21 ta' Ottubru 2026 | PHP | Sigurtà tal-IT
Fil-21 ta' Ottubru 2026 it-tim tas-sigurtà ta' PHP ippubblika aġġornamenti għal verżjonijiet kollha ta' PHP li għadhom appoġġati. Jagħlqu żewġ vulnerabbiltajiet kritiċi li saru magħrufa bħala PHP2Shell. Il-BSI ħareġ twissija dwar dan u jeżiġi li s-sistemi affettwati jiġu aġġornati mingħajr dewmien. Min iħaddem server tal-web b'PHP, għandu jaġixxi llum stess. Dan japplika wkoll għal kull min iħaddem “biss” WordPress, Nextcloud jew Joomla, għax dawn l-applikazzjonijiet jaħdmu fuq PHP.
Dan l-artikolu jinġabar fil-qosor x'ġara, liema verżjonijiet ta' PHP huma affettwati, liema verżjoni għandek bżonn issa u kif tivverifika f'ftit minuti jekk is-server tiegħek huwiex protett.
Kontenut ta' dan l-artikolu
- X'ġara? Il-kronoloġija
- Iż-żewġ vulnerabbiltajiet ta' PHP f'ħarsa
- Min huwa affettwat?
- Dawn il-verżjonijiet ta' PHP huma sikuri
- Kif tivverifika u taġġorna s-server tiegħek
- PHP 8.1 u iktar qodma: l-ebda aġġornament uffiċjali
- Miżuri temporanji u l-mistoqsija “Għandi nneħħi s-server mill-linja?”
- Mistoqsijiet frekwenti
- Appoġġ minn Biricon IT Services
X'ġara? Il-kronoloġija
It-tim tas-sigurtà ta' PHP ħabbar bil-quddiem il-pubblikazzjoni tal-korrezzjonijiet, biex il-hosters u l-amministraturi jkollhom ħin biex jipprepparaw. Il-pubblikazzjoni nnifisha saret fil-21 ta' Ottubru 2026. Il-BSI ħareġ it-twissija tiegħu (verżjoni 1.1) fl-istess jum.
- 20 ta' Ottubru 2026: Twissija bil-quddiem mit-tim tas-sigurtà ta' PHP li l-għada se joħorġu aġġornamenti tas-sigurtà.
- 21 ta' Ottubru 2026, 14:00 UTC (16:00 CEST): Il-patches għal PHP 8.5, 8.4, 8.3 u 8.2 jiġu ppubblikati.
- 21 ta' Ottubru 2026: Il-BSI iwissi dwar il-“vulnerabbiltajiet kritiċi li jheddu applikazzjonijiet tal-web madwar id-dinja”, u jirrakkomanda li jiġu aġġornati mingħajr dewmien. Skont il-BSI, fornituri kbar ta' hosting poġġew xi servers offline b'mod prekawzjonali.
Iż-żewġ vulnerabbiltajiet ta' PHP f'ħarsa
Huma żewġ difetti separati fil-qalba ta' PHP: CVE-2026-109618 u CVE-2026-109619. It-tnejn jistgħu, skont it-tim tas-sigurtà ta' PHP, jwasslu biex attakkant jeżegwixxi kodiċi fuq is-server mingħajr ma jagħmel login (unauthenticated Remote Code Execution). Il-vulnerabbiltajiet huma kklassifikati b'CVSS v4.0: 9,2 (kritiku).
| Karatteristika | Tifsira |
|---|---|
| Identifikaturi | CVE-2026-109618 u CVE-2026-109619 |
| Klassifikazzjoni | CVSS v4.0: 9,2 — kritiku |
| Effett | Eżekuzzjoni ta' kodiċi fuq is-server (Remote Code Execution), mingħajr login |
| Kawża 1 | Memorja korrotta meta PHP ma jibqax ikollu memorja ta' xogħol waqt l-ipproċessar (Out-of-Memory) |
| Kawża 2 | Stat globali skadut li jibqa' fil-memorja bejn it-talbiet |
| Partikolarment f'riskju | Apache b'mod_php |
Skont l-evalwazzjoni tal-BSI, fil-mument tal-pubblikazzjoni ma kien hemm l-ebda attakki kkonfermati, imma kien hemm indikazzjonijiet mhux ikkonfermati ta' tentattivi ta' sfruttament. B'vulnerabbiltajiet kritiċi f'softwer imxerred daqshekk, skont l-esperjenza wieħed irid jistenna li l-attakkanti janalizzaw il-korrezzjonijiet u jipprepparaw attakki awtomatizzati. Il-ħin disponibbli biex jiġi applikat il-patch huwa għalhekk qasir.
Min huwa affettwat?
Huwa affettwat fil-prinċipju kull server li fuqu jaħdem PHP, irrispettivament minn kif PHP huwa konness: PHP-FPM, mod_php f'Apache, php-cgi, FrankenPHP jew LiteSpeed. Skont it-tim tas-sigurtà ta' PHP, ir-riskju huwa l-ogħla b'Apache b'mod_php.
Il-BSI isemmi espliċitament applikazzjonijiet li huma bbażati fuq PHP u li għalhekk jistgħu jkunu affettwati wkoll:
- Sistemi ta' ġestjoni tal-kontenut: WordPress, Drupal, TYPO3, Joomla
- Sistemi tal-ħwienet online: Magento
- Cloud u ħażna tal-fajls: Nextcloud
- Interfaces tal-firewall: pfSense, OPNsense
L-applikazzjoni nnifisha ma teħtieġx tkun difettuża għal dan. It-toqba tinsab f'PHP, għalhekk aġġornament ta' WordPress, Nextcloud & kumpanija waħdu ma jgħinx. Għandha tiġi aġġornata l-verżjoni ta' PHP fuq is-server. Fil-każ ta' firewalls bħal pfSense u OPNsense, il-verżjoni korretta ta' PHP tiġi permezz tal-aġġornament tal-firmware rispettiv tal-manifattur.
Dawn il-verżjonijiet ta' PHP huma sikuri
Il-vulnerabbiltajiet ġew rranġati fil-verżjonijiet li ġejjin. Kull ma jkun taħthom jitqies vulnerabbli.
| Fergħa ta' PHP | Meħtieġ mill-inqas | Nota |
|---|---|---|
| PHP 8.5 | 8.5.12 | fergħa attwali |
| PHP 8.4 | 8.4.27 | |
| PHP 8.3 | 8.3.36 | |
| PHP 8.2 | 8.2.35 | L-appoġġ jintemm fil-31 ta' Diċembru 2026 |
| PHP 8.1 u iktar qodma | l-ebda aġġornament uffiċjali, ara isfel | |
Kif tivverifika u taġġorna s-server tiegħek
1. Stabbilixxi l-verżjoni installata ta' PHP
Fil-linja tal-kmand tas-server, php -v juri l-verżjoni tal-PHP tal-linja tal-kmand. Is-server tal-web jista' juża verżjoni ta' PHP differenti. Għalhekk iċċekkja wkoll il-verżjoni ta' PHP-FPM jew tal-modulu ta' Apache, pereżempju b'php-fpm8.3 -v jew permezz ta' paġna li tipproduċi phpinfo() (neħħiha minnufih wara).
2. Applika l-aġġornament permezz tal-ġestjoni tal-pakketti
F'Debian, Ubuntu, RHEL u derivati, il-verżjoni korretta tiġi permezz tal-ġestjoni normali tal-pakketti, pereżempju apt update && apt upgrade jew dnf upgrade. B'sorsi esterni bħall-Sury PPA jew ir-Remi Repository, il-pakketti l-ġodda ġeneralment jidhru fil-pront.
apt changelog php8.3-fpm jew rpm -q --changelog php | grep CVE-2026-1096).
3. Erġa' ibda s-servizz ta' PHP
Aġġornament tal-pakkett waħdu mhuwiex biżżejjed: il-proċessi ta' PHP li jaħdmu jżommu l-kodiċi l-qadim fil-memorja. Erġa' ibda PHP-FPM (systemctl restart php8.3-fpm) jew Apache (systemctl restart apache2), u wara ivverifika jekk il-proċessi nbdewx wara l-aġġornament.
4. Websajts hosted
Fil-hosting kondiviż, normalment il-fornitur jaġġorna. Fil-menu tal-klijent, normalment tista' tissettja l-verżjoni ta' PHP għal kull websajt. Agħżel hemmhekk waħda mill-verżjonijiet sikuri msemmija hawn fuq, jew staqsi lill-fornitur dwar l-istat tal-patches. Skont il-BSI, fornituri individwali neħħew servers mill-linja b'mod prekawzjonali. Jekk il-websajt tiegħek ma tkunx disponibbli għal ftit, din tista' tkun ir-raġuni.
PHP 8.1 u iktar qodma: l-ebda aġġornament uffiċjali
Għal PHP 8.1 u iktar qodma m'hemmx aktar aġġornamenti uffiċjali tas-sigurtà. L-operaturi ta' sistemi bħal dawn għandhom żewġ possibbiltajiet:
- Aqleb għal verżjoni appoġġata (rakkomandat). Iktar ma l-verżjoni tkun qadima, iktar ikun kbir l-isforz ta' adattament għall-applikazzjoni u l-estensjonijiet, għalhekk bidla għandha tiġi ttestjata minn qabel.
- Erġa' ipporta l-korrezzjonijiet. It-tim tas-sigurtà ta' PHP għamel il-korrezzjonijiet disponibbli fil-fergħat tal-iżvilupp fuq GitHub. Min jikkompila PHP waħdu, jista' jieħu dawn il-bidliet f'verżjonijiet eqdem. Din hija soluzzjoni temporanja u teħtieġ għarfien speċjalizzat.
Anki PHP 8.2 huwa appoġġat biss sal-31 ta' Diċembru 2026. Ippjana għalhekk issa l-qlib għal PHP 8.4 jew 8.5, u tipposponiħx sal-bidu tas-sena.
Miżuri temporanji u l-mistoqsija “Għandi nneħħi s-server mill-linja?”
It-tim tas-sigurtà ta' PHP bl-avviż iddeskriva wkoll miżuri protettivi temporanji. Dawn inaqqsu r-riskju, imma ma jagħlqux it-toqob għal kollox. Ma jissostitwixxux l-aġġornament u huma maħsuba biss biex jgħaddu ż-żmien sa l-aġġornament.
Jekk server għandux jitneħħa mill-linja sa l-aġġornament jiddependi mill-importanza tiegħu u mill-aċċessibbiltà tiegħu. Il-BSI jgħid li fornituri kbar ħadu dan il-pass. Bħala regola ġenerali:
- Server aċċessibbli pubblikament, aġġornament possibbli issa: applika l-patch minnufih, m'hemmx bżonn li jintefa.
- Server aċċessibbli pubblikament, aġġornament mhux possibbli fil-qosor: illimita l-aċċess (pereżempju permezz tal-firewall biss għal indirizzi magħrufa) jew itfi s-servizz temporanjament, speċjalment b'
mod_php. - Server aċċessibbli biss internament: applika l-patch fil-pront, l-urġenza hija inqas.
Mistoqsijiet frekwenti
Għandi bżonn naġġorna WordPress, Joomla jew Nextcloud?
Mhux minħabba din il-vulnerabbiltà. Hija fil-PHP, mhux fl-applikazzjoni. Aġġorna l-verżjoni tal-PHP fuq is-server. Aġġornament tal-applikazzjoni xorta jagħmel sens, indipendentement minn dan.
Kif nista' nagħraf jekk xi ħadd diġà wera l-vulnerabbiltà tal-ħażin?
Dikjarazzjoni sigura hija diffiċli. Huma sinjal ta' twissija l-fajls PHP mhux magħrufa fid-direttorju tal-web, proċessi mhux tas-soltu taħt l-utent tas-server tal-web, kontijiet ġodda tal-utenti jew cronjobs, u traffiku ħiereġ mhux tas-soltu. F'każ ta' suspett konkret, is-sistema għandha tiġi eżaminata b'mod forensiku u, fi bnadi dubjużi, tiġi installata mill-ġdid.
Web Application Firewall hija biżżejjed?
Firewall tista' twaqqaf mudelli ta' attakk magħrufa, iżda mhijiex sostitut tal-aġġornament. Aktar dwar kif jaħdmu flimkien diversi saffi ta' protezzjoni tistgħu taqraw fl-artikolu tagħna Odoo 19 siguri: Firewall, 2FA & Web RBL. Il-prinċipji japplikaw għal kull applikazzjoni tal-web.
Odoo huwa affettwat?
Le. Odoo huwa miktub bil-Python u ma jaħdimx fuq PHP. Jistgħu jkunu affettwati biss l-applikazzjonijiet PHP li jaħdmu fuq l-istess server.
Fejn insib l-informazzjoni uffiċjali?
L-avviż tat-tim tas-sigurtà tal-PHP issibuh fuq l-arkivji tal-aħbarijiet ta' php.net (daħla tal-20 ta' Ottubru 2026), il-verżjonijiet fuq php.net/downloads. It-twissija tal-BSI għandha n-numru 2026-297981-1032 u hija ppubblikata fuq bsi.bund.de .
Appoġġ minn Biricon IT Services
Jekk m'intom ċerti liema verżjoni tal-PHP taħdem fuq is-server tagħkom, jew jekk teħtieġu għajnuna bil-patching, aħna lesti nassistukom: bl-inventarju tas-sistemi PHP kollha, bl-installazzjoni tal-aġġornamenti, bit-trasferiment għal verżjoni tal-PHP appoġġjata u bil-verifika ta' kompromess. Bħala fornitur tas-servizzi tal-IT, aħna nieħdu ħsieb servers, firewalls u applikazzjonijiet tal-web għal impriżi żgħar u medji.
Data: 21 ta' Ottubru 2026. Is-sitwazzjoni tista' tinbidel fi żmien qasir; huma deċiżivi l-pubblikazzjonijiet tat-tim tas-sigurtà tal-PHP u tal-BSI.