Không có lập trình viên PHP? Khôi phục quyền truy cập, thử bản sao lưu và xác định môi trường. Sau đó chọn PHP đã vá, di chuyển hoặc lưu trữ tĩnh để xử lý PHP2Shell.
01
Khôi phục quyền và người chịu trách nhiệm
Tìm registrar, hosting, server/panel, mã nguồn, quyền DB, bên trả phí. Xác định ai duyệt bảo trì và khôi phục. Nhận diện đúng ứng dụng/phiên bản từ file. Khôi phục tài khoản/mã thiếu trước đổi PHP production.
02
Giữ chứng cứ và diễn tập phục hồi
Nếu nghi xâm nhập, giữ log trước dọn dẹp. Lưu code, DB, uploads, cấu hình, lịch thành bộ cùng thời điểm, mã hóa và giới hạn truy cập. Ghi encoding/storage. Phục hồi riêng rồi thử nội dung/login; báo backup thành công chưa đủ.
Vá không loại trừ xâm nhập ↗03
Đối chiếu các thế hệ PHP
PHP 5.3/5.6 có thể dùng API bị xóa. PHP 7 xóa ext/mysql; PHP 8 xóa each()/create_function(), siết kiểu/chữ ký; PHP 8.2 bỏ dần thuộc tính động. Đọc mọi hướng dẫn đã vượt qua. Minimum cũ không khuyến nghị vận hành hay chứng minh mã riêng.
04
Chọn sửa, chuyển hoặc lưu tĩnh
Bản vá nhà cung cấp đã xác minh có thể tạo thời gian; cần chứng cứ cả hai CVE và hỗ trợ. PHP hết hỗ trợ cần đích duy trì, không ngoại lệ WAF vĩnh viễn. Sửa ứng dụng kiểm soát được, xây lại phụ thuộc bỏ hoang hoặc lưu tĩnh nội dung và xử lý login/tìm kiếm/form.
05
Dựng diễn tập riêng sát thực tế
Khớp PHP Web, extension, INI, DB, route với đích. Hạn chế bản sao ẩn danh, chặn mail thật, thu tiền, webhook production. Thử framework, plugin, mã riêng cùng nhau. Lưu nghiệm thu nghiệp vụ/log; chủ không kỹ thuật có thể yêu cầu hosting bàn giao.
06
Lập rollback tính đến ghi dữ liệu
Giữ file và DB đồng bộ. Hạ PHP không hoàn tác schema. Thống nhất dừng ghi hoặc đồng bộ đã thử, tiêu chí thất bại, người làm, thời hạn. Tính đơn mới sau snapshot và diễn tập phục hồi/đối soát.
07
Kiểm tra dịch vụ thật sau chuyển
Rà PHP Web, mọi FPM, queue, lịch, container, replica; thay worker cũ. Xác minh hai CVE qua bản/boletin nhà cung cấp. Thử link sâu, login, upload, nghiệp vụ. Giữ log và thời gian rollback; CLI/trang chủ chưa đủ.
Xác minh bản vá PHP2Shell ↗Kiểm thử chức năng sau khi vá PHP2Shell
Đăng nhập, session, vai trò
Thử đăng nhập, thoát, đặt lại mật khẩu, session, quản trị và vai trò bằng tài khoản thử.
Link sâu, trạng thái HTTP
Mở link sâu, gửi form, yêu cầu trang không có; so tham số, chuyển hướng, HTTP.
Đọc/ghi DB và transaction
Đọc/ghi DB thử; kiểm tra driver, SQL nghiêm ngặt, transaction, giá trị đọc lại.
Template riêng và escape
Render bài, danh sách, tài khoản, lỗi; kiểm tra tag riêng, escape, cache, cảnh báo.
Upload và thumbnail
Tải ảnh vô hại, xem thumbnail rồi xóa; kiểm tra quyền, đường dẫn, URL và chặn tệp thực thi.
Job mới và cũ
Dùng worker mới xử lý job mới/cũ; kiểm tra serialization, retry, tránh lặp nghiệp vụ.
Lịch và đường dẫn PHP
Xác định PHP, INI, tài khoản thật của lịch tác vụ; thử tác vụ vô hại và so sau triển khai.
Cache lạnh/ấm, OPcache
Dựng cache theo tài liệu; thử lạnh/ấm, dọn giá trị tuần tự và tiến trình OPcache cũ.
Gửi mail thử
Gửi mail đến bộ thu thử; kiểm tra template, queue, transport mà không liên hệ khách thật.
Đơn, thuế, tồn kho
Thử đơn sandbox gồm vận chuyển, thuế, giảm giá, hoàn tiền; so tổng, tồn kho, lịch sử.
Thanh toán sandbox, thông báo
Thử thanh toán thành công/thất bại, thông báo; kiểm tra chữ ký, idempotency tránh thu tiền lặp.
Chỉ mục tìm kiếm, lọc
Dựng chỉ mục thử; so tìm kiếm, lọc, quyền riêng với PHP.
Site, domain, ngôn ngữ
Kiểm tra từng site, domain, ngôn ngữ bằng vai trò đúng; so cookie, URL, cấu hình.
GBK/UTF-8, dữ liệu qua lại
Cho ký tự đặc biệt qua form, DB, export; giữ GBK/UTF-8 đến khi thử chuyển đổi riêng.
Hợp đồng API, callback
Thử API có/không xác thực; so kiểu JSON, lỗi, trạng thái, callback.
Extension Web/CLI, ABI
Kiểm tra extension Web/CLI đúng ABI/NTS/ZTS; thử driver và dịch vụ.
Xác minh bản vá PHP2Shell
Tương thích ứng dụng, bảo trì và bảo mật PHP là ba kiểm tra riêng. Chọn nhánh PHP còn hỗ trợ và có cả hai bản vá CVE, rồi kiểm tra tiến trình Web, tác vụ và bản sao. Cập nhật plugin không thay PHP.
| Nhánh PHP | Phiên bản gốc thấp hơn | Bản vá đầu tiên | Kết thúc hỗ trợ bảo mật |
|---|---|---|---|
| PHP 8.5 | < 8.5.12 | ✓ 8.5.12 | 31 thg 12, 2029 |
| PHP 8.4 | < 8.4.27 | ✓ 8.4.27 | 31 thg 12, 2028 |
| PHP 8.3 | < 8.3.36 | ✓ 8.3.36 | 31 thg 12, 2027 |
| PHP 8.2 | < 8.2.35 | ✓ 8.2.35 | 31 thg 12, 2026 |
Các nhánh này không có bản phát hành PHP thường lệ. Có backport nguồn tối thiểu cho 7.4, 8.0 và 8.1; cần xác minh hỗ trợ nhà cung cấp riêng. Đọc hướng dẫn ↗