Lühidalt: Kui palju servereid PHP2Shell mõjutab, saab ainult hinnata. Unit 42 loendas TechTargeti andmetel üle 22,6 miljoni avalikult kättesaadava instantsi, CybelAngel nimetab umbes 2,24 miljonit PHP hosti, BleepingComputer teatab VirusTotalile viidates üle 5,1 miljonist. Arvud mõõdavad erinevaid asju ega ole seetõttu vastuolus. Teie ettevõtte jaoks loeb teine arv: kui paljud teie enda PHP süsteemid on kättesaadavad ja kui paljud neist on tõendatult paigatud.
Lähtepunkt: üks arv teeb pealkirju
„22 miljonit serverit ohus“ seisis 21. oktoobril 2026 paljudes pealkirjades. Arv pärineb Palo Alto Networksi uurimisosakonnalt Unit 42 ja sellest teatas muu hulgas TechTarget. Veidi hiljem liikusid ringi teised arvud, osaliselt kümme korda väiksemad.
Lugejas tekib mulje, et keegi ei tea midagi. Tegelikult loendavad pakkujad lihtsalt erinevaid asju erinevate meetoditega. Kes seda mõistab, saab arve kasutada, selle asemel et end nende pärast ebakindlaks lasta teha.
Kui palju servereid PHP2Shell mõjutab? Arvud ülevaates
| Allikas | Arv | Mida loendati |
|---|---|---|
| Unit 42 (Palo Alto Networks), TechTargeti andmetel | üle 22,6 mln | avalikult kättesaadavad, potentsiaalselt haavatavad instantsid; meetodit aruandes ei selgitata |
| VirusTotal, BleepingComputeri andmetel | üle 5,1 mln | internetist kättesaadavad PHP hostid |
| CybelAngel, Shodani andmete põhjal | umbes 2,24 mln | hostid, mis näitavad PHP-d oma tunnustes |
| CybelAngel | 59 % umbes 1,5 mln-st | nähtava versiooniga hostide osakaal harudel, millele ametlikku uuendust ei ole |
| CybelAngel | umbes 740 000 | hostid, mis PHP-d näitavad, kuid peidavad oma versiooni |
Kõik arvud viitavad olukorrale 20. ja 21. oktoobri paiku. Need on hetkepildid ja muutuvad iga paigaldatud uuendusega.
Miks loendused nii kaugele lahku lähevad
Kolm efekti seletavad suurema osa erinevustest.
Instants, host, veebisait. Host on tavaliselt IP-aadress või server. Instants võib olla üksik teenus või üksik veebisait. Jagatud veebimajutuse serveris töötab sageli sadu veebisaite. CybelAngel juhib ise tähelepanu: loendatakse hoste, mitte organisatsioone või veebisaite, kättesaadavate rakenduste tegelik arv on tõenäoliselt suurem.
Peidetud versioonid. Paljud serverid ei avalda oma PHP versiooni, näiteks sellepärast, et expose_php on välja lülitatud. Need puuduvad versioonipõhistest statistikatest. Miks peitmine on mõistlik, kuid kaitset ei asenda, selgitab artikkel Versiooniandmed ja expose_php.
Backportid. Distributsioonid ja veebimajutajad paigaldavad parandusi osaliselt versiooninumbrit muutmata. Server, mis näitab väljapoole vana numbrit, võib seega olla paigatud. Kuvatud versiooni põhjal tehtud loendused ülehindavad seetõttu paigamata süsteemide arvu. Kuidas tegelikku seisu oma süsteemides kontrollida, seisab lehel PHP versiooni ja paigatud seisu kontroll.
Kuidas sellised loendused tekivad
Enamik arve põhineb otsinguteenustel, mis päringuid internetile pidevalt esitavad ja salvestavad, mida serverid enda kohta teatavad. Veebiserver nimetab oma vastustes sageli tarkvara ja versiooni, näiteks päises X-Powered-By. CybelAngel toetub oma kirjelduse kohaselt sellistele tunnustele Shodani andmetest. Rünnata ei rünnata seejuures midagi, loetakse ainult seda, mis on niigi avalikult nähtav.
Sellest tuleneb lihtne lugemisreegel iga uue meedias leitud arvu jaoks. Küsige: mida loendati, hoste, instantse või veebisaite? Millal mõõdeti, enne või pärast 21. oktoobrit? Ja kuidas versioon määrati, kuvatud numbri või tegeliku testi abil? Kes neile kolmele küsimusele vastata ei oska, peaks arvu käsitlema jämeda suurusjärguna, mitte mõõteväärtusena.
„Avalikult kättesaadav“ tähendab kättesaadavat ja välistunnuste järgi võimalikult haavatavat. See ei tähenda rünnatud ega kompromiteeritud. BSI ei teadnud alguses kinnitatud edukaid laiaulatuslikke rünnakuid.
Mida arvud siiski usaldusväärselt näitavad
Isegi kui kõrgus kõigub, annavad loendused kolm kindlat väidet:
- Ründepind on tohutu. Isegi väikseim arv tähendab miljoneid kättesaadavaid sihtmärke. Ründajad ei pea otsima, nad saavad automatiseeritult kontrollida.
- Vanad versioonid on levinud. CybelAngeli andmetel töötas 59 protsenti nähtava versiooniga hostidest harudel, mille jaoks PHP projekt ametlikku uuendust ei avalda. Nende süsteemide jaoks ei aita kiire paik, vaid ainult backport, kolmas osapool või migreerimine. Riske kirjeldab juhend PHP End of Life.
- Probleem püsib kauem. Suur osa kättesaadavatest süsteemidest ei uuendata päevadega. Skaneerimised ja rünnakukatsed jätkuvad seetõttu eeldatavasti veel kaua.
Oma arvu väljaselgitamine
Ülemaailmne arv on pealkiri. Teie enda arv on ülesanne. Nii selleni jõuate:
- Koguge domeenid ja alamdomeenid: DNS-tsoonidest, sertifikaatidest, agentuuride ja veebimajutajatega sõlmitud lepingutest.
- Siduge kättesaadavad teenused: Milline server asub millise aadressi taga, kes seda käitab?
- Selgitage PHP seis süsteemide kaupa: versioon, töörežiim, pakettide allikas, backporti kinnitus.
- Hinnake tulemus: paigatud ja tõendatud, paigatud ilma tõendita, paigamata, teadmata.
- Sulgege lüngad: Teadmata asjad selgitage kõigepealt, paigamata asjadega tegutsege kõigepealt.
Lõpuks on kokkuvõttes lühike loend suure arvu asemel. Kuidas inventari püsivalt hooldada, kirjeldab artikkel Kõigi veebisaitide ja serverite inventar.
Kuidas PHP SOS konkreetselt aitab?
- Vaade väljastpoolt: Selgitame välja, millised teie süsteemid on internetist kättesaadavad ja millised neist PHP-d kasutavad.
- Vaade seestpoolt: Kontrollime serverites paigatud seisu ja taaskäivitust, mitte ainult kuvatud versiooni.
- Hindamine: Saate loendi, kus on iga süsteemi staatus ja selge järjekord.
- Kontroll: Soovi korral testime pärast paika väljastpoolt, kas olukord on paranenud nagu oodatud.
Kuidas selline kontroll kulgeb, kirjeldab Turvaaudit ja läbitungimistest.
Kokkuvõte
22,6 miljonit, 5,1 miljonit, 2,24 miljonit: arvud tunduvad vastuolulised, kuid mõõdavad ainult erinevat. Koos näitavad need, et PHP2Shell puudutab väga suurt ründepinda ja võrgus on palju vanu versioone. Arvu, mis teie riski üle otsustab, ei anna ükski uuring. See tekib ainult siis, kui vaatate oma süsteeme.
Korduma kippuvad küsimused
Kui palju servereid PHP2Shell mõjutab?
Seda ei tea keegi täpselt. Palo Alto Networksi Unit 42 loendas TechTargeti andmetel üle 22,6 miljoni avalikult kättesaadava, potentsiaalselt haavatava instantsi. CybelAngel nimetab umbes 2,24 miljonit internetist kättesaadavat hosti, mis PHP-d näitavad. Arvud mõõdavad erinevaid asju ja ei ole otse võrreldavad.
Miks arvud nii tugevalt erinevad?
Sest loendatakse erinevaid asju: instantse, hoste, IP-aadresse või teenuseid. Jagatud veebimajutuse hostil võib olla sadu veebisaite. Lisaks ei näita paljud serverid oma PHP versiooni, teised näitavad vana numbrit, kuigi backport on paigaldatud.
Kas avalikult kättesaadav tähendab, et serverit on rünnatud?
Ei. Avalikult kättesaadav tähendab ainult, et PHP teenus on internetist kättesaadav ja võib välistunnuste järgi haavatav olla. Tegelike rünnakute kohta need loendused midagi ei ütle.
Milline arv on minu ettevõtte jaoks oluline?
Teie enda avalikult kättesaadavate PHP süsteemide arv ja see, kui paljud neist on tõendatult paigatud. Ülemaailmsed arvud näitavad ulatust, kuid ei asenda oma inventari.