Накратко: PHP уязвимостта PHP2Shell се състои от две критични грешки в PHP, основата на повечето уебсайтове и онлайн магазини. Чрез тях нападателите могат без парола да изпълняват зловреден код на уеб сървъри. BSI (Федералната служба за информационна сигурност на Германия) предупреждава с ниво оранжево и съветва: актуализирайте незабавно, иначе изключете временно засегнатите сървъри от мрежата. За управителя това днес означава: изяснете отговорността, поискайте актуализация и доказателство, решете за изключване и документирайте всичко.
Ситуацията в три изречения
На 21 октомври 2026 г. PHP проектът публикува актуализации за две критични уязвимости, известни под името PHP2Shell. Засегнат е самият PHP, не отделен продукт, тоест потенциално всеки уебсайт, всеки магазин и всеки портал, който работи с PHP. BSI обяви ниво на предупреждение 3 / оранжево, фирми за сигурност съобщават за опити за атака, а потвърдени успешни атаки в голям мащаб според BSI първоначално не са били известни.
Институции като BKA (Федералната криминална полиция на Германия) и няколко града според медийни съобщения изключиха предпазно уебсайтовете си. Това беше предпазливост, а не признак на атака.
Какво означава PHP уязвимостта за управителя и за фирмата
Въпросът не е дали използвате PHP. Почти всяка фирма го прави някъде: уебсайт, магазин, портал за кандидати, клиентска зона, интранет, тикет система, микросайт на агенция. Въпросът е дали тези системи са актуални и кой отговаря за тях.
Ако атаката успее, нападателят в най-лошия случай може да превземе сървъра. Възможни последици са изтичане на данни, манипулирано съдържание, пренасочвания към измамни страници, срив на магазина или злоупотреба със сървъра за по-нататъшни атаки. Ако могат да бъдат засегнати лични данни, се добавят задължения за уведомяване; срокът по чл. 33 от ОРЗД по правило е 72 часа. Подробности за това има в Задължение за уведомяване по ОРЗД. Това не е правна консултация.
Какви разходи типично възникват в критичен случай, подрежда статията Разходи при хакване.
Къде фирмите често пренебрегват PHP
Основния уебсайт повечето имат на поглед. По-скоро се пренебрегват системите по краищата: порталът за кандидати на външен доставчик, целевата страница от предишна кампания, партньорска зона за търговци, тикет системата на поддръжката, файлов облак на собствен сървър или уеб интерфейсът на мрежово хранилище. Също и тестовите системи на агенции често са публично достъпни и работят на същия сървър като истинския уебсайт.
За управителя поуката е проста: въпросът към ИТ не е „Нашият уебсайт пачнат ли е?“, а „Всички наши системи с PHP пачнати ли са, също и тези на доставчиците на услуги?“. Разликата между двата въпроса често е точно мястото, където атаката успява.
Какво ситуацията не е
Също толкова важна е оценката надолу. PHP2Shell не е причина за прекален активизъм, който пречи на работата повече от необходимото. Който е пачнал доказано, рестартирал е всички PHP процеси и при проверката не намира нищо необичайно, може да се върне към нормалната дейност. Временното изключване е възможност за неизяснени случаи, а не задължение за всички.
Пет въпроса към Вашата ИТ или към Вашия доставчик на услуги
Тези въпроси можете да зададете днес. Отговорите трябва да дойдат писмено.
- Кои от нашите системи работят с PHP? Списък с адрес, предназначение и оператор.
- Всяка система пачната ли е? Поправена версия 8.5.12, 8.4.27, 8.3.36 или 8.2.35, или backport, потвърден от доставчика.
- Рестартирани ли са всички PHP процеси? Без рестарт актуализацията не действа.
- Какво е положението със системите на PHP 8.1 или по-стар? За тях няма официални актуализации. Какъв е планът?
- Проверено ли е дали е станало нещо преди актуализацията? Запазени ли са логове от 20 октомври, търсени ли са следи?
Ако Вашият уебсайт е при хостинг доставчик, помага официално запитване. Образец предлага ръководството Поискайте потвърждение за PHP актуализация от хостинг доставчика.
Решенията, които трябва да паднат днес
| Решение | Възможности | Основа |
|---|---|---|
| Кой води? | един отговорен човек вътрешно, външен партньор | отговорността трябва да е еднозначна |
| Непачнати системи | пач незабавно, временни мерки, временно изключване | препоръка на BSI, данни, значение за оборота |
| Проверка за следи | вътрешна, външна, само при отклонения | нужда от защита на данните на сървъра |
| Комуникация | вътрешно информиране, подготовка на клиентите, изчакване | положение след проверката |
| Стари системи | планиране на миграция, изолиране, изключване | PHP 8.1 и по-стари без официални актуализации |
Запишете кой кога какво е решил и на каква информационна основа. Достатъчна е кратка бележка с дата. По-късно пред застрахователи, клиенти или надзорни органи тя често струва повече от всяко последващо обяснение.
Защо тази документация е важна за ръководството, обяснява страницата Отговорност на управителя при пропуски в ИТ сигурността. Това е обща информация, а не правна консултация.
На какво не бива да вярвате
Три твърдения управителите чуват в момента често и трите са неверни:
- „Актуализирахме WordPress, значи сме сигурни.“ Уязвимостта е в PHP, не в CMS. Актуализация на CMS не я затваря.
- „Твърде малки сме, никой не ни напада.“ Атаките протичат автоматизирано. Търсят се уязвими сървъри, не познати имена.
- „Актуализацията е инсталирана, темата е приключена.“ Пачът не премахва зловреден софтуер, внесен преди това, и не доказва, че нищо не е станало.
Как помага PHP SOS конкретно?
- Картина на положението за ръководството: Изготвяме кратък преглед на Вашите PHP системи със статус и препоръка за всяка система.
- Изпълнение: Пачваме, рестартираме или задаваме временни мерки, където актуализация още не е възможна.
- Проверка: Запазваме логове и проверяваме за следи от атака.
- Доказателство: Получавате документация, която можете да ползвате вътрешно и пред трети лица.
Процесът описва Спешната помощ при PHP2Shell.
Заключение
PHP2Shell е техническа уязвимост със задача за управление. Техниката вършат специалисти. Управителят се грижи някой да е отговорен, петте въпроса да получат отговор, а решенията да се вземат съзнателно и да се документират. Това се побира в една сутрин, ако започне днес.
Често задавани въпроси
Трябва ли управителят сам да се занимава с PHP2Shell?
С техническото изпълнение - не, с ръководството - да. Управителят трябва да осигури, че отговорностите са ясни, че препоръката на BSI се изпълнява и че решения като временно изключване се вземат съзнателно и се документират.
Как да обясня уязвимостта с едно изречение?
В PHP, софтуера, върху който работят повечето уебсайтове и магазини, има две критични грешки, чрез които непознати могат без парола да стартират програми на сървъра; налична е актуализация, която трябва да бъде инсталирана.
Колко струва да не направим нищо?
Това не може да се посочи с обща сума. Възможни последици от успешна атака са престои, изтичане на данни, задължения за уведомяване, разходи за почистване и криминалистика, както и загуба на доверие у клиентите. Актуализация с проверка по правило е значително по-малко трудоемка.
Достатъчно ли е хостинг доставчикът да се погрижи?
При споделен хостинг актуализацията по правило се инсталира от хостинг доставчика. Поискайте писмено потвърждение, включително за рестарта на PHP процесите. Дали е станало нещо преди актуализацията, потвърждението не казва; за това е нужна проверка на уебсайта.