Por que o PHP2Shell.help existe?
Os alertas oficiais são escritos para desenvolvedores PHP e administradores de servidores. A maioria das pessoas responsáveis por um site precisa de algo mais simples: o meu site é afetado e o que exatamente eu faço? Respondemos a essas perguntas em linguagem clara, para quem tem e para quem não tem acesso ao servidor, e mantemos as respostas alinhadas com as fontes oficiais.
Como o verificador PHP2Shell decide?
Com base na versão do PHP e no ambiente que você informa, comparados com a primeira versão corrigida de cada ramo e com as versões de pacotes publicadas pelos fornecedores. Nada além disso.
- Há quatro resultados possíveis: na faixa afetada, corresponde a uma versão corrigida, verifique o patch do fornecedor e ainda não dá para saber.
- A verificação da versão roda no seu navegador. A verificação opcional por URL envia ao site uma requisição HEAD para ler os cabeçalhos, e mais nada. O site nunca executa exploits.
- Uma medida temporária ou um WAF nunca transforma um resultado em “corrigido”.
- Um resultado de linha de comando é marcado como algo que não confirma o que o seu site roda.
- Nenhum resultado diz se um site foi invadido no passado.
Experimente no verificador PHP2Shell ou no verificador de versão do PHP.
Quais fontes o PHP2Shell.help usa?
Primeiro as fontes oficiais: o aviso de segurança do PHP e os dois alertas de segurança do GitHub; depois os fornecedores de sistemas operacionais, os provedores de hospedagem e os órgãos nacionais de cibersegurança; e por fim a pesquisa original. Cada página lista as suas fontes e a data em que as conferimos. O que não conseguimos verificar fica marcado como não verificado, nunca é completado por suposição. As mudanças ficam registradas no histórico de alterações.
Como o PHP2Shell.help se financia?
Hoje é um projeto voluntário, sem publicidade e sem links de parceiros. Se no futuro adicionarmos alguma forma de financiamento, como links de parceiros claramente identificados, indicações de serviços avaliados ou doações, valem estas regras:
- Links de parceiros são identificados como tal em todas as páginas em que aparecem.
- Só recomendamos hospedagens que verificamos ter instalado a correção do PHP2Shell, e mostramos a data em que conferimos.
- Conteúdo de parceiros nunca aparece dentro dos resultados do verificador, e nenhuma fonte de receita influencia um resultado ou uma recomendação de correção.
- Nunca usamos linguagem alarmista para empurrar você para um parceiro.
Usamos o Google Analytics para contar visitas; veja a página de privacidade.
O PHP2Shell.help é oficial?
Não. É um recurso comunitário independente. Para informações oficiais, siga os links para o The PHP Group, para o fornecedor do seu sistema operacional e para o órgão nacional de cibersegurança do seu país.
Como relato um erro?
Diga qual é a página, o que está errado e um link para a sua fonte. Corrigimos fatos rapidamente e registramos a correção no histórico de alterações. Escreva para [email protected].
Verifique se o seu PHP é afetado pelo PHP2Shell
Informe a versão que o seu site mostra. Comparamos com a primeira versão corrigida do mesmo ramo e dizemos o que fazer em seguida.
Verificador PHP2Shell →Fontes
Os fatos centrais desta página (versões corrigidas, detalhes dos CVEs, pacotes das distribuições e alertas de órgãos oficiais) vêm de fontes oficiais. Pesquisas, notícias e posts da comunidade estão identificados como tal.
- Security advisory: Critical remote code execution vulnerabilities, update nowOficial The PHP Group
- RCE via OOM corruptionOficial The PHP Group
- RCE via stale global stateOficial The PHP Group