Lühidalt: Kas PHP2Shell teid mõjutab, sõltub kolmest asjast: PHP versioonist, töörežiimist ning sellest, kas ja kuidas on paigatud. Kui te pole kindel, andke kohe teada. Kas see puudutab teid? Helistage. Me aitame. Selgitame selle välja kaugteel serveris endas, mitte tunde järgi, ja sulgeme turvaaugu, kui see on lahti.
Ärge praegu midagi kustutage ega installige uuesti. Ka siis, kui soovite vaid teada saada, kas olete mõjutatud: kui server on võib-olla juba rünnatud, vajame faile ja logisid muutmata kujul. Teatage hädaolukorrast, siis käime kontrolli koos läbi.
Kas see puudutab teid? Need juhtumid kuuluvad kontrollnimekirja
PHP2Shell on kaks kriitilist turvaauku PHP-s endas (CVE-2026-109618 ja CVE-2026-109619, mõlemad kõrgeima hindega 9,2 CVSS v4.0 järgi). Need võimaldavad kahjulikku koodi kaugelt käivitada ilma sisselogimiseta. Mõjutatud võivad olla kõik töörežiimid: PHP-FPM, Apache koos mod_php-ga, php-cgi, FrankenPHP ja LiteSpeed. Kontrollige kõiki neid süsteeme:
- oma serverid, vServerid ja root-serverid PHP-ga
- majutuspaketid ja hallatavad serverid (Managed Server), ka siis, kui teil pole seadistusele ligipääsu
- konteinerid ja platvormiteenused, mis toovad kaasa PHP kujutise (image)
- testsüsteemid, staging-keskkonnad ja unustatud vanad süsteemid, mis on internetist kättesaadavad
- NAS-id, seadmed (appliance'id) või teenusepakkujate tarkvara, mis kasutab sisemiselt PHP-d
Just unustatud süsteemid on risk. Unit 42 andmetel on rohkem kui 22,6 miljonit avalikult nähtavat, potentsiaalselt haavatavat instantsi ning BSI (Saksamaa föderaalne infoturbeamet) arvestas kiire ulatusliku ärakasutamisega.
Mida teha kohe
- Koostage inventar. Kirjutage üles kõik serverid, domeenid ja majutuslepingud, kus PHP töötab, ning kes nende eest vastutab.
- Tehke kindlaks PHP versioon iga süsteemi kohta. Serverites käsuga
php -v. Arvestage, et käsurida võib kasutada teist versiooni kui veebiserver. - Selgitage välja töörežiim. Kas PHP töötab PHP-FPM-ina, mod_php-na või LiteSpeedi kaudu? mod_php puhul hindab PHP meeskond riski kõige suuremaks.
- Küsige majutajalt ja teenusepakkujatelt. Kirjalikult: milline versioon töötab, kas parandus on paigaldatud, kas kõik protsessid on uuesti käivitatud?
- Säilitage logid. Erialaajakirjandus soovitab logisid säilitada alates 20.10.2026.
- Ärge oodake kaua. Kui süsteem on lahti ja paiga paigaldamine kohe ei õnnestu, soovitab BSI veebiserveri ajutiselt võrgust eemaldada.
Kuidas PHP SOS konkreetselt aitab?
Selgitame mõjutatuse välja kaugteel ja tõenditega.
- Olukorra kaardistamine: Laseme teil oma inventari kirjeldada ning jaotame süsteemid kättesaadavuse ja riski järgi.
- Kindlustamine ja sulgemine: Kus on lahti, kindlustame kõigepealt seisu ja sulgeme seejärel turvaaugu uuenduse ning taaskäivitusega. Kus see kohe ei õnnestu, rakendame üleminekumeetmeid, mis ei ole täielik kaitse.
- Kontroll ja puhastamine: Kontrollime, kas turvaauku on enne paika ära kasutatud, ja puhastame vajaduse korral. Selle, kas server on mõjutatud ja võib-olla juba rünnatud, hoiame selgelt lahus.
- Karastamine ja aruandlus: Saate süsteemide kaupa loetelu: versioon, töörežiim, paiga tõend, lahtised punktid.
Kuidas mõjutatust tõendada
Ainuüksi versiooninumbrist ei piisa, sest pakkujad portivad parandusi tagasi. Ubuntu 24.04 näitab aruannete kohaselt näiteks ka pärast uuendust endiselt versiooni 8.3.6. Kolm usaldusväärset teed:
| Tee | Mida see näitab | Piirang |
|---|---|---|
| Versiooni võrdlemine paranduseseisudega | 8.5.12, 8.4.27, 8.3.36 või 8.2.35 või kõrgem on parandatud | kehtib ainult originaalversioonide, mitte tagasiportide kohta |
Test memory_hard_limit_percent suhtes |
bool(false) tähendab: direktiiv tundmatu, seega mõjutatud |
käivitada iga versiooni ja töörežiimi jaoks eraldi |
| Paketi muudatuslogi läbivaatamine CVE-numbrite järgi | tõendab tagasiporte distributsioonides | allikaks on pakkuja turvaarhiiv |
Test näeb välja nii:
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
Kuidas versiooni ja paigatud seisu korrektselt kontrollida, leiate lehelt PHP versiooni ja paigatud seisu õige kontroll. Ülevaate harudest annab Millised PHP versioonid on mõjutatud?. Miks näit võib pärast paika vana välja näha, selgitab artikkel php -v näitab vana numbrit.
Mõjutatud ja enam mitte paigatav: PHP 8.1 ja vanemad
PHP 8.1 ja vanemate jaoks PHP projekti ametlikke uuendusi enam ei ole, on ainult minimaalsed lähtekoodi tagasiportimised versioonidele 7.4, 8.0 ja 8.1. Kes sellist versiooni kasutab, valib tavaliselt kahe tee vahel: pakkuja tõendatud tagasiportimisega või üleminek hooldatud versioonile. Kommertspikaajalise toe pakkumisi on olemas; kas ja millal need PHP2Shelli katavad, peab pakkuja kirjalikult kinnitama. Aitame seda hinnata lehel PHP 8.1 ja vanemad: mis nüüd kehtib ning teostada PHP paigateenuses.
Mida peaksite meile saatma
- Teie serverite, domeenide ja majutajate loetelu
- PHP versioon iga süsteemi kohta, kui teada
- Töörežiim ja veebiserver, kui teada
- Märge, kas ees on Cloudflare või muu kaitse ja kas origin-server on otse kättesaadav
- Teie majutaja vastused, kui olete juba küsinud
- Kontaktisik kooskõlastuste ja taaskäivituste jaoks
Miks PHP SOS
Töötame Saksamaal tehtud (Made in Germany) lahendustega ja oleme koos oma küberspetsialistide partnervõrgustikuga spetsialiseerunud IT-turvalisusele üle 25 aasta. Saate ühe kontaktisiku, kes käib teie inventari läbi ja tõendab iga väite, mitte ei loe lihtsalt versiooninumbreid maha. Töötame kaugteel, ilma kohale sõitmata, ja dokumenteerime, mida oleme kontrollinud. Sellise väite nagu „turvaline“ anname vaid niivõrd, kuivõrd seda saab tõendada. Suuremate keskkondade jaoks tuleb kõne alla PHP2Shelli kiirabi.
Kas see puudutab teid? Helistage. Me aitame.
Kui te ei tea, kas olete mõjutatud, on see piisav põhjus kohe teada anda. Helistage või kirjutage WhatsAppis. Võtame töö üle esimesest sõnumist ja selgitame selle koos teiega serveris välja. Teatage nüüd hädaolukorrast.
Korduma kippuvad küsimused
Kas PHP2Shell mõjutab mind, kui kasutan ainult WordPressi või e-poodi?
Võimalik, et jah. Turvaaugud asuvad PHP-s, mitte CMS-is. Otsustav on see, milline PHP versioon ja töörežiim teil tegelikult sisu edastab; WordPressi uuendus seda ei muuda.
Kas versiooninumbrist piisab, et teada, kas olen paigatud?
Mitte alati. Distributsioonid ja majutajad paigaldavad parandusi osaliselt tagasiportimisena, siis jääb number samaks. Tõendusjõuga on paketi muudatuslogi koos CVE-numbritega või teie pakkuja kirjalik kinnitus.
Kas on olemas kiire test, kas minu PHP versioon sisaldab parandust?
PHP käsiraamatu järgi on mõjutatud versioon, mis ei tunne direktiivi memory_hard_limit_percent. Test tuleb teha iga PHP versiooni ja töörežiimi jaoks eraldi, sest käsurida võib kasutada teist versiooni kui veebiserver.
Kas mõjutatud on ka vanemad PHP versioonid, näiteks 7.4 või 8.0?
Erialaajakirjanduse andmetel on mõjutatud peaaegu kõik versioonid kuni PHP 5.4-ni. Versioonidele 8.1 ja vanemad PHP projekt ametlikke uuendusi enam ei anna, ainult minimaalseid lähtekoodi tagasiportimisi. Kas pakkuja need on paigaldanud, peab ta ise kinnitama.
Kas Cloudflare kaitseb mind, kui olen mõjutatud?
Osaliselt. Cloudflare on kasutusele võtnud kaitsereeglid, kuid hoiatab ise, et need ei asenda uuendust. Kui teie origin-server on otse kättesaadav, jäetakse kaitse mööda.