PHP2Shell ahultasuna: nola jakin zure webgunea arriskuan dagoen eta zer egin

2026ko urriaren 20an PHPren ahultasun larri bat argitaratu zen, PHP2Shell izenez ezagutzen dena (CVE-2026-109618 eta CVE-2026-109619). Erasotzaile batek zerbitzarian kodea exekuta dezake inolako pasahitzik gabe, webguneari eskaerak bidaliz bakarrik. PHPren 5.4 bertsiotik 8.5.11 bertsiora arteko guztiei eragiten die, eta argitaratu aurretik ere ustiatzen ari ziren.

PHP da WordPress, Joomla, Drupal, PrestaShop eta neurrira egindako webgune gehienen oinarria. Beraz, webgune bat baduzu, oso litekeena da zuri ere eragitea.

Zure webgunea Intergriden badago, babestuta dago

Zure webgunea gurekin ostatatuta badago, ez dizu inola ere eragin eta ez duzu ezer egin behar. Urriaren 25ean posta elektronikoz azaldu genien gure bezeroei.

Urriaren 21ean, asteazkena, ahultasuna ezagutzera eman zenean, gure taldea berehala jarri zen lanean:

• Minutu gutxitan lehen babes-neurri bat aplikatu genuen gure zerbitzari guztietako PHP guztietan.
• Jarraian, gure zerbitzari guztietako PHP ahul guztiak eguneratu eta zuzendu genituen.
• Baita fabrikatzaileek jada eguneratzen ez dituzten PHP bertsio zaharrak ere: guk geuk berriro konpilatu genituen segurtasun-zuzenketekin, haien mende dauden webguneek funtzionatzen jarraitu eta, aldi berean, babestuta gera zitezen.

Gainera, WebSentinel zerbitzua duten webguneak gauero aztertzen dira kode maltzurraren bila. Horrelako zerbait gertatzen denean, berehala jarduten duen talde bat dago zaintzan.

Zure webgunea beste ostatatze batean badago, hau da jakin behar duzuna.

Nola jakin zure webgunea kaltetuta dagoen

Bertsio zuzenduak 8.5.12, 8.4.27, 8.3.36 eta 8.2.35 dira, edo ondorengoak. 7.4, 8.0 eta 8.1 adarrek hornitzaileak bere kabuz zuzendu baditu bakarrik dute zuzenketa. 5.x, 7.2 eta 7.3 bertsioek ez dute inoiz zuzenketa ofizialik izango.

Zure webguneak zein bertsio erabiltzen duen jakiteko:

• WordPressen: Tresnak → Gunearen osasuna → Informazioa → Zerbitzaria.
• Zure ostatatzearen panelean, PHPren ezarpenetan.
• Zure ostatatze-hornitzaileari galdetuta; zuzenketa aplikatu duen ere esan beharko lizuke.

WordPressen edo PHPren bertsio zahar batekin dabilen webgunea arrisku handienean dago: horiek ezin dira egun batetik bestera eguneratu.

Zer egin behar duzu

• PHP eguneratu bertsio zuzendu batera. Hori da konponbide oso bakarra.
• Webguneak PHP moderno batekin funtzionatzen ez badu, WordPress, txantiloia eta pluginak eguneratu behar dira, edo mantentzerik ez dutenak ordezkatu.
• Bitartean, hornitzaileak arriskua murriztu dezake zerbitzariaren php.ini fitxategian session.upload_progress desaktibatuta. Webgunearen .user.ini fitxategian jartzeak ez du balio.
• Webgunean fitxategi arrarorik ez dagoela egiaztatu: norbait sartu bada, zuzenketak ez du kanporatzen.

Zure webgunea beste ostatatze batean dago eta ez dakizu nondik hasi?

Guk egin dezakegu. Zure webgunea Intergridera doan eramaten dugu, behar izanez gero posta eta domeinuarekin batera, eta PHP bertsio zuzendu eta mantendu batean martxan uzten dugu. Webgunea zaharra bada, PHP moderno batekin edukiak eta posizionamendua galdu gabe funtziona dezan zer eguneratu behar den esaten dizugu, eta guk egiten dugu.

Hasi aurretik konpromisorik gabeko aurrekontua bidaltzen dizugu, eta migrazioa onartzen duzunean bakarrik hasten da.