Накратко: Една седмица след първия наблюдаван опит за атака PHP2Shell днес е преди всичко въпрос на изпълнение: пачовете за PHP 8.2 до 8.5 са налични от 21 октомври, големите дистрибуции са последвали, BSI (Федералната служба за информационна сигурност на Германия) предупреждава с ниво оранжево. Наблюдавани са опити за атака, потвърдени успешни атаки в голям мащаб BSI първоначално не съобщи. Отворени остават старите версии, нерестартираните сървъри и въпросът какво е станало преди пача.
Положението в три изречения
PHP2Shell са две критични уязвимости в самия PHP интерпретатор, CVE-2026-109618 и CVE-2026-109619, оценени с CVSS v4.0 9,2 всяка. Те позволяват отдалечено изпълнение на код без вход, тоест случая, от който специалистите по сигурност най-много се страхуват. Засегнати са PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed; най-висок риск PHP екипът вижда при mod_php.
Този преглед подрежда състоянието към 25 октомври 2026 г. по участници. Хода ден по ден ще намерите в хронологията на PHP2Shell, тук става дума за цялостната картина.
Какво е доказано след една седмица
Сигурни са данните на PHP проекта: изданията 8.5.12, 8.4.27, 8.3.36 и 8.2.35 от 21 октомври затварят двете уязвимости. За PHP 7.4, 8.0 и 8.1 има само минимални backport-ове на изходния код, няма официални издания. php.net подчертава, че няма пълни временни мерки и че актуализацията е единственият сигурен път.
На 23 октомври се добави указание за CVE-2026-115560. То засяга само необичайна конфигурация на сесиите; като мярка php.net посочва session.upload_progress.enabled=0 до следващото редовно издание с поправки.
И големите дистрибуции взеха позиция. Проверихме официалните съобщения:
| Доставчик | Състояние според официалното съобщение |
|---|---|
| Ubuntu | USN-8948-1 за 22.04, 24.04, 26.04 и 26.10; USN-8948-2 за 14.04 до 20.04 чрез Ubuntu Pro |
| Debian | Коригирани пакети за bookworm (php8.2, DLA-4848-1) и trixie (php8.4, DSA-6574-1) |
| Red Hat | Бюлетин RHSB-2026-013 за RHEL 7 до 10; някои актуализации налични, други в работа |
Red Hat оценява CVE-2026-109618 със собствена оценка като „Important“ и го обосновава с по-висока сложност на атаката. Това е друг метод за оценка от този на PHP проекта и не е причина актуализацията да се отлага.
Как институциите оценяват положението
BSI обяви ниво на предупреждение 3 / оранжево. Тя препоръчва незабавна актуализация и, ако това не е възможно веднага, засегнатите уеб сървъри да бъдат временно изключени от мрежата. BSI очакваше бърза експлоатация в голям мащаб. Какво означава оценката, обяснява страницата Какво препоръчва BSI за PHP2Shell.
Според съобщенията CERT-EU (службата за киберсигурност на институциите на ЕС) счита за възможно да са засегнати версиите от PHP 5 нагоре и съветва публично достъпните приложения да се изолират, ако не могат да бъдат пачнати своевременно. CERT-Bund (германският правителствен CERT) и фирмата за сигурност Huntress също предупредиха.
Препоръката при нужда да се изключва беше видимо изпълнена. Според медийни съобщения град Майнц предпазно изключи централния си уебпортал; ведомствата останаха достъпни по телефон и имейл. В Хесен според hessenschau страниците на правителството на провинцията, на BKA (Федералната криминална полиция на Германия) и на градовете Касел и Висбаден бяха временно офлайн. Държавната канцелария не съобщи за атака, страниците отново бяха достъпни вечерта. Други общини, висши училища и клиники според съобщенията действаха сходно.
Какво е известно за атаките
Тук разграничаването между наблюдение и потвърждение е особено важно.
- Наблюдавано: Според медийни съобщения на 17 октомври е имало първи опит за атака, наблюдаван от Amazon. Cloudflare и Patchstack съобщиха за опити за атака; Cloudflare видя и променени модели на атака.
- Възпроизведено: watchTowr според съобщенията е възпроизвела CVE-2026-109618 според собствените си данни.
- Непотвърдено: BSI първоначално не съобщи потвърдени успешни експлоатации в голям мащаб. Huntress към момента на съобщението си не е виждала атаки в средите на партньорите си.
- Неизвестно: Няма публикувани, потвърдени индикатори за компрометиране (IoC). Който иска да провери дали един сървър е засегнат, трябва да следи за модели в поведението.
За мащаба циркулират две числа. Изследователите на Unit 42 при Palo Alto Networks стигат до над 22,6 милиона потенциално уязвими инстанции, достъпни от мрежата. CybelAngel посочва около 2,24 милиона достъпни PHP хоста, от които според собствения анализ 59 процента са на версии без предстояща официална поправка. И двете измерват различни неща и не са пряко сравними. Оценка дава статията Как да осмислим числата.
Какво е отворено
Три въпроса определят следващите седмици:
- Стари версии: Голяма част от достъпните PHP инсталации според посочените анализи работи на клонове без официална поправка. Дали търговските предложения за дългосрочна поддръжка покриват PHP2Shell, трябва всеки път да се потвърди писмено при доставчика.
- Непълни актуализации: Новите пакети действат едва когато всички PHP процеси са рестартирани. Red Hat изрично напомня, че обикновеното презареждане не стига.
- Времето преди пача: Между 17 и 21 октомври сървърите бяха уязвими, докато вече течаха опити за атака. Пачът не доказва, че през това време нищо не е станало.
Съхранете логовете на уеб сървъра и на PHP от 20 октомври, както съветва специализираната преса. Без логове най-важният отворен въпрос за Вашия сървър по-късно не може да бъде отговорен.
Какво да проверят операторите сега
За собствената оценка на положението стигат четири точки за проверка на всеки сървър: PHP на поправено състояние или на потвърден backport ли е? Работят ли всички процеси от актуализацията насам? session.upload_progress.enabled изключен ли е на ниво сървър, докато съобщението (advisory) за CVE-2026-115560 още предстои? Има ли необичайни находки от 17 октомври насам?
За последната точка помага страницата Вече компрометирани ли сме?. Процес на уеб сървъра, който стартира shell, нови PHP файлове в папките за качване, непознати cron задачи или SSH ключове са предупредителни сигнали, които оправдават по-подробно разследване.
Как помага PHP SOS конкретно?
- Оценяваме състоянието на пача на всеки сървър по състоянието на пакета, changelog-а и времената на стартиране на процесите.
- Където няма наличен пач, задаваме временните мерки от php.net и изясняваме пътя към поддържаната версия.
- Запазваме логове от 20 октомври и търсим следи от времето преди пача.
- Със Спешната помощ при PHP2Shell обединяваме тези стъпки за фирми, които бързо се нуждаят от яснота.
Често задавани въпроси
PHP2Shell вече активно ли се експлоатира?
Cloudflare и Patchstack съобщиха за опити за атака. Потвърдени успешни атаки в голям мащаб BSI първоначално не съобщи. Huntress към момента на съобщението си не е виждала атаки в средите на партньорите си.
Свърши ли опасността след пачовете?
Не. Пачовете защитават само сървъри, които са ги инсталирали и са рестартирали всички PHP процеси. Системите на PHP 8.1 и по-стари остават уязвими без потвърден backport, а пачът не премахва зловреден софтуер, внесен преди това.
Защо уебсайтовете на институции бяха офлайн?
Според медийни съобщения между другото град Майнц и няколко ведомства в Хесен изключиха предпазно уебсайтовете си. Това съответства на препоръката на BSI за сървъри, които не могат да бъдат актуализирани веднага. Изключването не означава, че е имало атака.
Има ли признаци за разпознаване на атака с PHP2Shell?
Публикувани, потвърдени индикатори за компрометиране (IoC) досега няма. Разпознаването се основава на анализ на поведението, например на PHP процеси, които стартират shell, или на нови PHP файлове в папките за качване.