.3 agus 8.2.
- 21 Deireadh Fómhair 2026: Tugann BSI rabhadh faoi na “leochaileachtaí criticiúla a chuireann iarratais ghréasáin i mbaol ar fud an domhain” agus molann sé paiste a chur gan mhoill. De réir BSI thóg soláthraithe móra óstála roinnt freastalaithe as líne mar réamhchúram.
An dá leochaileacht PHP i mbreac-chuntas
Is dhá earráid ar leith i gcroílár PHP iad: CVE-2026-109618 agus CVE-2026-109619. De réir fhoireann slándála PHP is féidir leis an dá cheann a bheith ina gcúis go bhféadfadh ionsaitheoir cód cláir a fhorghníomhú ar an bhfreastalaí gan logáil isteach (unauthenticated Remote Code Execution). Tá na leochaileachtaí rátáilte CVSS v4.0: 9.2 (criticiúil).
| Tréith | Brí |
|---|---|
| Aitheantóirí | CVE-2026-109618 agus CVE-2026-109619 |
| Rátáil | CVSS v4.0: 9.2 — criticiúil |
| Éifeacht | Cód a fhorghníomhú ar an bhfreastalaí (Remote Code Execution), gan logáil isteach |
| Cúis 1 | Cuimhne truaillithe nuair nach bhfaigheann PHP aon chuimhne oibre eile le linn próiseála (Out-of-Memory) |
| Cúis 2 | Staid dhomhanda as dáta a fhanann sa chuimhne idir iarratais |
| I mbaol go háirithe | Apache le mod_php |
De réir mheastóireacht BSI ag am an fhoilsithe, ní raibh aon ionsaithe deimhnithe ann, ach bhí leideanna neamhdheimhnithe ann ar iarrachtaí leas a bhaint astu. Le bearnaí criticiúla i mbogearraí chomh forleathan sin, is é an rud atá le súil, de réir taithí, go ndéanfaidh ionsaitheoirí anailís ar na ceartúcháin agus go n-ullmhóidh siad ionsaithe uathoibrithe. Mar sin tá an fhuinneog ama chun paiste a chur gearr.
Cé atá i gcontúirt?
Tá gach freastalaí a bhfuil PHP ag rith air i gcontúirt i bprionsabal, is cuma conas atá PHP ceangailte: PHP-FPM, mod_php in Apache, php-cgi, FrankenPHP nó LiteSpeed. Is é an riosca is airde, de réir fhoireann slándála PHP, le Apache le mod_php.
Luann BSI go sainráite iarratais atá tógtha ar PHP agus a bhféadfadh dá bhrí sin a bheith i gcontúirt freisin:
- Córais bhainistíochta ábhair: WordPress, Drupal, TYPO3, Joomla
- Córais siopa: Magento
- Scamall agus stóráil comhad: Nextcloud
- Comhéadain balla dóiteáin: pfSense, OPNsense
Ní gá go mbeadh an t-iarratas féin lochtach chuige sin. Tá an bhearna i PHP, agus dá bhrí sin ní chabhraíonn nuashonrú WordPress, Nextcloud & Co. amháin. Ní mór an leagan PHP ar an bhfreastalaí a nuashonrú. Le ballaí dóiteáin ar nós pfSense agus OPNsense tagann an leagan PHP ceartaithe tríd an nuashonrú firmware ón monaróir faoi seach.
Tá na leaganacha PHP seo sábháilte
Tá na leochaileachtaí socraithe sna leaganacha seo a leanas. Meastar go bhfuil gach rud faoina bhun leochaileach.
| Brainse PHP | Íosmhéid riachtanach | Nóta |
|---|---|---|
| PHP 8.5 | 8.5.12 | brainse reatha |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | Críochnaíonn an tacaíocht an 31 Nollaig 2026 |
| PHP 8.1 agus níos sine | gan nuashonrú oifigiúil, féach thíos | |
Conas a sheiceálann agus a nuashonraíonn tú do fhreastalaí
1. An leagan PHP suiteáilte a fháil amach
Ar líne ordaithe an fhreastalaí taispeánann php -v leagan PHP na líne ordaithe. Is féidir leis an bhfreastalaí gréasáin leagan PHP eile a úsáid. Seiceáil dá bhrí sin leagan PHP-FPM nó an mhodúil Apache freisin, mar shampla le php-fpm8.3 -v nó trí leathanach a aschuireann phpinfo() (é sin a bhaint láithreach ina dhiaidh sin).
2. An nuashonrú a chur isteach tríd an mbainistiú pacáistí
Le Debian, Ubuntu, RHEL agus a gcuid gaolta tagann an leagan ceartaithe tríd an ngnáthbhainistiú pacáistí, mar shampla apt update && apt upgrade nó dnf upgrade. Le foinsí tríú páirtí ar nós an Sury-PPA nó Remi-Repository bíonn na pacáistí nua le feiceáil de ghnáth go tapa.
apt changelog php8.3-fpm nó rpm -q --changelog php | grep CVE-2026-1096).
3. An seirbhís PHP a atosú
Ní leor nuashonrú pacáiste amháin: coinníonn próisis PHP atá ag rith an seancód sa chuimhne. Atosaigh PHP-FPM (systemctl restart php8.3-fpm) nó Apache (systemctl restart apache2), agus seiceáil ina dhiaidh sin ar tosaíodh na próisis tar éis an nuashonraithe.
4. Suíomhanna gréasáin óstáilte
Le comhroinnt óstála nuashonraíonn an soláthraí de ghnáth. Sa roghchlár custaiméara is féidir leagan PHP an tsuímh a shocrú go minic. Roghnaigh ansin ceann de na leaganacha sábháilte thuas, nó fiafraigh den soláthraí faoi stádas na bpaistí. De réir BSI thóg soláthraithe aonair freastalaithe de líonra mar réamhchúram. Má tá do leathanach dochtaithe go hachomair, b’fhéidir gurb é sin an chúis.
PHP 8.1 agus níos sine: gan nuashonrú oifigiúil
Do PHP 8.1 agus níos sine níl aon nuashonruithe oifigiúla slándála ann a thuilleadh. Tá dhá rogha ag oibreoirí córas den sórt sin:
- Aistriú chuig leagan a bhfuil tacaíocht leis (molta). Dá shine an leagan, is ea is mó an iarracht oiriúnaithe d’iarratas agus do shínte, agus mar sin ba cheart aistriú a thástáil roimh ré.
- Ceartúcháin a phortáil siar. Chuir foireann slándála PHP na ceartúcháin ar fáil i mbrainsí forbartha ar GitHub. An té a thiomsaíonn PHP é féin, is féidir leis na hathruithe seo a ghlacadh isteach i leaganacha níos sine. Is réiteach eatramhach é sin agus éilíonn sé saineolas.
Ní thacaítear le PHP 8.2 ach go dtí an 31 Nollaig 2026 freisin. Pleanáil an t-aistriú go PHP 8.4 nó 8.5 anois dá bhrí sin, agus ná cuir siar go dtí deireadh na bliana é.
Bearta eatramhacha agus an cheist “An bhfuil gá an freastalaí a thógáil as líne?”
Chuir foireann slándála PHP síos freisin leis an bhfógra ar bearta cosanta sealadacha. Laghdaíonn siad an riosca, ach ní dhúnann siad na bearnaí go hiomlán. Ní chuireann siad an nuashonrú ina n-áit agus níl siad beartaithe ach chun an t-am go dtí an nuashonrú a chur ar aghaidh.
An bhfuil gá freastalaí a thógáil de líonra go dtí an nuashonrú, braitheann sé ar a thábhacht agus ar a inrochtaineacht. Deir BSI gur ghlac soláthraithe móra an chéim sin. Mar riail ordóige:
- Freastalaí inrochtana go poiblí, nuashonrú indéanta anois: paiste a chur láithreach, gan gá le múchadh.
- Freastalaí inrochtana go poiblí, nuashonrú dodhéanta go gearrthéarmach: rochtain a theorannú (mar shampla le balla dóiteáin do sheoltaí aitheanta amháin) nó an tseirbhís a mhúchadh go sealadach, go háirithe le
mod_php. - Freastalaí inrochtana go hinmheánach amháin: paiste a chur go luath, tá an phráinn níos lú.
Ceisteanna Coitianta
An gcaithfidh mé WordPress, Joomla nó Nextcloud a nuashonrú?
Ní de bharr na leochaileachta seo. Tá sí i PHP, ní san fheidhmchlár. Nuashonraigh leagan PHP an fhreastalaí. Is fiú an feidhmchlár a nuashonrú fós, áfach, go neamhspleách air sin.
Cén chaoi a mbeidh a fhios agam an bhfuil duine éigin tar éis leas a bhaint as an leochaileacht cheana féin?
Is deacair rud cinnte a rá. Is comharthaí iad comhaid PHP anaithnide sa chomhadlann ghréasáin, próisis neamhghnácha faoin úsáideoir freastalaí gréasáin, cuntais úsáideora nó cronjobanna nua, agus trácht amach neamhghnách ar an líonra. I gcás amhrais shonraigh, ba cheart an córas a scrúdú go fóiréinseach agus, mura bhfuil tú cinnte, é a athshuiteáil.
An leor balla dóiteáin d'fheidhmchláir ghréasáin (Web Application Firewall)?
Is féidir le balla dóiteáin patrúin ionsaithe aitheanta a stopadh, ach ní ionadaí é ar an nuashonrú. Léigh tuilleadh faoi chomhoibriú idir roinnt sraitheanna cosanta inár n-alt Odoo 19 a dhaingniú: balla dóiteáin, 2FA & Web RBL. Baineann na bunphrionsabail le gach feidhmchlár gréasáin.
An mbaineann sé le hOdoo?
Ní bhaineann. Tá Odoo scríofa i Python agus ní ritheann sé ar PHP. Ní bheadh tionchar ach ar fheidhmchláir PHP a ritheann ar an bhfreastalaí céanna.
Cá bhfaighidh mé an fhaisnéis oifigiúil?
Gheobhaidh tú fógra fhoireann slándála PHP sna Cartlanna Nuachta ar php.net (iontráil an 20 Deireadh Fómhair 2026), na leaganacha ag php.net/downloads. Tá uimhir 2026-297981-1032 ar rabhadh an BSI agus tá sé foilsithe ar bsi.bund.de .
Tacaíocht ó Biricon IT Services
Mura bhfuil tú cinnte cén leagan PHP atá ag rith ar do fhreastalaí, nó má theastaíonn cabhair uait le paistiú, is fearr linn tacú leat: leis an bhfardal de gach córas PHP, le nuashonruithe a chur i bhfeidhm, le haistriú go leagan PHP a fhaigheann tacaíocht agus le seiceáil ar bhriseadh isteach. Mar sholáthraí seirbhísí TF, cothaímid freastalaithe, ballaí dóiteáin agus feidhmchláir ghréasáin do ghnólachtaí beaga agus meánmhéide.
Staid ar an 21 Deireadh Fómhair 2026. D'fhéadfadh an cás athrú go gasta; is iad na foilseacháin ó fhoireann slándála PHP agus ón BSI atá údarásach.