PHP2Shell: çfarë duhet të bësh për faqen tënde

Ilustrim i një serveri PHP pranë një mburoje të gjelbër me një arnë mbi një çarje.

Ilustrim: mbrojtja e një serveri PHP me përditësime sigurie.

PHP2Shell është emri që u është dhënë dy dobësive kritike në PHP, programin që ekzekutohet në server dhe mbështet shumë faqe interneti e sisteme të menaxhimit të përmbajtjes. Rreziku për biznesin tënd është serioz: një sulmues mund të ekzekutojë kod në një server të prekur pa u identifikuar.

Ky artikull pasqyron udhëzimet zyrtare të disponueshme më 1 nëntor 2026. Nëse faqja jote përdor PHP, kontakto tani ofruesin e hostingut, pa pritur mirëmbajtjen e radhës.

Çfarë ndodhi?

Më 21 tetor, projekti PHP publikoi përditësime sigurie për CVE-2026-109618 dhe CVE-2026-109619. Paralajmërimi përfshin instalimet që trajtojnë kërkesa web përmes PHP-FPM, Apache me mod_php, php-cgi, FrankenPHP dhe LiteSpeed. Ekipi i PHP e konsideron mod_php mjedisin me rrezikun më të lartë, me një sulm të demonstruar që mund të ndodhë para se të nisë kodi i aplikacionit tënd. Shiko njoftimin zyrtar të sigurisë së PHP.

Këto dobësi prekin vetë mjedisin e ekzekutimit të PHP. Përditësimi i temës ose shtojcave të faqes nuk përditëson automatikisht PHP në llogarinë tënde të hostingut.

Dy probleme të ndryshme me sigurinë e memories

CVE-2026-109618 lidhet me trajtimin e mungesës së memories. PHP mund të ndërpresë punën ndërsa të dhënat e brendshme të kërkesës janë inicializuar vetëm pjesërisht. Gjatë pastrimit të kërkesës, këto të dhëna të paplota mund të përdoren sikur të ishin të vlefshme, duke lejuar ekzekutimin e kodit nga distanca. Njoftimi konfirmon shfrytëzimin kundër mod_php; ekspozimi i mjediseve të tjera varet nga trajtimi i kërkesave dhe sjellja e aplikacionit. Lexo njoftimin e PHP për mungesën e memories.

CVE-2026-109619 lidhet me gjendjen globale të mbetur nga kërkesa të mëparshme. Një proces punues mund të ruajë referenca ndaj memories së një kërkese edhe pasi ajo është liruar. Një kërkesë e mëvonshme, e trajtuar nga i njëjti proces, mund t’i përdorë ato referenca para kohe. Ky është një problem përdorimi të memories pas lirimit, i njohur si use-after-free. Shfrytëzimi varet nga veprimet, konfigurimi dhe aplikacioni, prandaj ndryshimi i një cilësimi nuk eliminon çdo rrugë sulmi. Lexo njoftimin e PHP për gjendjen globale të mbetur.

Cilat versione të PHP përmbajnë korrigjimet?

Versionet e sigurisë të publikuara më 21 tetor janë:

PHP 8.2.35 për degën 8.2.
PHP 8.3.36 për degën 8.3.
PHP 8.4.27 për degën 8.4.
PHP 8.5.12 për degën 8.5.

Përdor këto versione ose një version të mëvonshëm të korrigjuar në një degë që mbështetet ende. Paketat e shpërndarjeve mund të përmbajnë korrigjime të përshtatura për versione më të vjetra pa pasur këta numra versionesh. Kërkoji ofruesit të konfirmojë mbulimin e të dy CVE-ve. Për degët më të vjetra nevojitet konfirmim i qartë nga ofruesi ose kalim në një version të mbështetur. Njoftimi i PHP shpjegon mundësitë e përditësimit.

Një njoftim vijues që duhet ta kontrollosh

Më 23 tetor, PHP publikoi udhëzime shtesë për ndjekjen e progresit të ngarkimeve përmes sesionit dhe CVE-2026-115560. Ato përshkruajnë një konfigurim të pazakontë që ndryshon trajtuesin e serializimit të sesionit gjatë ekzekutimit. PHP rekomandon çaktivizimin e session.upload_progress.enabled deri në versionin e ardhshëm të rregullt me korrigjime, duke shpjeguar edhe kur ky cilësim mund të mbetet aktiv. Kërkoji ofruesit të shqyrtojë njoftimin për progresin e ngarkimeve në lidhje me aplikacionin tënd.

Hapat e tu të ardhshëm

Identifiko çdo mjedis PHP. Përfshi faqen kryesore, nëndomenet, mjediset e provës, kontejnerët dhe detyrat e planifikuara. Kontrolli i versionit vetëm nga terminali mund të mos tregojë versionin që shërben faqen tënde.
Merr konfirmim për korrigjimet. Pyet ofruesin se cila paketë korrigjon të dy CVE-të e PHP2Shell, nëse është instaluar dhe nëse janë rinisur të gjitha proceset punuese të PHP.
Kontrollo faqen pas përditësimit. Provo identifikimin, formularët, ngarkimin e skedarëve dhe përfundimin e blerjeve, sipas rastit.
Shqyrto veprimtarinë e dyshimtë. Skedarët e papritur, dështimet ose ndryshimet e llogarive duhen hetuar. Instalimi i një korrigjimi nuk zhbën një komprometim të mëparshëm.

Masat e përkohshme në konfigurim mund të kufizojnë rrugë të caktuara sulmi, por njoftimet e PHP thonë se ato nuk zëvendësojnë korrigjimet e plota. Përfshi përditësimet e PHP në mirëmbajtjen e vazhdueshme të faqes, bashkë me përditësimet e aplikacionit dhe kopjet rezervë të testuara.