Röviden: Hogy hány szervert érint a PHP2Shell, azt csak becsülni lehet. A Unit 42 a TechTarget szerint több mint 22,6 millió kitett példányt számolt össze, a CybelAngel nagyjából 2,24 millió PHP-hostot említ, a BleepingComputer a VirusTotalra hivatkozva több mint 5,1 millióról számol be. A számok különböző dolgokat mérnek, ezért nem mondanak ellent egymásnak. Az Ön vállalata számára egy másik szám számít: hány saját PHP-rendszere elérhető, és ezek közül mennyi igazoltan javított.
A kiindulópont: egy szám főcímet csinál
„22 millió szerver veszélyben” állt 2026. október 21-én számos főcímben. A szám a Unit 42-től, a Palo Alto Networks kutatási részlegétől származik, és egyebek mellett a TechTarget számolt be róla. Nem sokkal később más számok kezdtek keringeni, részben nagyjából tízszer kisebbek.
Az olvasóban az a benyomás keletkezik, hogy senki sem tudja a választ. Valójában a szolgáltatók egyszerűen különböző dolgokat számolnak különböző módszerekkel. Aki ezt érti, használni tudja a számokat ahelyett, hogy elbizonytalanítanák.
Hány szervert érint a PHP2Shell? A számok áttekintése
| Forrás | Szám | Mit számoltak |
|---|---|---|
| Unit 42 (Palo Alto Networks), a TechTarget szerint | több mint 22,6 millió | kitett, potenciálisan sebezhető példányok; a módszert a jelentés nem magyarázza |
| VirusTotal, a BleepingComputer szerint | több mint 5,1 millió | az internetről elérhető PHP-hostok |
| CybelAngel, Shodan-adatok alapján | nagyjából 2,24 millió | PHP-t az azonosítóikban jelző hostok |
| CybelAngel | 59 % a nagyjából 1,5 millióból | a látható verziójú hostok aránya olyan ágakon, amelyekhez nincs hivatalos frissítés |
| CybelAngel | nagyjából 740 000 | PHP-t jelző, de a verzióját elrejtő hostok |
Az összes szám az október 20-i és 21-i helyzetre vonatkozik. Pillanatfelvételek, és minden telepített frissítéssel változnak.
Miért esnek ennyire távol az összeszámlálások
Három hatás magyarázza a különbségek nagy részét.
Példány, host, weboldal. Egy host többnyire egy IP-cím vagy egy szerver. Egy példány lehet egyetlen szolgáltatás vagy egyetlen weboldal. Egy megosztott tárhelyes szerveren gyakran több száz weboldal fut. A CybelAngel maga is rámutat: hostokat számolnak, nem szervezeteket vagy weboldalakat, az elérhető alkalmazások tényleges száma valószínűleg magasabb.
Elrejtett verziók. Sok szerver nem árulja el a PHP-verzióját, például azért, mert az expose_php ki van kapcsolva. Hiányoznak a verzióalapú statisztikákból. Hogy az elrejtés miért értelmes, de nem pótolja a védelmet, azt a Verziójelzések és expose_php írás magyarázza.
Backportok. A disztribúciók és a tárhelyszolgáltatók részben a verziószám megváltoztatása nélkül telepítik a javításokat. Egy szerver, amely kifelé régi számot mutat, tehát lehet javított. A kijelzett verzió alapján végzett összeszámlálások ezért túlbecsülik a javítatlan rendszerek számát. Hogyan ellenőrizheti a valós állapotot Önnél, azt a PHP-verzió és javítási állapot ellenőrzése tartalmazza.
Hogyan keletkeznek az ilyen összeszámlálások
A legtöbb szám olyan keresőszolgáltatásokon alapul, amelyek folyamatosan lekérdezik az internetet, és eltárolják, mit közölnek magukról a szerverek. Egy webszerver a válaszaiban gyakran megnevezi a szoftvert és a verziót, például az X-Powered-By fejlécben. A CybelAngel saját bemutatása szerint a Shodan-adatokból származó ilyen azonosítókra támaszkodik. Közben semmit sem támadnak meg, csak azt olvassák, ami amúgy is nyilvánosan látható.
Ebből egyszerű olvasási szabály következik minden új médiaszámra. Kérdezze meg: mit számoltak, hostokat, példányokat vagy weboldalakat? Mikor mértek, október 21. előtt vagy után? És hogyan határozták meg a verziót, a kijelzett szám alapján vagy valódi teszttel? Aki erre a három kérdésre nem tud válaszolni, durva nagyságrendként kezelje a számot, ne mérési értékként.
A „kitett” azt jelenti: elérhető és külső jellemzők alapján esetleg sebezhető. Nem azt jelenti, hogy megtámadták, és nem is azt, hogy feltörték. A BSI kezdetben nem ismert megerősített, széles körű sikeres támadásokat.
Mit mutatnak mégis megbízhatóan a számok
Még ha a nagyság ingadozik is, az összeszámlálások három megalapozott kijelentést hordoznak:
- A támadási felület óriási. Még a legkisebb szám is milliónyi elérhető célpontot jelent. A támadóknak nem kell keresniük, automatizáltan ellenőrizhetnek.
- A régi verziók elterjedtek. A CybelAngel szerint a látható verziójú hostok 59 százaléka olyan ágakon futott, amelyekhez a PHP-projekt nem ad ki hivatalos frissítést. Ezeknél a rendszereknél nem gyors javítás segít, hanem csak egy backport, egy harmadik fél vagy egy migráció. A kockázatokat a PHP End of Life útmutató írja le.
- A probléma tovább marad. Az elérhető rendszerek nagy része nem frissül napok alatt. A szkennelések és támadási kísérletek ezért várhatóan még sokáig tartanak.
Határozza meg a saját számát
A világszintű szám főcím. A sajátja feladat. Így jut el hozzá:
- Domainek és aldomainek összegyűjtése: DNS-zónákból, tanúsítványokból, az ügynökségekkel és tárhelyszolgáltatókkal kötött szerződésekből.
- Az elérhető szolgáltatások hozzárendelése: Melyik szerver áll melyik cím mögött, ki üzemelteti?
- A PHP-állapot felmérése rendszerenként: verzió, üzemmód, csomagforrás, backport-megerősítés.
- Az eredmény értékelése: javított és igazolt, javított igazolás nélkül, javítatlan, ismeretlen.
- A rések bezárása: az ismeretlent tisztázni először, a javítatlannal cselekedni először.
A végén egy rövid lista áll egy nagy szám helyett. Hogyan tartsa fenn tartósan a leltárt, azt a Az összes weboldal és szerver leltára írás írja le.
Hogyan segít konkrétan a PHP SOS?
- Kívülről nézve: Meghatározzuk, hogy mely rendszerei érhetők el az internetről, és ezek közül melyek használnak PHP-t.
- Belülről nézve: Ellenőrizzük a javítási állapotot és az újraindítást a szervereken, nem csak a kijelzett verziót.
- Értékelés: Állapottal rendszerenként és világos sorrenddel ellátott listát kap.
- Utóellenőrzés: Kívánságára a javítás után kívülről teszteljük, hogy a helyzet a várakozásoknak megfelelően javult-e.
Hogyan zajlik egy ilyen ellenőrzés, azt a Biztonsági audit és penetrációs teszt írja le.
Összegzés
22,6 millió, 5,1 millió, 2,24 millió: a számok ellentmondónak tűnnek, de csak különböző dolgokat mérnek. Együtt azt mutatják, hogy a PHP2Shell nagyon nagy támadási felületet érint, és sok régi verzió áll a hálón. Azt a számot, amely az Ön kockázatát eldönti, semmilyen tanulmány nem szolgáltatja. Csak a saját rendszereire vetett pillantásból keletkezik.
Gyakori kérdések
Hány szervert érint a PHP2Shell?
Ezt senki sem tudja pontosan. A Palo Alto Networks Unit 42 csapata a TechTarget szerint több mint 22,6 millió kitett, potenciálisan sebezhető példányt számolt össze. A CybelAngel nagyjából 2,24 millió, az internetről elérhető hostot említ, amely PHP-t jelez. A számok különböző dolgokat mérnek, és nem közvetlenül összehasonlíthatók.
Miért térnek el ennyire a számok egymástól?
Mert különböző dolgokat számolnak: példányokat, hostokat, IP-címeket vagy szolgáltatásokat. Egy megosztott tárhelyes hoston több száz weboldal lehet. Ráadásul sok szerver nem jelzi ki a PHP-verzióját, mások régi számot mutatnak, noha backportot telepítettek.
Azt jelenti a kitettség, hogy egy szervert megtámadtak?
Nem. A kitett csak annyit jelent, hogy egy PHP-szolgáltatás elérhető az internetről, és külső jellemzők alapján sebezhető lehet. Tényleges támadásokról ezek az összeszámlálások nem mondanak semmit.
Melyik szám fontos az én vállalatomnak?
A saját nyilvánosan elérhető PHP-rendszereinek száma, és hogy ezek közül mennyi bizonyíthatóan javított. A világszintű számok a méretet mutatják, de nem helyettesítik a saját leltárt.