Patches për PHP2Shell trajtojnë rrezikun kritik për serverët WordPress
PHP2Shell është emri i përbashkët për dy cenueshmëri kritike në PHP, të bëra publike më 21 tetor 2026. PHP është gjuha e programimit server-side mbi të cilën funksionon WordPress. Dobësitë, CVE-2026-109618 dhe CVE-2026-109619, mund t’i lejonin një sulmuesi të ekzekutonte kod keqdashës në një server të prekur pa autentikim, domethënë pa dhënë më parë një llogari të vlefshme ose pa u identifikuar. Të dyja morën vlerësimin kritik 9.2 sipas CVSS 4.0, Common Vulnerability Scoring System që përdoret për të vlerësuar rëndësinë e dobësive të sigurisë.
Cenueshmëritë lidhen me mënyrën se si PHP menaxhon memorien gjatë përpunimit të kërkesave. Shfrytëzimi i suksesshëm mund të komprometonte faqet e internetit dhe të dhënat e ruajtura në të njëjtin server. Prandaj, çdo instalim WordPress që përdorte një version të prekur të PHP përballej me ekspozim të mundshëm, por problemi nuk ndodhej në vetë WordPress. PHP2Shell preku PHP runtime, software-in bazë të serverit që interpreton dhe ekzekuton kodin PHP, dhe jo WordPress core, një plugin ose një theme. Përditësimi i këtyre komponentëve të WordPress nuk do ta korrigjonte software-in e cenueshëm PHP.
Ekipi i zhvillimit të PHP publikoi më 21 tetor përditësime emergjente sigurie për PHP 8.2, 8.3, 8.4 dhe 8.5. Rregullimet e sigurisë për versionet më të vjetra të PHP erdhën nga mirëmbajtës të palëve të treta. Kinsta thotë se ekipet e saj të inxhinierisë dhe sigurisë kishin filluar përgatitjet përpara se korrigjimet zyrtare, të quajtura zakonisht patches, të viheshin në dispozicion. Fillimisht, ofruesi vendosi masa që synonin të zvogëlonin mundësinë e shfrytëzimit ndërsa verifikonte dhe shpërndante builds e korrigjuara të PHP.
Një shtresë e përkohshme mbrojtjeje erdhi nga Web Application Firewall (WAF) i Cloudflare, një shërbim që kontrollon kërkesat hyrëse në internet dhe bllokon trafikun që përputhet me modele keqdashëse. Sipas Kinsta, Cloudflare kishte vendosur përpara publikimit të informacionit mbrojtje të krijuara për të identifikuar përpjekjet për shfrytëzimin e PHP2Shell. Kinsta aktivizoi mbrojtjet përkatëse në të gjithë infrastrukturën e saj të hosting, duke mundësuar filtrimin e trafikut përpara se ai të arrinte te faqet e hostuara. Këto kontrolle edge-level, domethënë mbrojtje të zbatuara në kufirin e jashtëm të rrjetit të hosting, mbetën aktive gjatë instalimit të përditësimeve të PHP.
Kinsta ndryshoi gjithashtu cilësimet e konfigurimit të PHP në të gjitha mjediset e saj të hosting për të kufizuar ekspozimin e mundshëm. Gjatë reagimit ndaj incidentit, ajo shkëmbeu me partnerin e saj për mbrojtjen nga cenueshmëritë, Patchstack, informacione rreth kërcënimeve dhe modeleve të sulmeve të vëzhguara. Kinsta theksoi se firewall dhe masat e konfigurimit ishin masa mbrojtëse të përkohshme dhe jo zëvendësime për korrigjimin e vetë PHP runtime.
Pasi ekipi i PHP publikoi rregullimet, Kinsta verifikoi dhe shpërndau në të gjithë platformën paketa PHP me patch, ose builds të instalueshme të software-it të serverit. Shpërndarja mbuloi PHP 7.4 deri në PHP 8.5, duke përfshirë patches për versionet më të vjetra, të ofruara nga Freexian, ofruesi i paketave PHP i Kinsta. Meqë PHP menaxhohej në mënyrë të centralizuar në nivelin e hosting, klientët nuk duhej të instalonin një rregullim të veçantë ose të ndryshonin manualisht versionin. Shpërndarja përfshiu si faqet live, ashtu edhe staging environments, të cilat janë kopje testimi që përdoren për të kontrolluar ndryshimet përpara se ato të vendosen në një faqe publike interneti.
Kinsta e shënoi incidentin si të zgjidhur në faqen e saj publike të statusit në orën 08:26 UTC, më 22 tetor 2026. Ajo deklaroi se të gjitha faqet kishin marrë mbrojtjet dhe përditësimet e nevojshme të sigurisë. Gjatë incidentit, ekipet e saj monitoruan aktivitetin e dyshimtë, ekzaminuan manualisht faqet që dukej se ishin vënë në shënjestër dhe kryen kontrolle shtesë të përzgjedhura për prova komprometimi. Kinsta raportoi se nuk gjeti asnjë provë për depërtime të suksesshme PHP2Shell në platformën e saj. Kjo deklaratë përshkruan provat e disponueshme nga monitorimi i vetë Kinsta dhe nuk vërteton se nuk ka ndodhur shfrytëzim diku tjetër.
Sipas ofruesit, klientët e Kinsta nuk kanë nevojë t’i kalojnë faqet e tyre offline, të instalojnë një patch tjetër ose të ndryshojnë versionet e PHP për shkak të PHP2Shell. Mjediset e pezulluara si masë paraprake mund të riaktivizohen, pasi Kinsta thotë se ka përditësuar edhe mjediset e pezulluara. Klientët duhet të vazhdojnë përditësimin e WordPress core, plugins dhe themes si pjesë e mirëmbajtjes rutinë, por këto përditësime trajtojnë një shtresë tjetër sigurie dhe nuk zëvendësojnë rregullimet e PHP në nivel serveri.
Klientët mund ta shohin versionin e konfiguruar të PHP duke hapur Sites në MyKinsta, duke zgjedhur faqen dhe duke shkuar te Tools, pastaj te PHP settings. Megjithatë, vetëm versioni i shfaqur mund të mos tregojë nëse një korrigjim është i pranishëm. Disa mirëmbajtës përdorin backported security fixes, të cilat shtojnë një korrigjim sigurie në një version më të vjetër të software-it pa e përmirësuar atë në numrin më të ri zyrtar të versionit. Pronarët e faqeve që vazhdojnë të kenë paqartësi mund t’i kërkojnë ekipit të mbështetjes 24/7 të Kinsta, përmes MyKinsta, të konfirmojë statusin e patch për një mjedis të caktuar. Agjencitë mund t’u dërgojnë klientëve edhe raportin publik të incidentit nga Kinsta, sepse ai dokumenton shpërndarjen dhe zgjidhjen e problemit.
Për pronarët që po shqyrtojnë se kujt duhet t’i takojë përgjegjësia për sigurinë e serverit, AEU Hosting ofron hosting të menaxhuar WordPress, të siguruar end to end. PHP2Shell tregon pse ky dallim ka rëndësi: një përditësim nga dashboard i WordPress nuk mund të korrigjojë një dobësi në PHP runtime, ndaj konfirmimi duhet të vijë nga pala që menaxhon software-in PHP të serverit.