Lühidalt: PHP2Shelli ajajoon sisaldab seni nelja tõendatud kuupäeva: esimene täheldatud rünnakukatse 17.10., php.net-i eelteade 20.10., paigad 21.10. Saksamaa aja järgi kell 16 ning järgmine teade CVE-2026-115560 kohta 23.10.2026. Haldajatele tähendab see: paigata, taaskäivitada kõik PHP protsessid ja turvata logid hiljemalt alates 20.10.
Miks on PHP2Shelli ajajoon haldajatele oluline
Sellise raskusastmega turvaaugu puhul ei loe ainult see, kas teie server on täna paigatud. Otsustav on ka see, kui kaua see enne haavatav oli. See ajaaken määrab, milliseid logisid turvate, milliseid faile kontrollite ja kas saate kompromiteerimise põhjendatult välistada.
PHP2Shell puudutab PHP-d ennast, mitte üksikut sisuhaldussüsteemi. Kaks kriitilist turvaauku, CVE-2026-109618 ja CVE-2026-109619, võimaldavad kahjuliku koodi kaugkäivitamist ilma sisselogimata. Mõlemad on hinnatud CVSS v4.0 skaalal 9,2. Arusaadava sissejuhatuse leiate lehelt Mis on PHP2Shell?.
Allolev ajajoon sisaldab ainult andmeid, mis on seisuga 25.10.2026 tõendatud. Kui väide tugineb meediaraportitele, on see märgitud.
| Kuupäev | Sündmus | Alus |
|---|---|---|
| 17.10.2026 | Esimene täheldatud rünnakukatse (Amazon) | Meediaraportid |
| 20.10.2026 | php.net-i eelteade | php.net |
| 21.10.2026, 14:00 UTC | Paikade avaldamine (Saksamaa aja järgi kell 16) | php.net |
| 23.10.2026 | Teade CVE-2026-115560 kohta | php.net |
| 25.10.2026 | Selle ülevaate seis | – |
17. oktoober: esimene täheldatud rünnakukatse
Meediaraportite kohaselt täheldati 17.10.2026 esimest rünnakukatset, millest teatas Amazon. See oli neli päeva enne paikasid. Seega oli periood, mil rünnakuid juba üritati, kuid uuendust veel ei olnud.
Kas ja kui paljud rünnakud selles faasis õnnestusid, ei ole tõendatud. Teie enda kontrolli jaoks on oluline järeldus: täna paigatud server võis olla juba varem kompromiteeritud. Paik ei eemalda sisse toodud kahjutarkvara ega tõesta, et varem midagi ei juhtunud.
20. ja 21. oktoober: eelteade ja paigad
20.10.2026 teatas PHP projekt turvauuendustest php.net-is ette. 21.10.2026 kell 14:00 UTC ehk Saksamaa aja järgi kell 16 järgnesid parandatud versioonid.
| Haru | Viimane haavatav seis | Parandatud versioonis |
|---|---|---|
| PHP 8.5 | 8.5.11 | 8.5.12 |
| PHP 8.4 | 8.4.26 | 8.4.27 |
| PHP 8.3 | 8.3.35 | 8.3.36 |
| PHP 8.2 | 8.2.34 | 8.2.35 |
PHP 8.1 ja vanemate jaoks ametlikke uuendusi enam ei ole, on vaid minimaalsed lähtekoodi tagasiportimised (backport) versioonidele 7.4, 8.0 ja 8.1. Erialaajakirjanduse andmetel on mõjutatud peaaegu kõik versioonid kuni PHP 5.4-ni. Mõjutatud on töörežiimid PHP-FPM, Apache koos mod_php-ga, php-cgi, FrankenPHP ja LiteSpeed. Suurimat ohtu näeb PHP meeskond mod_php puhul, kus näidati ärakasutust enne, kui rakenduse kood üldse käivitub.
Distributsioonid ja veebimajutajad portivad parandusi sageli tagasi. Siis näitab näiteks Plesk jätkuvalt versiooni 8.2.34, kuigi server on paigatud. Määrav on paketi seis ja pakkuja kinnitus, mitte kuvatud versiooninumber. Kuidas seda korrektselt kontrollida, kirjeldab leht PHP versiooni ja paigaseisu õige kontrollimine.
23. oktoober: teade CVE-2026-115560 kohta
23.10.2026 avaldas PHP projekt veel ühe teate, seekord CVE-2026-115560 kohta. Selle kohaselt on ärakasutamine võimalik ainult ebatavalise seadistuse korral: konfiguratsioonis on serialize_handler php_binary või php_serialize, rakendus lülitab selle enne session_start() kutset käsuga ini_set() tagasi väärtusele php ja sessiooni üleslaadimise edenemine (session upload progress) on aktiivne.
Leevendus on lihtne ja see tuleks seada sõltumata sellest, kas te seda konstellatsiooni oma süsteemis tunnete:
; php.ini-s, FPM-i pooli seadistuses või serveri konfiguratsioonis
; mitte käsuga ini_set() ega failis .user.ini
session.upload_progress.enabled = 0
Seejärel taaskäivitage kõik PHP töötajad. Täielik turvateade (advisory) peaks ilmuma järgmise regulaarse veaparandusväljalaskega. Seni jääb see seadistus soovitatud üleminekulahenduseks.
Seis 25. oktoobril: olukord ja lahtised küsimused
BSI (Saksamaa föderaalne infoturbeamet) on välja kuulutanud hoiatustaseme 3 / oranž. Ta soovitab uuendada kohe ja, kui see ei ole kohe võimalik, võtta veebiserverid ajutiselt võrgust maha. BSI arvestas kiire ulatusliku ärakasutamisega; laialdaselt õnnestunud rünnakuid ei olnud BSI andmetel esialgu teada. BSI hinnangut võtab kokku leht Mida BSI PHP2Shelli kohta soovitab.
Cloudflare teatas täheldatud rünnakukatsetest ja on kasutusele võtnud kaitsereeglid, kuid hoiatab, et pelgalt päringuandmete põhjal koostatud reeglitest ei piisa. Palo Alto Networks (Unit 42) luges kokku üle 22,6 miljoni avalikult kättesaadava, potentsiaalselt haavatava instantsi. Kinnitatud kompromiteerimisnäitajaid ei ole avaldatud; tuvastamine tugineb käitumisanalüüsile.
Mõned pakkujad on veebisaite ettevaatusabinõuna võrgust maha võtnud. See ei tähenda automaatselt, et need saidid on häkitud. Selle ülevaate seisuga on lahtine eelkõige see, kui paljud serverid tegelikult enne paika kompromiteeriti.
Mida ajajoon tähendab teie logide ja kontrollide jaoks
Andmetest tulenevad kolm ajavahemikku: enne 17.10., ajavahemik 17.10. ja teie enda paigamis- ja taaskäivitusmomendi vahel ning pärast seda. Kriitiline on keskmine vahemik. Mida kauem see teil kestis, seda põhjalikum peaks kontroll olema.
Erialaajakirjandus soovitab serveri logisid säilitada alates 20.10.2026. Turvake ka olemasolevad vanemad logid, enne kui automaatne rotatsioon need kustutab.
Lihtne viis logid muutmata kujul turvata ja seis fikseerida:
# Logid ühe failina turvata (kohandage teed oma süsteemile)
sudo tar czf /root/logs-sicherung-$(date +%F).tar.gz /var/log/apache2 /var/log/nginx /var/log/php*
# Kontrollsumma hilisemaks tõendamiseks
sha256sum /root/logs-sicherung-*.tar.gz
# Kui kaua süsteem logisid hoiab?
grep -R "rotate" /etc/logrotate.d/
Märkige üles ka, millal täpselt uuendus paigaldati ja millal PHP protsessid taaskäivitati. Uued failid üksi ei kaitse, kuni mälus töötavad vanad protsessid. Kuidas turvatud logisid analüüsida, kirjeldab juhend Veebiserveri logide analüüs pärast rünnakut.
Kuidas PHP SOS konkreetselt aitab?
- Määrame koos teiega teie serveri tegeliku haavatavusaja: paketi seis, paigamise ajahetk, kõigi töötajate taaskäivitus.
- Turvame logid ja süsteemi seisu jälgitavalt enne, kui midagi muudetakse.
- Kontrollime käitumuslikke kõrvalekaldeid, nagu uued PHP failid, võõrad protsessid ja ebatavalised väljaminevad ühendused.
- Dokumenteerime tulemuse nii, et juhatus, andmekaitsespetsialistid ja kindlustajad saavad sellega töötada.
Tegevuste käiku kirjeldab meie PHP2Shelli kiirabi.
Korduma kippuvad küsimused
Millal PHP2Shelli paigad avaldati?
PHP projekt avaldas parandatud versioonid 21.10.2026 kell 14:00 UTC ehk Saksamaa aja järgi kell 16. Parandatud on PHP 8.5.12, 8.4.27, 8.3.36 ja 8.2.35.
Millisest kuupäevast alates peaksin serveri logisid säilitama?
Erialaajakirjandus soovitab logisid säilitada alates 20.10.2026. Kuna meediaraportite kohaselt täheldati esimest rünnakukatset juba 17.10., tasub turvata ka olemasolevad vanemad logid enne, kui logide rotatsioon need kustutab.
Kas CVE-2026-115560 on sama ohtlik kui kaks esimest turvaauku?
23.10.2026 antud teate kohaselt on ärakasutamine võimalik ainult ebatavalise sessiooniseadistuse korral. Leevendusena soovitatakse seadistust session.upload_progress.enabled=0, kuni ilmub järgmine regulaarne veaparandusväljalase.
Kas PHP2Shelli kohta on kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise)?
Ei, seisuga 25.10.2026 ei ole kinnitatud kompromiteerimisnäitajaid avaldatud. Tuvastamine tugineb käitumisanalüüsile, näiteks ebatavalistele protsessidele, uutele failidele ja kahtlastele ühendustele.