PHP2Shell թերությունները (CVE-2026-109618 և CVE-2026-109619) ուղղված են PHP-ի նոր թողարկումներում, ուստի լուծումը սկզբունքորեն պարզ է՝ աշխատեցնել ուղղված տարբերակը և վերագործարկել PHP-ն։ Այս ուղեցույցում թվարկված են տարբերակները և գործնական քայլերը՝ այն կարգով, ինչպես մենք կանեինք հաճախորդի համար։
PHP-ի ուղղված տարբերակները
- PHP 8.2. թարմացրեք մինչև 8.2.35 կամ ավելի նոր։
- PHP 8.3. թարմացրեք մինչև 8.3.36 կամ ավելի նոր։
- PHP 8.4. թարմացրեք մինչև 8.4.27 կամ ավելի նոր։
- PHP 8.5. թարմացրեք մինչև 8.5.12 կամ ավելի նոր։
- PHP 8.1, 8.0 և 7.4. սովորական թողարկում չկա։ PHP նախագիծը հրապարակել է սահմանափակ backport-ներ սկզբնական կոդի համար, ուստի օգտագործեք մատակարարի կամ երկարաժամկետ աջակցության փաթեթ, կամ անցեք աջակցվող տարբերակի։
- PHP 7.3 և ավելի հին. հայտնվում են որպես խոցելի՝ առանց ուղղման։ Միակ ճանապարհը թարմացումն է։
Քայլ առ քայլ ցուցակ
- Պարզեք ձեր PHP տարբերակը հոսթինգի վահանակում կամ WordPress-ում՝ Tools, Site Health, Info, Server բաժնում։
- Ստեղծեք նոր կրկնօրինակ ֆայլերի և տվյալների բազայի՝ նախքան որևէ փոփոխություն անելը։
- Հարցրեք հոսթինգ մատակարարին՝ սերվերն արդեն թարմացվա՞ծ է, կամ վահանակից անցեք PHP-ի ուղղված տարբերակի։
- Վերագործարկեք PHP-ի աշխատողները։ Ուղղումը չի պաշտպանում, քանի դեռ հին գործընթացները չեն փոխարինվել։
- Փորձարկեք կայքը՝ գլխավոր էջը, ձևերը, վճարումը, մուտքը և ադմին վահանակը։
- Ստուգեք կոտրման նշանները՝ անծանոթ ադմինիստրատորներ, նոր PHP ֆայլեր uploads թղթապանակում, անսպասելի պլագիններ։
Եթե այսօր չեք կարող թարմացնել
PHP նախագիծը և անվտանգության ընկերությունները ասում են, որ ոչ մի կարգավորում լիովին չի վերացնում թերությունները, բայց որոշ կարգավորումներ նվազեցնում են ռիսկը, մինչև թարմացնեք։ Դրանք պետք է սահմանվեն սերվերի մակարդակում, ոչ թե հավելվածի ներսում։ session.upload_progress.enabled-ը 0 սահմանելը փակում է հարձակման ուղիներից մեկը։ PHP 8.5-ում fatal_error_backtraces-ը 0 սահմանելը փակում է մեկ այլ ուղի։ Հարցման առավելագույն չափի սահմանափակումը վեբ սերվերում կամ CDN-ում նույնպես օգնում է, իսկ վեբ հավելվածների firewall-ը, օրինակ՝ Cloudflare-ի անվճար կանոնները, կարող է արգելափակել հայտնի հարձակումները։ Սա համարեք կարճ կամուրջ դեպի իրական ուղղումը, ոչ թե դրա փոխարինող։
Հաճախ տրվող հարցեր
Բավարա՞ր է WordPress-ի թարմացումը PHP2Shell-ը շտկելու համար
Ոչ։ Սրանք հենց PHP-ի թերություններ են, ոչ թե WordPress-ի։ Պետք է թարմացնել PHP-ն սերվերում, թեև WordPress-ը և պլագինները թարմ պահելը նույնպես կարևոր է։
Պե՞տք է ինչ-որ բան վերագործարկել PHP-ը թարմացնելուց հետո
Այո։ PHP-ի աշխատողները կամ վեբ սերվերը պետք է վերագործարկվեն, որպեսզի ուղղված տարբերակն իրականում օգտագործվի։ Հոսթինգի շատ վահանակներ դա անում են ավտոմատ, երբ փոխում եք տարբերակը։
Կարո՞ղ է ավելի նոր PHP տարբերակը փչացնել իմ կայքը
Կարող է, հատկապես եթե կայքն օգտագործում է շատ հին պլագիններ կամ հատուկ թեմա։ Դրա համար սկզբում կրկնօրինակ ենք ստեղծում և հնարավորության դեպքում փորձարկում ենք փորձնական պատճենի վրա։
Կարդացեք նաև
- PHP2Shell. 2026-ի հոկտեմբերի կրիտիկական PHP խոցելիությունը պարզ բացատրությամբ
- Ինչպես ստուգել և թարմացնել ձեր WordPress կայքի PHP տարբերակը
- Իմ WordPress կայքը կոտրվել է. ինչ անել քայլ առ քայլ
Օգնություն է պետք WordPress կայքի անվտանգության համար։ Մենք առաջարկում ենք սպասարկում, թարմացումներ և անվտանգության ստուգում։ Կապվեք մեզ հետ
