Lühidalt: BSI (Saksamaa föderaalne infoturbeamet) on PHP2Shelli kohta kuulutanud välja hoiatustaseme 3 (oranž). Soovitus on ühene: uuendage PHP kohe ja, kui see kohe ei õnnestu, võtke mõjutatud veebiserverid ajutiselt võrgust lahti. BSI arvestas kiire ulatusliku ärakasutamisega; kinnitatud edukaid laiaulatuslikke rünnakuid alguses teada ei olnud.
BSI hoiatus PHP kohta lühidalt
Bundesamt für Sicherheit in der Informationstechnik (BSI, Saksamaa föderaalne infoturbeamet) on Saksamaa keskne küberturvalisuse eriasutus. PHP2Shelli kohta on see avaldanud taseme 3 (oranž) hoiatuse. Põhjuseks on kaks kriitilist turvauket PHP-s endas: CVE-2026-109618 ja CVE-2026-109619, mõlemad hinnatud CVSS v4.0 skaalal 9,2. Need võimaldavad ründajatel käivitada serveris kahjulikku koodi ilma sisselogimata.
Hoiatuse põhiväited võib kokku võtta nii:
| Väide | Tähendus käitajale |
|---|---|
| Hoiatustase 3 / oranž | tõsine olukord, tegutsemine vajalik |
| Soovitatud kohene uuendus | paigaldada parandatud PHP versioonid |
| Muidu ajutiselt võrgust maha | allutada kättesaadavus kaitsele |
| Oodatav kiire ulatuslik ärakasutamine | mitte oodata esimesi kahjuteateid |
| Edukaid laiaulatuslikke rünnakuid alguses ei kinnitatud | ei ole põhjust vabastuseks |
Igakordse ajakohase versiooni leiate BSI veebisaidilt.
Mida „uuendage kohe“ praktikas tähendab
PHP projekt avaldas parandatud versioonid 21.10.2026 kell 14:00 UTC (Saksamaa aja järgi kell 16): PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35. PHP 8.1 ja vanemate jaoks ametlikke uuendusi enam ei ole, on vaid minimaalsed lähtekoodi tagasiportimised versioonidele 7.4, 8.0 ja 8.1.
Uuendus on mõjus alles siis, kui kõik PHP protsessid on uuesti käivitatud. Uutest failidest üksi ei piisa, kuni mälus töötavad vanad tööprotsessid. Lisaks kehtib: distributsioonid ja majutajad paigaldavad parandusi osaliselt backportina. Siis näitab näiteks Plesk edasi 8.2.34, kuigi on paigatud. Otsustavad on paketi seis ja pakkuja kinnitus. Ja CMS-i uuendus, näiteks WordPressi oma, ei sulge PHP turvaauku.
Kui uuendus ei ole kohe võimalik
Sel juhul soovitab BSI veebiserverid ajutiselt võrgust lahti ühendada. See on kõva meede, kuid selge. Paljude ettevõtete jaoks on planeeritud mõnetunnine katkestus vähem kahjulik kui sissemurdmine koos andmete väljavooluga.
php.net nimetab lisaks ajutisi meetmeid, mis vähendavad riski, kuid ei paku selgesõnaliselt täielikku kaitset. Nende hulka kuuluvad session.upload_progress.enabled=0 serveri seadistuses, piiratud post_max_size väärtused, mälupiirangud konteineri või cgroupide kaudu ning PHP 8.5 puhul fatal_error_backtraces=0, igal juhul järgneva kõigi tööprotsesside taaskäivitusega. Üksikasjad leiate lehelt Kohesed meetmed ilma paigata.
Kui avalikult kättesaadav veebiserver töötab veel paigamata PHP-ga ja ilma ajutiste meetmeteta, tuleneb BSI soovitusest: võtke server võrgust maha, kuni uuendus on paigaldatud ja kõik protsessid uuesti käivitatud.
Olukorra hinnang
BSI ei ole oma hinnanguga üksi. Cloudflare teatas täheldatud rünnakukatsetest ja on kasutusele võtnud kaitsereeglid, hoiatab aga, et reeglitest üksnes päringuandmete põhjal ei piisa. Palo Alto Networks (Unit 42) loendas rohkem kui 22,6 miljonit avalikult kättesaadavat, potentsiaalselt haavatavat instantsi. Meediaaruannete kohaselt täheldati esimest rünnakukatset juba 17.10.2026, see tähendab enne paikade avaldamist.
Käitajate jaoks järeldub sellest kaine hinnang: kes pole tänaseni paiganud, peaks mitte ainult paikama, vaid ka kontrollima, kas midagi on juba juhtunud. Paik ei eemalda sisse toodud pahavara. Avaldatud ja kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise) ei ole; tuvastamine põhineb käitumisanalüüsil. Erialaajakirjandus soovitab säilitada serverilogisid alates 20.10.2026. Otsimise näpunäited leiate lehelt Kas mind on juba kompromiteeritud?.
Mida soovitus vastutajatele tähendab
BSI hoiatus ei ole seadus. See on aga pädeva eriasutuse hinnang ja võib mängida rolli otsuste hilisemal hindamisel, näiteks kindlustajate või kontrollijate poolt. Juhtkonnad peaksid seetõttu dokumenteerima, millal nad hoiatusest teada said, kuidas nad oma süsteeme hindasid ja milliseid meetmeid võtsid. Üldised märkused selle kohta leiate lehelt Juhtkonna vastutus; see ei ole õigusnõustamine.
Praktikas tasub hoiatust lugeda mitte ainult üks kord. BSI ajakohastab oma teateid, kui olukord muutub, näiteks uute teadmiste korral ärakasutamise või täiendavate turvaaukude kohta. Alates 23.10.2026 on lisaks php.net-i märkus turvaaugu CVE-2026-115560 kohta, mis puudutab ainult ebatavalisi seadistusi ja mida samuti leevendab session.upload_progress.enabled=0. Nimetage isik, kes kontrollib BSI-d ja php.net-i olukorra lõpuni iga päev ning annab muudatused edasi tehnikale ja juhtkonnale. Nii ei teki teadmiste vahet nende vahel, kes otsustavad, ja nende vahel, kes ellu viivad.
Kuidas PHP SOS konkreetselt aitab?
- Võrdleme teie veebiservereid BSI soovitusega: versioon, paketi seis, taaskäivitus, kättesaadavus.
- PHP2Shelli kohese abi raames paigame, käivitame kõik protsessid uuesti ja anname tõendi.
- Kus uuendus ei ole kohe võimalik, seame ajutised meetmed ja paneme vajaduse korral üles staatilise asendusleheküljel.
- Kindlustame logid ja kontrollime jälgi, et saaksite olukorda pärast paika usaldusväärselt hinnata.
Korduma kippuvad küsimused
Mida tähendab BSI hoiatustase 3 (oranž)?
Värv kirjeldab tõusnud, tõsist ohuolukorda, mis nõuab tegutsemist. PHP2Shelli puhul põhjendab BSI seda turvaaukude kriitilisuse ja oodatava kiire ärakasutamisega. Tasemete täpse määratluse leiate BSI veebisaidilt.
Kas pean BSI soovitust järgima?
BSI hoiatus on soovitus, mitte seadus. See on aga pädeva eriasutuse kaalukas hinnang, millele võivad toetuda kindlustajad, kontrollijad ja kohtud. Kes sellest kõrvale kaldub, peaks põhjused dokumenteerima. See ei ole õigusnõustamine.
Kas BSI andmetel on juba olnud edukaid rünnakuid?
Kinnitatud edukaid laiaulatuslikke rünnakuid BSI andmetel alguses teada ei olnud. BSI arvestas aga kiire ulatusliku ärakasutamisega. Teised asutused teatasid juba rünnakukatsetest.
Kust ma leian hoiatuse ajakohase versiooni?
BSI veebisaidilt jooksvate turvahoiatuste alt. Olukord võib muutuda; kontrollige seal ja php.net-is regulaarselt uusimat seisu.