PHP2Shell alerta: PHPren ahultasun kritikoa — zer den eta nola babestu zure webgunea gaur
2026ko urriaren 21ean, PHP taldeak larrialdiko eguneraketa bat argitaratu zuen bi ahultasun kritiko zuzentzeko: CVE-2026-109618 eta CVE-2026-109619, PHP2Shell izenez ezagunak (CVSS v4.0: 9.2). Zerbitzarian kodea urrunetik exekutatzeko aukera ematen dute, ustez pasahitzik gabe, eta dagoeneko ustiapen-saiakerak antzeman dira. PHP erabiltzen duen edozein webguneri edo aplikaziori eragiten diote (WordPress, Drupal, Joomla, Magento, Laravel, Moodle edo intranet propioak). Konponbidea PHP bertsio zuzendu batera eguneratzea da: 8.2.35, 8.3.36, 8.4.27 edo 8.5.12.
Arrisku-maila: KRITIKOA. Ustiapen aktiboa jakinarazi da · Kodea urrunetik exekutatzea · Ordu gutxitan jardun behar da, ez egunetan.
Teknikaria ez bazara: gaur zer jakin eta zer egin behar duzun
30 segundoan
- Zer gertatzen ari da
- Akats larri bat dago PHPn, milioika webgune eraikitzeko erabiltzen den lengoaian. Erasotzaile batek zure webgunea ostatatzen duen zerbitzariaren kontrola har lezake.
- Nori eragiten dio
- Zure enpresari, PHPz egindako webgune korporatiboa, online denda, intraneta edo ataria baduzu. WordPress erabiltzen baduzu, PHPren gainean dabil.
- Zer egin behar da
- Zure webgunea edo hostinga kudeatzen duenari PHP gaur eguneratzeko eskatu. WordPress edo haren pluginak eguneratzeak ez du akatsa zuzentzen: zerbitzariko PHP eguneratu behar da.
Eragiten al dit? Egiaztatu bi minutuan
- Zure enpresak ba al du Internetetik eskuragarri dagoen webgunerik, online dendarik, intranetik, extranetik, prestakuntza-plataformarik edo kudeaketa-softwarerik?
- Hornitzaile, agentzia edo hosting-zerbitzu batek kudeatzen al du? Orduan, haiek jardun behar dute, eta zuk baieztapena eskatu behar diezu.
- WordPress erabiltzen al duzu? Kontrol-panelean, Tresnak → Gunearen osasuna → Informazioa → Zerbitzaria atalean ikusiko duzu PHPren bertsioa.
Bost urrats erraz
- Egin zure enpresaren webgune eta online aplikazio guztien zerrenda, bakoitza nork kudeatzen duen adierazita.
- Idatzi gaur zure hornitzaileari edo hosting-zerbitzuari, eta eskatu idatzizko baieztapena.
- Eguneratu aurretik, eskatu segurtasun-kopia berri bat eta egiazta dezatela funtzionatzen duela.
- Zure PHP zaharra bada (8.1 edo lehenagokoa), ez dago adabaki ofizialik. Premiaz migratu behar da. Bitartean, komeni da zerbitzaria isolatzea edo neurri gehigarriekin babestea.
- Adi egon zure webguneko seinale arraroei (ezagutzen ez dituzun orriak, birbideratze arraroak, ezohiko moteltasuna edo hostingaren abisuak). Halakorik ikusiz gero, ez itxaron: jakinarazi iezaguzu.
Nola lagun diezazukegu Cybertixen
Ez duzu hau guztia ulertu beharrik babestuta egoteko: horretarako gaude. Gaur bertan lagun diezazukegu honako hauekin:
- Agerian dauden PHP aktiboen eta benetan darabilten bertsioaren inbentario azkarra egitea.
- Zerbitzarietan, kontroletarako paneletan eta edukiontzietan adabakiak aplikatzea planifikatu eta egiaztatzea.
- Adabakirik aplikatu ezin zaien sistemetan aldi baterako euste-neurriak ezartzea (WAF, sarbide-murrizketak).
- Sistemak arriskuan jarri diren aztertzea eta gorabeherei erantzutea, analisi forentsea barne, jarduera susmagarria antzemanez gero.
- Etengabeko zaintza All-in-One 24×7 SOCarekin, hurrengo alertak ustekabean harrapa ez zaitzan.
Horrelako alerta bakoitzak ikasgai bera errepikatzen du: zer daukazun jakitea, azkar eguneratu ahal izatea, euskarririk gabeko softwarerik ez mantentzea, funtzionatzen duten kopiak izatea eta jarduteko plan bat edukitzea. Zibersegurtasunaren oinarri horiek eraikitzen laguntzen dugu, zuk zure negozioan lanean jarraitu ahal izan dezazun, kezkarik eta etenik gabe. Eta zure aplikazioak garatzen badituzu, segurtasuna diseinutik txertatzeak horrelako akatsen eragina murrizten du.
Ohiko galderak
Zer da PHP2Shell?
PHP lengoaian bertan dauden bi ahultasun kritiko izendatzeko erabiltzen den izena da: CVE-2026-109618 eta CVE-2026-109619. Zerbitzarian kodea urrunetik exekutatzeko aukera ematen dute. CVSS v4.0 eskalan 9.2ko puntuazioa dute, eta haien zuzenketa 2026ko urriaren 21ean argitaratu zen.
PHPren zein bertsiok zuzentzen dute PHP2Shell?
PHP 8.2.35, 8.3.36, 8.4.27 eta 8.5.12 bertsioek. 8.1 bertsioak eta lehenagokoek ez dute adabaki ofizialik jasotzen.
Nire WordPress webguneari eragiten al dio?
Adabakirik gabeko PHP bertsio batekin badabil, bai. WordPress edo haren pluginak eguneratzeak ez du akatsa zuzentzen: zerbitzariko PHP eguneratu behar da. Zure hosting-zerbitzuak edo hornitzaileak egin dezake, eta komeni da idatzizko baieztapena eskatzea.
Nola jakin dezaket PHPren zein bertsio erabiltzen dudan?
WordPressen: Tresnak → Gunearen osasuna → Informazioa → Zerbitzaria. Beste kasuetan, zure hosting-zerbitzuak edo talde teknikoak esan diezazuke. Ez argitaratu phpinfo() fitxategirik hori egiaztatzeko.
Babestu al naiteke eguneratu gabe?
Aldi baterako bakarrik: arau eguneratuak dituen WAF bat erabiliz, sarbidea VPN bidez mugatuz edo sistema Internetetik kenduz. PHP taldearen arabera, konfigurazio-aldaketek ez dute akatsa konpontzen. Behin betiko konponbidea adabakia da.
Zer egin behar dut PHP 7 edo 8.1 erabiltzen badut?
Ez dago adabaki ofizialik; euskarria duen bertsio batera migratu behar da edo zuzenketa baieztatzen duen euskarri hedatua kontratatu. Bitartean, zerbitzaria isolatu edo VPN eta WAF bidez babestu behar da.
Nola jakin dezaket dagoeneko eraso egin didaten?
Bilatu PHP fitxategi berriak edo aldatuak, ezohiko prozesuak eta konexioak, eta PHPren behin eta berriz gertatzen diren hutsegiteak. Zalantzarik baduzu, galdetu guri: adabakia aplikatzeak ez du aurretiko intrusio bat ezabatzen.
Jakinarazi behar al dut?
Datu pertsonalen segurtasun-arrakala bat badago, DBEOk datuak babesteko agintaritzari jakinaraztea eskatzen du, horren berri izan eta gehienez 72 orduko epean. NIS2k eta Segurtasun Eskema Nazionalak (ENS) betebehar gehiago ezar ditzakete, zure kasuaren arabera.