# BSI ниво на предупреждение оранжево: какво означава оценката

> BSI предупреждение оранжево, обяснено: какво значат четирите нива, защо PHP2Shell се счита за критична за бизнеса и какви решения да вземат фирмите сега.

Източник: https://phpsos.de/bg/blog/bsi-warnstufe-orange-erklaert/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Нивото на предупреждение оранжево на BSI (Федералната служба за информационна сигурност на Германия) е второто по височина от четири нива. То означава: ситуацията със заплаха за ИТ е критична за бизнеса, нормалната дейност може да бъде масивно затруднена. За PHP2Shell BSI даде това ниво 3 и препоръчва незабавна актуализация или, ако това не е възможно, временно изключване на засегнатите уеб сървъри от мрежата. За фирмите оранжево означава: темата днес е за масата на ръководството.

## Какво означава оценката за вземащите решения

Много управители са чули в новините за „ниво на предупреждение оранжево“, без да знаят как да го осмислят. Тревога за всички ли е това, или тема за ИТ отдела? Краткият отговор: оранжевото е нивото, при което BSI приема, че засегнатите без бързо действие рискуват сериозни смущения в дейността си.

Според hessenschau BSI е говорила за изключителен потенциал на заплахата при PHP2Shell. Очаквало е бърза експлоатация в голям мащаб. Потвърдени успешни атаки в голям мащаб към момента на предупреждението според BSI не са били известни. И двете неща вървят заедно: високото ниво описва риска, а не вече настъпила щета.

## BSI ниво на предупреждение оранжево и другите три нива

BSI подрежда предупрежденията си за киберсигурност по скала от 1 до 4. Следващата таблица предава значението по смисъл:

| Ниво | Цвят | Значение (по смисъл) |
|---|---|---|
| 1 | Сиво | ситуация със заплаха за ИТ без съществени отклонения |
| 2 | Жълто | засилено наблюдение на отклоненията, нормалната дейност временно затруднена |
| 3 | Оранжево | критична за бизнеса ситуация, масивно затруднение на нормалната дейност |
| 4 | Червено | изключително критична ситуация, нормалната дейност в много области не може да се поддържа |

Нивото казва нещо за ситуацията като цяло, не за Вашия отделен сървър. Напълно пачнат и проверен уеб сървър е в добра позиция и при оранжево. Непачнат сървър с PHP 8.1 и mod_php е изложен на риск и при по-ниско ниво.

### Как да ползвате скалата вътрешно

Много фирми имат собствени аварийни нива, например в наръчника за извънредни ситуации или в рамките на система за управление на информационната сигурност. Струва си нивата на BSI да бъдат закрепени там. Едно просто правило може да гласи: при жълто ИТ проверява в рамките на нормалната работа. При оранжево управителят се информира в същия ден, назначава се отговорник и състоянието на всички засегнати системи се събира писмено. При червено се събира кризисният щаб.

Така от едно съобщение се получава упражнена реакция. Който е определил съответствието предварително, не трябва в критичния момент да спори дали ситуацията е „достатъчно сериозна“. При PHP2Shell това правило би означавало: още на 21 октомври инвентаризация, план за пач и решение за изключвания.

Самите предупреждения BSI публикува на уебсайта си, където при нови сведения се и актуализират. Струва си да четете всякога актуалната версия, защото препоръките и оценките могат да се променят в хода на една ситуация.

## Защо PHP2Shell е оранжево, а не червено

За сравнение често се ползва Log4Shell. За уязвимостта в Java библиотеката Log4j BSI обяви през декември 2021 г. ниво червено, според тогавашните съобщения между другото защото уязвимостта се е експлоатирала тривиално и вече са били известни компрометирания. През януари 2022 г. предупреждението според Бундестага беше понижено до жълто.

Точното обосновка за оранжево при PHP2Shell знае само BSI. Видими разлики са ситуацията с потвърдените атаки и фактът, че за всички поддържани PHP клонове има готова актуализация. Подробно сравнение предлага статията [PHP2Shell и Log4Shell](https://phpsos.de/bg/blog/php2shell-und-log4shell/). Оранжевото при това не е успокоение. Препоръката при нужда сървърите да бъдат изключени от мрежата е за една институция ясно послание.

> **Важно:**
> Нивото на предупреждение може да се промени, в двете посоки. Меродавно е актуалното състояние на уебсайта на BSI, не вестникарска статия от предния ден.

## Какво оранжевото не означава

Три недоразумения срещаме в момента често:

- **„Оранжево значи, че сме хакнати.“** Не. Нивото описва заплахата, не находка във Вашите системи.
- **„Оранжевото важи само за институции.“** Не. Предупрежденията са адресирани до всички оператори на засегнати системи, също и до малки фирми.
- **„Ако имаме Cloudflare или WAF, оранжевото не ни засяга.“** Не. Правилата за защита намаляват риска, но не заместват актуализацията на PHP.

Дали от предупреждението произтичат правни задължения, например в рамките на [NIS2](https://phpsos.de/bg/compliance/nis2/), зависи от Вашия отрасъл и размер. Това не е правна консултация; изяснете подробностите с Вашата правна консултация или с отговорника по защита на данните.

## Как да превърнете оценката в решения

Едно ниво на предупреждение струва толкова, колкото решенията, които следват от него. За PHP2Shell препоръчваме на фирмите този ред:

1. **Изяснете засегнатостта:** Кои сървъри и уебсайтове работят с PHP, кой ги поддържа?
2. **Докажете състоянието на пача:** поправена версия 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или backport, потвърден от доставчика.
3. **Осигурете рестарт:** Всички PHP процеси трябва да са рестартирани.
4. **Ако това не е възможно веднага:** Задайте временни мерки или изключете сървъра временно от мрежата, както препоръчва BSI. Възможностите описва [Незабавни мерки без пач](https://phpsos.de/bg/php2shell/sofortmassnahmen-ohne-patch/).
5. **Проверете следите и запазете логовете:** от 20 октомври.
6. **Документирайте решенията:** кой какво кога е решил и на каква основа.

Именно последната точка се подценява. Който е действал проследимо при официално предупреждение от ниво оранжево, стои по-добре пред застрахователи, клиенти и надзорни органи. Основни сведения дава страницата за [отговорността на управителя](https://phpsos.de/bg/compliance/geschaeftsfuehrer-haftung/).

## Как помага PHP SOS конкретно?

- **Ситуацията за Вашата фирма:** Превеждаме оценката на BSI в списък на засегнатите Ви системи с приоритет.
- **Изпълнение на препоръката:** Пачваме, рестартираме или задаваме временни мерки, докато актуализацията стане възможна.
- **Доказателство:** Получавате документация какво кога е станало на кой сървър.
- **Наблюдение:** Ако BSI промени оценката или излязат нови съобщения, ги оценяваме за Вашите системи.

Повече на [Спешна помощ при PHP2Shell](https://phpsos.de/bg/leistungen/php2shell-soforthilfe/).

## Заключение

Нивото на предупреждение оранжево е второто по височина ниво на BSI и за PHP2Shell е добре обосновано. То не изисква паника, но изисква решение в същия ден: пач, рестарт, проверка или временно изключване. Който документира това, е прочел предупреждението правилно.


## Често задавани въпроси

**Колко нива на предупреждение има BSI?**  
Предупрежденията за киберсигурност на BSI ползват четири нива: 1 / сиво, 2 / жълто, 3 / оранжево и 4 / червено. Оранжевото е второто по височина ниво и описава критична за бизнеса ситуация със заплаха за ИТ, с масивно затруднение на нормалната дейност.

**Задължение за действие ли е ниво на предупреждение оранжево?**  
Самото предупреждение е експертна оценка с препоръки за действие. Какви задължения произтичат от него за Вашата фирма, например от NIS2, от договори или от условия на застраховка, зависи от конкретния случай. Изяснете това с Вашата правна консултация; това не е правна консултация.

**Защо PHP2Shell не е на ниво червено?**  
Основанията за оценка определя самата BSI. Забелязва се разлика спрямо Log4Shell, която през 2021 г. получи червено: там според тогавашните съобщения вече са били известни компрометирания. При PHP2Shell потвърдени успешни атаки в голям мащаб според BSI първоначално не са били известни.

**Може ли нивото на предупреждение да се промени?**  
Да. BSI приспособява оценките към ситуацията, нагоре и надолу. Log4Shell например според Бундестага през януари 2022 г. беше понижена от червено на жълто. Проверете актуалното състояние директно при BSI.

## Източници

- [BSI: Федерална служба за информационна сигурност](https://www.bsi.bund.de/)
- [hessenschau: Zahlreiche Behörden-Webseiten in Hessen abgeschaltet](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [php.net: Съобщения за сигурност](https://www.php.net/)