Klaida išsekus atminčiai
Nutrūkus užklausos apdorojimui dėl atminties trūkumo, PHP gali panaudoti neteisingai paruoštus vidinius duomenis. Tam tikromis sąlygomis tai leidžia nuotolinį kodo vykdymą.
PHP kūrėjų techninis pranešimasDEV4YOU.LT / PHP2SHELL
PHP saugumo patikra jūsų svetainei.
Įvertinkite CVE-2026-109618 ir CVE-2026-109619 riziką. Patvirtinkite el. paštą ir gaukite PDF su radiniais bei rekomenduojamais veiksmais.
Sužinokite, kuo spragos pavojingos ir ką darytiĮkeliama patikra…
OFICIALŪS LEIDIMAI
PHP versijos su pataisomis
PHP šias pataisas paskelbė 2026 m. spalio 21 d. Naudokite šiuos ar naujesnius tos pačios šakos leidimus arba patvirtinkite tiekėjo įtrauktas pataisas.
PHP 8.28.2.35
PHP 8.38.3.36
PHP 8.48.4.27
PHP 8.58.5.12
KODĖL VERTA TIKRINTI DABAR
PHP spraga gali paveikti visą svetainės veikimą.
PHP vykdo svetainės kodą serveryje: priima formas, apdoroja prisijungimus, bendrauja su duomenų baze ir generuoja puslapius. PHP2Shell vadinamos spragos aptiktos šiame vykdymo sluoksnyje, todėl aktualios ir tvarkingai prižiūrimai turinio valdymo sistemai.
Sėkmingai išnaudojus spragą, užpuolikas gali vykdyti kodą PHP proceso teisėmis. Tai savaime nesuteikia viso serverio administratoriaus teisių, tačiau programai prieinami failai ir duomenys gali būti svarbūs visam verslui.
Oficialus PHP saugumo pranešimasTarp užklausų išliekanti netinkama būsena
PHP procesas gali išlaikyti nuorodą į jau atlaisvintą ankstesnės užklausos atmintį. Vėlesnis jos panaudojimas gali sukelti informacijos atskleidimą ar kodo vykdymą.
PHP kūrėjų techninis pranešimasKam ši rizika aktuali?
WordPress, WooCommerce, Laravel, Symfony ir individualioms PHP sistemoms. PHP kūrėjai įspėja apie įvairias web aplinkas, įskaitant PHP-FPM, Apache mod_php, CGI, LiteSpeed ir FrankenPHP. Didžiausia rizika išskirta mod_php. Vien kitoks serverio tipas neatstoja pataisų.
GALIMAS POVEIKIS
Kas gali nutikti svetainei ir jos klientams?
Toliau pateikiami galimų pasekmių pavyzdžiai, jei užpuolikui pavyktų išnaudoti spragą. Tai nėra šios patikros nustatyti incidentai. Poveikį riboja proceso teisės, svetainių izoliavimas ir programos architektūra.
Duomenų atskleidimas
Prieiga prie PHP procesui skaitomų konfigūracijos failų gali atskleisti duomenų bazės prisijungimus ar integracijų raktus. Tuomet gali kilti grėsmė užklausų, klientų ar užsakymų informacijai, kurią pasiekia programa.
Pakeistas turinys ir klaidinamos operacijos
Jei procesas turi rašymo teises, gali būti pakeisti puslapiai ar programos failai. Pavyzdžiui, lankytojai gali būti nukreipiami į svetimą svetainę arba jiems pateikiamos pakeistos mokėjimo instrukcijos.
Sutrikę užsakymai ir paslaugos
PHP procesų trikdžiai gali sukelti klaidas, neveikiančias formas ar nebaigtus pirkimus. Verslui tenka atkurti paslaugą, patikrinti duomenų vientisumą ir paaiškinti sutrikimą klientams.
Išliekanti neteisėta prieiga
Įrašytas kenkėjiškas failas ar sukurta pašalinė paskyra gali likti ir atnaujinus PHP. Dėl to įtariamo įsilaužimo atveju reikalinga atskira incidento analizė ir programos patikra.
Ką reiškia jūsų patikros rezultatas?
Vertiname turimus PHP versijos duomenis ir jų atitikimą oficialiems pataisytiems leidimams. Pažeidžiama versija ir patvirtintas įsilaužimas yra skirtingi dalykai.
Reikia patikrinti atnaujinimą
Kaip suprasti
Pastebėta versija ankstesnė už oficialų pataisytą leidimą. Tiekėjas galėjo įtraukti pataisas nekeisdamas pagrindinio versijos numerio.
Kitas veiksmas
Gauti tiekėjo patvirtinimą apie abi CVE arba įdiegti pataisytą PHP paketą.
Nebepalaikoma PHP šaka
Kaip suprasti
Naudojama sena PHP šaka. Vien šios patikros nepakanka nustatyti, ar konkretus LTS tiekėjas jai dar teikia pataisas.
Kitas veiksmas
Patikrinti tiekėjo palaikymą ir suplanuoti suderinamą perėjimą į palaikomą šaką.
PHP2Shell pataisos yra
Kaip suprasti
Nustatytas PHP leidimas turi abiejų PHP2Shell spragų pataisas. Dėl šių dviejų spragų papildomo PHP atnaujinimo nereikia.
Kitas veiksmas
Tęsti įprastą svetainės priežiūrą.
Nepakanka duomenų
Kaip suprasti
Versija slepiama, atsakymas nepasiekiamas, duomenys prieštaringi arba šakos negalima patikimai palyginti. Apsaugos būsena lieka nepatvirtinta.
Kitas veiksmas
Patikrinti PHP hostingo valdyme arba naudoti papildomą PHP aplinkos diagnostiką.
VEIKSMŲ PLANAS
Kaip tvarkingai pašalinti riziką?
Nustatyti tikrąją PHP aplinką
Patikrinkite PHP versiją ir paketą, priskirtą būtent šiai svetainei. Komandinės eilutės PHP gali skirtis nuo PHP-FPM. Keli domenai, serveriai ar konteineriai gali naudoti skirtingas versijas.
Paruošti atkūrimą ir patikrinti suderinamumą
Išsaugokite failų ir duomenų bazės kopijas, įsitikinkite, kad jas galima atkurti. Įvertinkite CMS, įskiepius, temas ir PHP plėtinius. Jei įmanoma, pakeitimą pirmiausia patikrinkite atskiroje aplinkoje.
Įdiegti pataisytą paketą
Rinkitės pataisytą leidimą arba tiekėjo paketą, kuriam aiškiai patvirtintos abi CVE pataisos. Vien WordPress, įskiepio ar temos atnaujinimas neatnaujina serverio PHP.
Atnaujinti veikiančius procesus
Administratorius turi pasirūpinti, kad naują kodą naudotų visi PHP procesai ir visi svetainę aptarnaujantys serveriai. Po pakeitimo dar kartą patikrinkite web PHP versiją.
Patikrinti verslui svarbias funkcijas
Patikrinkite prisijungimą, formas, administravimą, mokėjimo eigą ir integracijas. Stebėkite klaidų žurnalus. Jei pastebėta įsilaužimo požymių, vien sėkmingo atnaujinimo neužtenka incidentui užbaigti.
SISTEMOS PRITAIKYMAS NAUJESNEI PHP
Jūsų sistema nepalaiko naujesnės PHP versijos?
Jei jūsų turinio valdymo sistema, el. parduotuvė ar individuali PHP programa nepalaiko naujesnės PHP versijos, kreipkitės į Dev4you.lt. Galime įvertinti nesuderinamumo priežastis, perprogramuoti pasenusias kodo dalis ir paruošti sistemą palaikomai PHP versijai.
Pagalbą siūlome nepriklausomai nuo naudojamos CMS ar sistemos kūrėjo – tiek populiarioms platformoms, tiek individualiems sprendimams. Perėjimą gali stabdyti sistemos branduolys, tema, moduliai, bibliotekos, integracijos ar individualūs kodo pakeitimai. Vertiname visą šią grandinę ir parenkame konkrečiai jūsų sistemai tinkamą sprendimą.
Suderinamumo analizė
Peržiūrime PHP ir CMS leidimus, modulius, bibliotekas bei individualų kodą. Nustatome, kurios dalys trukdo atnaujinti aplinką, kokie pakeitimai reikalingi ir kuri palaikoma PHP šaka tinka numatomam sprendimui.
Kodo ir modulių pritaikymas
Galime atnaujinti priklausomybes, pritaikyti kodą pasikeitusiam PHP funkcijų ir klaidų apdorojimo elgesiui, perrašyti pasenusius individualius modulius. Nebepalaikomiems komponentams įvertiname pakeitimą kitu sprendimu arba tikslinį perprogramavimą.
Bandomoji aplinka ir funkcijų patikra
Paruošiame kopijas ir bandomąją aplinką. Joje tikriname prisijungimus, formas, užsakymus, mokėjimus, integracijas ir fonines užduotis. Bandymų apimtį parenkame pagal jūsų verslo procesus bei sistemos naudojimą.
Suderintas perėjimas ir priežiūra
Sutariame darbų apimtį, prioritetus ir paleidimo laiką, paruošiame atkūrimo planą. Įdiegę pakeitimus patvirtiname veikiančią PHP aplinką ir pakartojame svarbiausių funkcijų patikrą. Tolesnę priežiūrą deriname pagal jūsų poreikį.
Darbų apimtis gali būti nuo vieno modulio pataisymo iki platesnio sistemos modernizavimo. Sprendimą parenkame įvertinę prieinamą išeities kodą, licencijas, integracijas ir tiekėjų palaikymą. Siekiame išsaugoti verslui svarbias funkcijas ir paruošti sistemą PHP šakai, kuri gauna saugumo pataisas.
Aptarti sistemos pritaikymą PHP
Parašykite, kokią sistemą ir PHP versiją naudojate, kas neveikia atnaujinant ir kurios integracijos jums svarbiausios. Pagal šią informaciją galėsime aptarti tolesnį įvertinimą ir darbų planą.
PATIKROS APIMTIS
Ką ši patikra gali nustatyti?
Automatinė dalis peržiūri viešą svetainės atsakymą ir jame pateikiamus PHP versijos požymius. Ji nevykdo išnaudojimo kodo, neprovokuoja atminties išsekimo ir nepatvirtina kenkėjiškų failų nebuvimo. Patvirtinus el. paštą pateikiama santrauka ir siunčiamas išsamus PDF.
Papildomas aplinkos patvirtinimas
Turint prieigą prie svetainės failų, papildoma diagnostika gali pateikti tame kelyje veikiančio PHP versiją, sąsają ir ribotą nustatymų sąrašą. Failą po patikros pašalinkite. Gautas versijos numeris vis tiek turi būti derinamas su tiekėjo informacija apie pataisas.
Grįžti į patikrąKaip patikrinti PHP versiją skirtingose sistemose?
PHP versija priklauso nuo svetainę vykdančios serverio aplinkos. Ją galima patikrinti CMS administravime, hostingo valdyme arba papildoma diagnostika. Rinkitės savo sistemą; meniu pavadinimai gali skirtis pagal jos versiją ir kalbą.
CMS administravimo skiltyje
Papildoma Dev4you.lt diagnostika
Šis būdas tinka ir kitoms PHP sistemoms, jei valdote jų failus. Rezultatas apibūdina aplinką, kuri vykdo įkeltą failą.
- Užbaikite patikrą. Kai PDF perduotas pašto tarnybai, rezultatų skiltyje išskleiskite „Patvirtinti PHP tiesiogiai savo serveryje“ ir atsisiųskite diagnostikos failą.
- Per hostingo failų valdymą arba SFTP įkelkite jį taip, kad būtų pasiekiamas tiksliai patikroje nurodytu adresu. Naudokite tos svetainės viešąjį katalogą ir tą pačią PHP aplinką.
- Grįžkite į rezultatus ir spauskite „Failas įkeltas – tikrinti PHP“. Patvirtinus failą, atnaujinsime santrauką ir parengsime naują PDF pagal gautus PHP duomenis.
- Po patikros pašalinkite įkeltą failą. Jei nežinote, kuri aplinka jį vykdo, paprašykite hostingo administratoriaus pagalbos.
Turint SSH prieigą
Komandinės eilutės PHP versiją galima peržiūrėti komanda:
php -vKomanda parodo paleisto komandinės eilutės PHP versiją. Svetainė gali naudoti kitą PHP-FPM, Apache ar konteinerio aplinką, todėl šis numeris vienas nepatvirtina svetainės PHP versijos. Užfiksuokite ir būtent web programai priskirtą aplinką.
PHP komandinės eilutės dokumentacijaUžsirašykite pilną PHP versiją, tikrintą domeną ir patikros laiką. Jei tiekėjas įtraukė pataisas į senesnį paketą, paprašykite pilno paketo leidimo ir abiejų CVE pataisų patvirtinimo.
Dažniausi klausimai
Svetainė veikia normaliai. Ar vis tiek reikia tikrinti?
Taip. Įprastai veikiantys puslapiai nepatvirtina, kad įdiegtos PHP pataisos. Pagalbos reikia ir nedidelėms reprezentacinėms svetainėms: automatinėms atakoms verslo dydis nėra patikimas atrankos kriterijus.
Ar HTTPS, CAPTCHA arba saugumo įskiepis išsprendžia problemą?
HTTPS saugo ryšį, o CAPTCHA padeda riboti piktnaudžiavimą formomis. Jie nepataiso PHP atminties valdymo. Kai kurie atakos keliai pasiekiami dar prieš svetainės kodo vykdymą, todėl programos apsaugos negalima laikyti PHP pataisos pakaitalu.
Ar senesnis numeris visada reiškia, kad pataisų nėra?
Ne. Distribucija ar LTS tiekėjas gali įtraukti pataisas į savo paketą. Paprašykite konkretaus paketo leidimo ir patvirtinimo, kad pašalintos CVE-2026-109618 bei CVE-2026-109619. Vien bendro atsakymo „viskas atnaujinta“ nepakanka patikrai dokumentuoti.
Ką daryti, jei PHP versija nerodoma?
Pasinaudokite aukščiau pateiktomis WordPress, Joomla, Drupal, PrestaShop ir kitų PHP sistemų instrukcijomis. Galite tikrinti per hostingo valdymą arba šios patikros papildomą diagnostiką. Versijos slėpimas nesuteikia informacijos apie įdiegtas pataisas.
Ar galima apsiriboti laikinais PHP nustatymų pakeitimais?
Oficialiai nurodytos priemonės mažina atskirų atakos kelių riziką, tačiau nėra visavertė pataisa. Jas turi įvertinti administratorius pagal konkrečią aplinką, jos apkrovą ir išteklių ribas. Pagrindinis sprendimas – pataisytas PHP.
Ką parašyti hostingo tiekėjui?
Paprašykite nurodyti šiai svetainei priskirtą web PHP versiją ir pilną paketo leidimą, patvirtinti abiejų CVE pataisas ir visų veikiančių procesų atnaujinimą. Pridėkite patikros laiką ir PDF – tiekėjui bus aišku, kokius duomenis tikslinti.
PAGALBA PO PATIKROS
Kaip gali padėti Dev4you.lt?
Nuo radinio paaiškinimo iki suderinto atnaujinimo ir svetainės patikros po jo. Darbų apimtį parenkame pagal tikrąją aplinką bei jūsų verslui svarbias funkcijas.
Aptarti PHP patikros rezultatąAplinkos peržiūra
PHP versijos, paketai, svetainių priskyrimas ir hostingo tiekėjo pateikti duomenys.
Atnaujinimo paruošimas
Atsarginės kopijos, suderinamumo įvertinimas ir sutarta pakeitimo eiga.
Įgyvendinimas ir patikra
PHP atnaujinimas, veikiančios aplinkos patvirtinimas ir funkcijų bandymai.
Įtariamo incidento analizė
Žurnalų, failų ir prieigų peržiūra bei tolesnių atkūrimo veiksmų planas.