Ukratko: Koliko je poslužitelja pogođeno PHP2Shellom, može se samo procijeniti. Unit 42 prema TechTargetu izbrojao je više od 22,6 milijuna izloženih instanci, CybelAngel navodi oko 2,24 milijuna PHP hostova, a BleepingComputer pozivajući se na VirusTotal izvješćuje o više od 5,1 milijuna. Brojke mjere različite stvari pa se stoga ne proturječe. Za Vašu tvrtku vrijedi druga brojka: koliko je vlastitih PHP sustava dostupno i koliko je od njih dokazano zakrpano.
Povod: jedna brojka puni naslove
„22 milijuna poslužitelja u opasnosti“ stajalo je 21. listopada 2026. u mnogim naslovima. Brojka potječe od Unita 42, istraživačkog odjela tvrtke Palo Alto Networks, a među ostalima ju je prenio TechTarget. Ubrzo su kružile druge brojke, djelomično deset puta manje.
Čitatelji dobivaju dojam da nitko ne zna ništa. Zapravo pružatelji jednostavno broje različite stvari različitim metodama. Tko to razumije, brojke može iskoristiti umjesto da ga zbunjuju.
Koliko je poslužitelja pogođeno PHP2Shellom? Brojke u pregledu
| Izvor | Brojka | Što je brojano |
|---|---|---|
| Unit 42 (Palo Alto Networks), prema TechTargetu | više od 22,6 mil. | izložene, potencijalno ranjive instance; metoda u izvješću nije objašnjena |
| VirusTotal, prema BleepingComputeru | više od 5,1 mil. | PHP hostovi dostupni s interneta |
| CybelAngel, na temelju Shodan podataka | oko 2,24 mil. | hostovi koji u svojim oznakama pokazuju PHP |
| CybelAngel | 59 % od oko 1,5 mil. | udio hostova s vidljivom verzijom na granama bez službenog ažuriranja |
| CybelAngel | oko 740.000 | hostovi koji pokazuju PHP, ali skrivaju svoju verziju |
Sve se brojke odnose na stanje oko 20. i 21. listopada. To su trenutne snimke i mijenjaju se sa svakim instaliranim ažuriranjem.
Zašto se brojanja toliko razilaze
Tri učinka objašnjavaju većinu razlika.
Instanca, host, web-stranica. Host je najčešće IP adresa ili poslužitelj. Instanca može biti pojedina usluga ili pojedina web-stranica. Na poslužitelju sa zajedničkim hostingom često radi na stotine web-stranica. CybelAngel i sam upozorava: broje se hostovi, a ne organizacije ili web-stranice, pa je stvarni broj dostupnih aplikacija vjerojatno veći.
Skrivene verzije. Mnogi poslužitelji ne odaju svoju PHP verziju, primjerice jer je expose_php isključen. Nedostaju u statistikama koje se temelje na verziji. Zašto je skrivanje smisleno, ali ne zamjenjuje zaštitu, objašnjava članak o oznakama verzija i expose_php.
Backportovi. Distribucije i pružatelji hostinga ispravke djelomično instaliraju bez promjene broja verzije. Poslužitelj koji prema van pokazuje staru oznaku stoga može biti zakrpan. Brojanja prema prikazanoj verziji zato precjenjuju broj nezakrpanih sustava. Kako kod sebe provjeriti stvarno stanje, navodi stranica Provjera PHP verzije i razine zakrpe.
Kako takva brojanja nastaju
Većina brojki temelji se na uslugama pretraživanja koje neprekidno ispituju internet i pohranjuju što poslužitelji o sebi priopćuju. Web-poslužitelj u svojim odgovorima često navodi softver i verziju, primjerice u zaglavlju X-Powered-By. CybelAngel se prema vlastitom prikazu oslanja na takve oznake iz Shodan podataka. Pritom se ništa ne napada, samo se čita ono što je ionako javno vidljivo.
Iz toga proizlazi jednostavno pravilo čitanja za svaku novu brojku u medijima. Pitajte: Što je brojano, hostovi, instance ili web-stranice? Kada je mjereno, prije ili nakon 21. listopada? I kako je verzija utvrđena, prema prikazanoj oznaci ili pravim testom? Tko na ta tri pitanja ne može odgovoriti, brojku bi trebao tretirati kao grubi red veličine, a ne kao izmjerenu vrijednost.
„Izložen“ znači dostupan i prema vanjskim obilježjima moguće ranjiv. Ne znači napadnut niti kompromitiran. BSI u početku nije poznavao potvrđene uspješne napade u širokom opsegu.
Što brojke ipak pouzdano pokazuju
Čak i ako visina varira, brojanja nose tri čvrste tvrdnje:
- Površina napada je ogromna. Čak i najmanja brojka znači milijune dostupnih meta. Napadači ne moraju tražiti, mogu automatizirano provjeravati.
- Stare verzije su rasprostranjene. Prema CybelAngelu 59 posto hostova s vidljivom verzijom radilo je na granama za koje PHP projekt ne objavljuje službeno ažuriranje. Tim sustavima ne pomaže brza zakrpa, nego samo backport, treća strana ili migracija. Rizike opisuje vodič PHP End of Life.
- Problem ostaje dulje. Veliki dio dostupnih sustava neće se ažurirati u nekoliko dana. Skeniranja i pokušaji napada stoga će vjerojatno trajati još dugo.
Utvrdite vlastitu brojku
Svjetska brojka je naslov. Vaša vlastita je zadatak. Evo kako do nje:
- Prikupiti domene i poddomene: iz DNS zona, certifikata, ugovora s agencijama i pružateljima hostinga.
- Pridružiti dostupne usluge: Koji poslužitelj stoji iza koje adrese, tko ga vodi?
- Utvrditi PHP stanje po sustavu: verzija, način rada, izvor paketa, potvrda backporta.
- Ocijeniti rezultat: zakrpano i dokazano, zakrpano bez dokaza, nezakrpano, nepoznato.
- Zatvoriti praznine: nepoznato najprije razjasniti, nezakrpano najprije obraditi.
Na kraju stoji kratak popis umjesto velike brojke. Kako inventar trajno održavati, opisuje članak Inventar svih web-stranica i poslužitelja.
Kako PHP SOS konkretno pomaže?
- Pogled izvana: Utvrđujemo koji su Vaši sustavi dostupni s interneta i koji od njih koriste PHP.
- Pogled iznutra: Provjeravamo razinu zakrpe i ponovno pokretanje na poslužiteljima, a ne samo prikazanu verziju.
- Procjena: Dobivate popis sa statusom po sustavu i jasnim redoslijedom.
- Provjera: Na želju nakon zakrpe izvana testiramo je li se stanje poboljšalo kako se očekuje.
Kako takva provjera teče, opisuje Sigurnosni audit i penetracijski test.
Zaključak
22,6 milijuna, 5,1 milijun, 2,24 milijuna: brojke djeluju proturječno, ali mjere samo različito. Zajedno pokazuju da PHP2Shell pogađa vrlo veliku površinu napada i da je na mreži mnogo starih verzija. Brojku koja odlučuje o Vašem riziku ne daje nijedna studija. Ona nastaje samo pogledom na vlastite sustave.
Česta pitanja
Koliko je poslužitelja pogođeno PHP2Shellom?
Nitko to ne zna točno. Unit 42 tvrtke Palo Alto Networks prema TechTargetu izbrojao je više od 22,6 milijuna izloženih, potencijalno ranjivih instanci. CybelAngel navodi oko 2,24 milijuna hostova dostupnih s interneta koji pokazuju PHP. Brojke mjere različite stvari i nisu izravno usporedive.
Zašto se brojke toliko razlikuju?
Zato što se broje različite stvari: instance, hostovi, IP adrese ili usluge. Na jednom hostu sa zajedničkim hostingom mogu biti stotine web-stranica. Osim toga mnogi poslužitelji ne prikazuju svoju PHP verziju, a drugi prikazuju staru oznaku iako je instaliran backport.
Znači li izložen da je poslužitelj napadnut?
Ne. Izložen znači samo da je PHP usluga dostupna s interneta i da bi prema vanjskim obilježjima mogla biti ranjiva. O stvarnim napadima ta brojanja ne govore ništa.
Koja je brojka važna za moju tvrtku?
Broj Vaših vlastitih javno dostupnih PHP sustava i koliko ih je dokazano zakrpano. Svjetske brojke pokazuju razmjere, ali ne zamjenjuju vlastiti inventar.