Накратко: Към доказаните факти за PHP2Shell спадат двата номера CVE, оценката CVSS v4.0 9,2, поправените PHP версии и временните мерки от php.net. Доказано е и ниво на предупреждение „оранжево“ на BSI (Федерална служба за информационна сигурност на Германия). Не са доказани оценка CVSS 10, потвърдени успешни атаки в голям мащаб и списък с признаци за разпознаване. Който разграничава тези три нива, взема по-добри решения.
Защо е нужна проверка на фактите за PHP2Shell
Малко уязвимости през последните години са предизвиквали толкова бързо толкова много заглавия. Още преди PHP екипът да публикува актуализациите на 21 октомври 2026 г., според съобщенията са циркулирали форумни публикации, екранни снимки и твърдения за подробности. След това последваха предупреждения от институции, блогове на производители, преброявания на изложени сървъри и порой от съвети.
За операторите това означава: не всяко число и не всеки съвет са с еднакво качество. Една част идва от първични източници, една част от сериозно отразяване в медиите, една част от догадки. Тази статия подрежда какво можете да ползвате като сигурно при решенията си. Основите на самата уязвимост обяснява страницата Какво е PHP2Shell?.
Какво тегло има всеки източник
Проста подредба помага при четенето на всяко съобщение:
- php.net: PHP проектът е първичният източник за номерата CVE, оценките, засегнатите режими на работа, поправените версии и временните мерки. Как проектът обработва принципно съобщенията за сигурност, описва нашата статия за процеса на сигурност на PHP.
- Институции: BSI дава оценката на ситуацията в Германия и препоръки за действие, CERT-EU (екипът за реагиране при инциденти на институциите на ЕС) и CERT-Bund (германският правителствен CERT) допълват.
- Дистрибуции и доставчици: Debian, Ubuntu, Red Hat, хостинг доставчиците и платформените услуги казват обвързващо нещо само за собствените си пакети и услуги.
- Фирми за сигурност: Cloudflare, Unit 42, CybelAngel и други докладват от собствени измервания. Ценно, но всеки път със собствена методика.
- Медии и социални мрежи: Добри откъм бързина, слаби откъм подробности. Твърденията оттам се нуждаят от потвърждение от по-горните нива.
Доказано, съобщено, недоказано: преглед
Таблицата по-долу подрежда най-честите твърдения. „Доказано“ означава: първичен източник или институция. „Съобщено“ означава: от медии или данни на производители, не е независимо потвърдено.
| Твърдение | Оценка | Основание |
|---|---|---|
| Две уязвимости, CVE-2026-109618 и CVE-2026-109619 | доказано | php.net |
| Оценка CVSS v4.0 9,2, критична | доказано | php.net |
| Оценка CVSS 10 | не издържа проверка | според съобщенията от форумна публикация преди съобщението |
| Поправено в 8.5.12, 8.4.27, 8.3.36, 8.2.35 | доказано | php.net |
| mod_php с най-висок риск, експлойтът е показан преди кода на приложението | доказано | php.net |
| Засегнати са почти всички версии до PHP 5.4 | съобщено | специализирана преса |
| Първи опит за атака на 17.10. | съобщено | медийни съобщения с позоваване на Amazon |
| Над 22,6 млн. изложени инстанции | съобщено | Unit 42, според TechTarget |
| Успешни атаки в голям мащаб | недоказано | според BSI първоначално не са известни |
| Потвърдени индикатори за компрометиране (IoC) | няма такива | няма публикация |
| Временните мерки защитават напълно | невярно | php.net изрично ги нарича непълни |
Забележително е колко рано числата се отделят от източника си. Оценката 10.0 от форумната публикация се появяваше в статии още дни по-късно, въпреки че PHP екипът отдавна беше публикувал 9,2.
Къде наистина е несигурността
Най-големият отворен въпрос не е технически, а времеви: какво е станало между първия съобщен опит за атака и пача на отделните сървъри? За това няма общ отговор. Cloudflare и Patchstack докладваха за опити за атака, watchTowr според собствените си данни е възпроизвел CVE-2026-109618. Huntress пък по времето на своето съобщение не е виждала атаки в средите на партньорите си.
Тези твърдения не си противоречат. Те описват различни фрагменти: голяма прокси услуга, фирма за сигурност на добавки, изследователски екип и фирма със собствена клиентска база. От тях не се получава цялостна картина.
Подобно е и с въпроса кои версии са засегнати. За 8.2 до 8.5 ситуацията е ясна. За по-старите клонове има минимални backport-ове на изходния код за 7.4, 8.0 и 8.1, но няма официални издания. Каквото е преди това, според специализираната преса е почти изцяло засегнато. За Вашето планиране това почти не променя нещо: сървър с PHP 8.1 или по-стар без потвърден backport трябва да се третира като изложен на риск.
Липсата на доказателства за атаки не е доказателство за сигурност. Тъй като няма потвърдени признаци за разпознаване, атака срещу отделен сървър може да се прецени само чрез проверка на поведението, не чрез списък.
Какво да изведете от това за Вашите сървъри
От доказаните факти следват малко и ясни стъпки. От недоказаните следва най-вече предпазливост.
- Проверете състоянието на пача: поправена версия или backport, потвърден от доставчика. Показаният номер на версията сам по себе си не стига.
- Рестартирайте всички PHP процеси: Новите файлове действат едва когато вече не работят стари процеси.
- Запазете логовете от 20.10.: Специализираната преса съветва това, за да остане възможна по-късна проверка.
- Проверете за следи: Нови PHP файлове в папките за качване, непознати cron задачи, процеси на уеб сървъра с shell. Страницата Вече компрометирани ли сме? води през проверката.
- Проверявайте съветите: Прилагайте съвети от форуми и социални мрежи само ако могат да бъдат проследени до php.net или до институция. Кои препоръки в момента вредят, събира статията Опасни погрешни съвети за PHP2Shell.
Същото разграничаване помага и при вътрешната комуникация. Който представя на управителите „доказано“, „съобщено“ и „отворено“ поотделно, избягва както паника, така и фалшиво успокоение.
Как помага PHP SOS конкретно?
- Ситуацията за Вашите системи: Пренасяме доказаните факти върху Вашите сървъри и в документацията разграничаваме какво е измерено, какво е съобщено и какво е отворено.
- Пач и доказателство: Проверяваме състоянието на пакета и рестарта на всяка PHP услуга и го фиксираме писмено.
- Проверка за следи: Запазваме логове от 20 октомври и търсим необичайно поведение, докато инцидентът не бъде приключен и документиран.
- Текуща оценка: Новите съобщения оценяваме за Вас, преди от тях да произлязат мерки.
Процесът описва Спешната помощ при PHP2Shell.
Заключение
PHP2Shell е сериозна, и това е добре доказано. Именно затова си струва трезвият поглед: първичните източници стигат за всички важни решения. Каквото циркулира отвъд тях, често е по-бързо, отколкото точно. Пач, рестарт, запазване на логове и проверка за следи остава отговорът, независимо кое число обикаля в момента.
Често задавани въпроси
PHP2Shell оценена ли е с CVSS 10?
Не. Числото 10 според съобщенията идва от форумна публикация, която е циркулирала преди официалното съобщение. PHP екипът оценява и двете уязвимости с CVSS v4.0 9,2. Това все пак е категорията „критична“.
Има ли списък с признаци за разпознаване на атаки с PHP2Shell?
Засега няма. Няма публикувани, потвърдени индикатори за компрометиране (IoC). Който иска да провери дали един сървър е бил засегнат, трябва да следи за необичайно поведение, например процеси на уеб сървъра, които стартират shell, или нови PHP файлове в папките за качване.
Кой източник е най-надежден при PHP2Shell?
За техническите факти - съобщенията на php.net, за оценката на ситуацията в Германия - BSI. Медийните съобщения и блоговете на производителите допълват картината, но трябва да се маркират като съобщения и да се четат в сравнение с първичния източник.
Наистина ли всички PHP версии от PHP 5 нагоре са засегнати?
Доказана е ситуацията за клоновете от 8.2 до 8.5, за които има актуализации. Според специализираната преса са засегнати почти всички версии до PHP 5.4; според съобщенията CERT-EU е считал за възможни версии от PHP 5 нагоре. За по-старите версии няма официални актуализации, затова във всеки случай ги третирайте като изложени на риск.