Накратко: Ако подозирате, че сървърът Ви е хакнат чрез PHP2Shell, свържете се с нас още сега. Засегнати ли сте? Обадете се. Помагаме Ви. Поемаме от първото съобщение ограничаването на щетите, запазваме следите, затваряме уязвимостта, премахваме зловредния код и документираме инцидента, докато бъде приключен.
Сега не трийте нищо и не инсталирайте наново. Изтритите файлове и презаписаните логове са следите, по които се вижда дали и как някой е проникнал. При нужда изключете сървъра от мрежата, но го оставете непроменен. Съобщете за спешен случай и ние ще Ви кажем следващата стъпка.
Засегнати ли сте? Признаци, че PHP2Shell вече е бил използван
PHP2Shell е името на две критични уязвимости в самия PHP, чрез които атакуващи могат да изпълняват зловреден код от разстояние без вход в системата. Досега няма недвусмислен отпечатък. Затова е важно какво прави сървърът, а не какво намира един скенер. Признаци за проникване са:
- Процеси на уеб сървъра или на PHP-FPM, които стартират шел като
shилиbash. Това е силен сигнал за тревога. - Нови или променени PHP файлове в папки за качване, кеш или временни файлове, които никой не е създавал.
- Cron задачи, услуги или SSH ключове, които не познавате.
- Изходящи връзки към непознати адреси, внезапно високо натоварване или необичаен трафик.
- Заявки в логовете от 17.10.2026 г. нататък, особено подозрителни качвания и заявки към сесии преди инсталирането на пача.
- Съобщения от хостинг доставчика, браузъра или търсачката за спам, зловреден софтуер или пренасочвания.
Повече по темата ще намерите в Компрометиран ли съм вече?. Липсата на всякакви признаци не е доказателство за чист сървър. Тя означава само, че засега нищо не е правило впечатление.
Какво да направите веднага
- Не променяйте нищо. Не изтривайте файлове, не възстановявайте резервно копие и не инсталирайте наново, преди да е направено запазване на данните.
- Запазете логовете. Помолете хостинг доставчика или ИТ отдела да не презаписват протоколите за достъп, грешки и системата. Специализираната преса съветва логовете от 20.10.2026 г. нататък да се пазят.
- Решете за достъпността. Ако данни изтичат или посетители може да са изложени на риск, изключете сайта от мрежата или го прехвърлете в режим на поддръжка.
- Съберете достъпите. Запишете кой има достъп до сървъра, панела, CMS и базата данни. Паролите сменяйте едва след уточняване с нас и от чисто устройство.
- Информирайте хората. Управлението, длъжностното лице по защита на данните, а при действаща полица и застрахователя.
- Обадете ни се или ни пишете. Колкото по-рано научим за положението, толкова повече следи ще могат да бъдат доказани.
Как конкретно помага PHP SOS?
Работим отдалечено, без пътуване, в цяла Германия и Европа.
- Преглед на положението: Изясняваме кои системи работят, кой режим на работа на PHP се използва, какво е направило впечатление и кои данни може да са засегнати.
- Запазване и затваряне: Запазваме файловете, базата данни и логовете и установяваме състоянието преди всяка промяна. След това затваряме уязвимостта с пача или, когато той още не е възможен, с преходни мерки и рестартираме всички PHP процеси.
- Проверка и почистване: Търсим уеб шелове, задни вратички, cron задачи и чужди достъпи и ги премахваме или изграждаме състоянието наново от надеждни източници. Начина на работа описва Премахване на зловреден софтуер и уеб шелове.
- Заздравяване и отчет: Сменяме засегнатите тайни, допълваме защитните мерки и предоставяме отчет, който разграничава доказаното, вероятното и неизвестното.
Ако инцидентът излезе извън рамките на един сървър, преминаваме към структурирано реагиране при инциденти (Incident Response). Ако са нужни доказателства, които издържат пред съд, привличаме ИТ форензика.
Защо пачът сам не стига след атака
Уязвимостите са в интерпретатора на PHP, а не в CMS. Проектът PHP публикува на 21.10.2026 г. версиите 8.5.12, 8.4.27, 8.3.36 и 8.2.35. Който след това е актуализирал и е рестартирал всички worker процеси, е защитен срещу нови атаки по този път. Но каквото атакуващият е оставил преди това, си стои: уеб шел, допълнителен акаунт, планирана задача. Именно затова дните между 17.10. и 21.10. са особено важни.
Към това се добавя втора точка: уеб шелът често е само първата стъпка. Който е могъл да изпълнява код на уеб сървъра, е могъл да чете и конфигурационни файлове и да поеме от тях достъпите до базата данни, до пощата и до API. Тези тайни трябва да се подменят, иначе вратата остава отворена, макар PHP да е с пач. Как да проверите файловете и времената по смисъл, описва ръководството за разпознаване на уеб шелове.
Задължение за уведомяване и документация
Ако са могли да бъдат засегнати лични данни, може да възникне задължение за уведомяване на надзорния орган в рамките на 72 часа. Часовникът тръгва от узнаването, а не от приключването на разследването. Дали Вашият случай подлежи на уведомяване, решават длъжностното лице по защита на данните или адвокат; ние не предоставяме правни консултации. Нашата документация осигурява основата за това. Повече за срока има в Задължение за уведомяване по ОРЗД в рамките на 72 часа, а за стъпките след това – в Контролния списък след хакерска атака.
Какво да ни изпратите
- Описание какво прави впечатление, от кога, и кой го е забелязал
- Вид на сървъра: собствен сървър, управляван сървър (managed) или хостинг пакет, както и хостинг доставчик
- Резултат от
php -vи, ако е известен, режимът на работа (PHP-FPM, mod_php, LiteSpeed) - Момент на актуализацията на PHP, ако вече е инсталирана
- Достъп до сървъра или разрешение да разговаряме с Вашия хостинг доставчик
- Лице за контакт с право на решение за изключване и рестартиране
Защо PHP SOS
Работим Made in Germany и от над 25 години със своята партньорска мрежа от кибер специалисти сме специализирани в ИТ сигурността. Имате един партньор за контакт, който Ви съпровожда от първото съобщение до приключването. Всичко, което правим, се документира, за да можете да го докажете пред управлението, застрахователя и органите. Не обещаваме нищо, което никой не може да изпълни: когато липсват логове, казваме го открито и посочваме какво е доказано и какво остава предположение.
Засегнати ли сте? Обадете се. Помагаме Ви.
Не чакайте подозрението да се превърне във сигурност. Обадете се или пишете по WhatsApp. Поемаме от първото съобщение и оставаме до приключването и документирането на инцидента. Съобщете за спешен случай сега.
Често задавани въпроси
Достатъчно ли е да актуализирам PHP, ако сървърът ми може би вече е хакнат?
Не. Актуализацията затваря уязвимостта, но не премахва вече внедрен зловреден софтуер и не доказва, че преди това нищо не се е случило. След пача сървърът трябва да се провери за следи от проникване.
По какво познавам успешна атака чрез PHP2Shell?
Няма публикувани, потвърдени Indicators of Compromise. Откриването се основава на поведение: процеси на уеб сървъра, които стартират шел, нови PHP файлове в папки за качване или кеш, непознати cron задачи или SSH ключове и подозрителни изходящи връзки.
Трябва ли да изключа сървъра от мрежата, ако подозирам проникване?
Често това е правилното решение, защото BSI съветва уеб сървърът да се изключи временно от мрежата дори когато актуализацията не е възможна веднага. Важно е при това да не се трие нищо и да се запазят логовете и файловете, за да може инцидентът да бъде изяснен.
Трябва ли да уведомя органа по защита на данните след атака чрез PHP2Shell?
Ако е възможно да са засегнати лични данни, може да се наложи уведомяване в рамките на 72 часа. Решението вземате заедно с Вашето длъжностно лице по защита на данните или с адвокат; ние предоставяме техническите факти за това.
Наистина ли вече има сървъри, хакнати чрез PHP2Shell?
Според медийни съобщения от 17.10.2026 г. са наблюдавани първи опити за атака, а Cloudflare също съобщи за наблюдавани опити. BSI първоначално не съобщи за потвърдени успешни атаки в широк мащаб. В конкретния случай това може да се изясни само на самия сървър.