Накратко: BSI (Федерална служба за информационна сигурност на Германия) обяви за PHP2Shell ниво на предупреждение 3 (оранжево). Препоръката е недвусмислена: PHP да се актуализира незабавно, а ако това не е възможно веднага, засегнатите уеб сървъри да се изключат временно от мрежата. BSI е очаквало бърза широкомащабна експлоатация; потвърдени успешни атаки в широк мащаб отначало не са били известни.
Предупреждението на BSI за PHP накратко
Bundesamt für Sicherheit in der Informationstechnik е централният специализиран орган за киберсигурност в Германия. За PHP2Shell то публикува предупреждение от ниво 3 (оранжево). Поводът са две критични уязвимости в самия PHP: CVE-2026-109618 и CVE-2026-109619, и двете оценени с CVSS v4.0 9,2. Те позволяват на нападатели да изпълняват зловреден код на сървъра без вход в системата.
Основните твърдения на предупреждението могат да се обобщят така:
| Твърдение | Значение за операторите |
|---|---|
| Ниво на предупреждение 3 / оранжево | сериозна ситуация, нужно е действие |
| Препоръчана незабавна актуализация | внасяне на коригираните версии на PHP |
| Иначе временно изключване от мрежата | достъпността се подчинява на защитата |
| Очаква се бърза широкомащабна експлоатация | не чакайте първите съобщения за щети |
| Успешни атаки в широк мащаб отначало не са потвърдени | не е повод за успокоение |
Актуалната версия във всеки момент ще намерите на уебсайта на BSI.
Какво означава „актуализирайте незабавно“ на практика
Проектът PHP публикува на 21.10.2026 г. в 14:00 UTC (16:00 ч. германско време) коригираните версии: PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. За PHP 8.1 и по-стари вече няма официални актуализации, а само минимални бекпортове на изходния код за 7.4, 8.0 и 8.1.
Актуализацията е в сила едва когато всички PHP процеси са рестартирани. Новите файлове сами не са достатъчни, докато стари работни процеси остават в паметта. Освен това важи: дистрибуциите и доставчиците на хостинг понякога внасят корекциите като бекпорт. Тогава например Plesk продължава да показва 8.2.34, въпреки че е пачнато. Решаващи са състоянието на пакета и потвърждението на доставчика. А актуализация на CMS, например на WordPress, не затваря уязвимостта в PHP.
Ако актуализацията не е възможна веднага
За този случай BSI препоръчва уеб сървърите да се изключат временно от мрежата. Това е твърда мярка, но ясна. За много фирми планирано прекъсване от няколко часа е по-малко вредно от проникване с изтичане на данни.
php.net посочва допълнително временни мерки, които намаляват риска, но изрично не осигуряват пълна защита. Към тях спадат session.upload_progress.enabled=0 в конфигурацията на сървъра, ограничени стойности на post_max_size, ограничения на паметта чрез контейнери или cgroups и при PHP 8.5 fatal_error_backtraces=0, всяка със следващ рестарт на всички работни процеси. Подробности има в Незабавни мерки без пач.
Ако публично достъпен уеб сървър още работи с непачнат PHP и без временни мерки, от препоръката на BSI следва: изключете сървъра от мрежата, докато актуализацията не е внесена и всички процеси не са рестартирани.
Оценка на ситуацията
BSI не е самотно с оценката си. Cloudflare съобщи за наблюдавани опити за атаки и въведе защитни правила, но предупреждава, че правила само по данните на заявката не са достатъчни. Palo Alto Networks (Unit 42) преброи над 22,6 милиона изложени, потенциално уязвими инстанции. Според медийни съобщения първи опит за атака е наблюдаван още на 17.10.2026 г., т.е. преди публикуването на пачовете.
За операторите от това следва трезва оценка: който до днес не е пачнал, не бива само да пачне, но и да провери дали вече не се е случило нещо. Пачът не премахва внесен зловреден софтуер. Публикувани и потвърдени индикатори за компрометиране (Indicators of Compromise) няма; откриването се основава на анализ на поведението. Специализираната преса съветва логовете на сървъра да се пазят от 20.10.2026 г. нататък. Указания за търсенето има в Вече компрометиран ли съм?.
Какво означава препоръката за отговорните лица
Предупреждението на BSI не е закон. То е обаче оценка на компетентния специализиран орган и може да играе роля при по-късната оценка на решения, например от застрахователи или проверяващи. Затова ръководствата трябва да документират кога са узнали за предупреждението, как са оценили собствените си системи и какви мерки са предприели. Общи указания по темата има в Отговорност на ръководството; това не е правен съвет.
На практика се препоръчва предупреждението да не се чете само веднъж. BSI актуализира съобщенията си, когато ситуацията се променя, например при нови констатации за експлоатацията или за други уязвимости. От 23.10.2026 г. има освен това указание на php.net за CVE-2026-115560, което засяга само необичайни конфигурации и също се смекчава с session.upload_progress.enabled=0. Определете лице, което ежедневно проверява BSI и php.net до приключване на ситуацията и предава промените на техниката и на ръководството. Така не възниква разлика в знанията между тези, които решават, и тези, които изпълняват.
Как помага PHP SOS конкретно?
- Сверяваме Вашите уеб сървъри с препоръката на BSI: версия, състояние на пакетите, рестарт, достъпност.
- В рамките на спешната помощ при PHP2Shell пачваме, рестартираме всички процеси и предоставяме доказателство.
- Където актуализацията не е възможна веднага, задаваме временни мерки и при нужда осигуряваме статична резервна страница.
- Запазваме логове и проверяваме за следи, за да можете да оцените надеждно ситуацията след пача.
Често задавани въпроси
Какво означава ниво на предупреждение 3 (оранжево) при BSI?
Цветът описава повишена, сериозна заплаха, изискваща действие. При PHP2Shell BSI го обосновава с критичността на уязвимостите и очакваната бърза експлоатация. Точната дефиниция на нивата ще намерите на уебсайта на BSI.
Трябва ли да следвам препоръката на BSI?
Предупреждението на BSI е препоръка, не закон. То е обаче тежка оценка на компетентния специализиран орган, по която могат да се ориентират застрахователи, проверяващи и съдилища. Който се отклонява, трябва да документира причините. Това не е правен съвет.
Имало ли е според BSI вече успешни атаки?
Потвърдени успешни атаки в широк мащаб според BSI отначало не са били известни. BSI обаче е очаквало бърза широкомащабна експлоатация. Други звена вече са съобщавали за опити за атаки.
Къде ще намеря актуалната версия на предупреждението?
На уебсайта на BSI сред актуалните предупреждения за сигурност. Ситуацията може да се промени; проверявайте редовно там и на php.net най-новото състояние.