Kemas Kini Keselamatan PHP: Tampal Dahulu, Kemudian Semak Rahsia dan Akses

Pada 21 Oktober 2026, PHP menerbitkan 8.5.12, 8.4.27, 8.3.36 dan 8.2.35 untuk membaiki CVE-2026-109618 dan CVE-2026-109619, kelemahan kritikal yang boleh membenarkan pelaksanaan kod jauh tanpa pengesahan. Pengumuman rasmi menyenaraikan pemasangan yang melayan permintaan web sebagai berisiko, termasuk PHP-FPM dan Apache mod_php. Kemas kini ialah pembaikan lengkap; mitigasi sementara tidak setara.

Pemasangan terdedah bukan bukti pencerobohan. Anggap penampalan, penyiasatan dan pemulihan kelayakan sebagai kerja berkaitan, dengan keputusan berdasarkan persekitaran serta bukti.

Sahkan persekitaran yang benar-benar melayan permintaan

Inventorikan laman awam, perkhidmatan dalaman, bekas dan akaun pengehosan yang menjalankan PHP. Sahkan versi dan status tampalan persekitaran yang mengendalikan permintaan web; versi baris perintah mungkin merujuk pemasangan lain.

Untuk pengehosan terurus, minta pengendali mengesahkan pakej digunakan, perkhidmatan terjejas dan mula semula atau pelancaran. Pengedar mungkin membawa pembaikan ke versi lama, jadi dapatkan pengesahan tampalan dan bukan menilai nombor versi asal semata-mata. Semak skop bersama pengendali melalui nasihat pasukan PHP. Jangan terbitkan halaman diagnostik yang mendedahkan konfigurasi pelayan.

Hadkan pendedahan dan pulihkan persekitaran dipercayai

Selaraskan kemas kini dengan segera bersama pengehosan atau pasukan operasi. Hadkan pendedahan atau asingkan sistem jika penilaian insiden memerlukan, sambil mengekalkan bukti berkaitan. Jangan lewatkan pembendungan segera hanya untuk menyelesaikan pengumpulan log.

Semak tempoh pendedahan, log web dan sistem, fail atau proses luar jangka serta peristiwa audit penyedia berkaitan. Tiada amaran atau log yang kelihatan normal tidak membuktikan hos tidak disentuh.

Jika pencerobohan disahkan atau munasabah disyaki, ikuti proses insiden untuk membina semula atau memulihkan daripada sumber dipercayai. Tampalan tidak membuang mekanisme pengekalan akses penyerang. Jangan gunakan hos atau peranti tidak dipercayai untuk menjana, menerima atau memasang rahsia pengganti.

Nilai kelayakan sebelum putaran

Senaraikan kelayakan yang proses terjejas boleh capai: konfigurasi aplikasi, pemboleh ubah persekitaran, token pelaksanaan, kelayakan pangkalan data dan kunci API. Tentukan kebenaran, skop dan kemungkinan pendedahan. Pengumuman sahaja tidak menunjukkan semua kelayakan organisasi bocor.

Bagi kelayakan berpotensi terdedah, selaraskan penggantian dan pembatalan di penyedia pengeluar melalui peranti pentadbir dipercayai. Pasang pengganti dalam persekitaran dipercayai yang dibina semula dan sahkan integrasi sah. Pilih urutan berdasarkan penyalahgunaan aktif, kemampuan penyedia dan kebergantungan perkhidmatan. Jangan janjikan perkhidmatan tanpa gangguan atau biarkan kunci terdedah aktif selama-lamanya demi kemudahan.

Semak sesi serta akses pemulihan apabila perlu dan dokumentasikan pemilik setiap perubahan. Jangan letakkan rahsia mentah dalam tiket atau log insiden. OWASP

Tutup akses kecemasan selepas kerja selesai

Berikan petugas akaun individu dengan kebenaran sempit dan masa tamat dipersetujui. Selepas pemulihan, semak peranan sementara, sesi, akses pelaksanaan dan pautan serahan. Buang akses tertinggal yang tidak diperlukan, sahkan hasil pada perkhidmatan berkenaan dan jangan hanya bergantung pada peringatan kalendar.

Bezakan tiga kawalan berbeza

Kawalan	Apa yang berubah	Apa yang tidak dilakukan
Tamat pautan serahan	Akses seterusnya melalui pautan itu	Membatalkan kelayakan penyedia
Pembatalan kunci penyedia	Sama ada penyedia menerima kunci	Memadam salinan atau membaiki hos diceroboh
Memadam mesej atau nota	Ketersediaan item dalam sistem itu	Menarik balik muat turun, tangkapan skrin atau teks

Gunakan serahan sementara selepas kepercayaan pulih

Jika proses membenarkan, cipta memo dilindungi kata laluan daripada sistem dipercayai dengan maklumat minimum untuk penerima disahkan. Hantar kata laluan berasingan dan gunakan tamat tempoh atau had akses apabila pelan menyokongnya. Jangan masukkan frasa pemulihan dompet atau kunci persendirian.

LOCK.PUB ialah alat serahan terhad: ia tidak menampal PHP, membaiki peranti dijangkiti, membatalkan kunci penyedia atau menarik balik salinan. Ia tidak menggantikan pengurus rahsia, kawalan identiti atau tindak balas insiden.

Soalan lazim

Adakah memasang kemas kini PHP menamatkan penyiasatan?

Tidak. Ia menangani kelemahan; bukti dan pendedahan menentukan penyiasatan, pemulihan dan tindakan kelayakan yang masih diperlukan.

Adakah tamatnya memo mematikan kunci API di dalamnya?

Tidak. Batalkan atau ganti kunci di penyedia. Kelayakan disalin terpisah daripada pautan yang menyerahkannya.

Berkaitan: berkongsi kunci API dengan had jelas.