Röviden: A PHP nemcsak webszervereken fut, hanem NAS-rendszerek, tűzfalak és célberendezések webes felületében, vagy olyan webszerver-csomagokban is, amelyeket Ön telepített egy NAS-ra. Hogy egy eszközt érint-e a PHP2Shell, azt csak a gyártó mondhatja meg; a frissítés a firmware-en keresztül érkezik. Az Ön feladata ezeknek az eszközöknek a megkeresése, a webes felületeik levétele az internetről és a gyártói közlemények követése.
Miért tartoznak a webes felületű eszközök a PHP-kérdéshez
Amikor a PHP2Shellről beszélnek, a legtöbben a céges weboldalra vagy a webshopra gondolnak. Pedig a PHP olyan eszközökben is ott van, amelyeket senki sem tekint webszervernek. A szerverteremben vagy az irodában állnak, a felügyeletükhöz webes felület tartozik, és gyakran évekig futnak figyelem nélkül.
A CVE-2026-109618 és a CVE-2026-109619 rések a php.net szerint magát a PHP-t érintik a PHP-FPM, az Apache mod_php-val, a php-cgi, a FrankenPHP és a LiteSpeed üzemmódban. Ha egy eszköz webes felülete ezen üzemmódok egyikét használja sebezhető verzióval, a kockázat ott ugyanúgy fennáll. A különbség: a PHP-t az eszközön általában nem tudja maga frissíteni.
Az ilyen rendszerek elfelejtésének kézzelfogható okai vannak. Gyakran egy szolgáltató állította be őket, aki már rég nem gondozza őket. A firmware-frissítések nem maguktól futnak, hanem egy kattintást igényelnek, amelyet senki sem tesz meg. Egyes eszközök kényelmes távoli hozzáférési funkciókkal érkeznek, amelyek az informatika tudta nélkül elérhetővé teszik a webes felületet az internetről. Egy olyan PHP-biztonsági résnél, mint a PHP2Shell, ebből a kényelemből kockázat lesz.
PHP-biztonsági rés NAS-on és appliance-eken: mely rendszerek jöhetnek szóba
Itt eszköztípusokat nevezünk meg, nem állítunk semmit egyes modellekről. Hogy egy adott firmware érintett-e, kizárólag a gyártó közleményeiből derül ki.
| Eszköztípus | Hogyan kerül képbe a PHP | Ki frissít |
|---|---|---|
| NAS webszerver-csomaggal | Saját PHP-weboldalakat vagy alkalmazásokat üzemeltet a NAS-on | A gyártó szállítja a PHP-csomagot, Ön telepíti |
| Tűzfal- és útválasztó-disztribúciók | A felügyeleti felület egyes részei PHP-ban íródtak | A gyártó a firmware-en keresztül |
| Webes felületű célberendezések | pl. telefonközpontok, munkaidő-nyilvántartás, épületgépészet, ha a gyártó PHP-t használ | A gyártó vagy a szakkereskedő |
| Virtuális appliance-ek | előre konfigurált virtuális gépek saját webes felülettel | A gyártó frissítési image-en keresztül |
| Konténerek a NAS-on | PHP-alkalmazások Docker-konténerekben | Ön, új image-en keresztül |
Két igazolt példa: a Synology a Web Stationben PHP-weboldalakat enged üzemeltetni választható PHP-profilokkal, és bejelentette a PHP 7.3, 7.4 és 8.0 támogatásának végét a DSM 7.3 alatt. A Netgate pfSense-re vonatkozó biztonsági közleményei a webes felület PHP-fájljait és PHP-hibaüzeneteit írják le. Ez csak azt mutatja, hogy a PHP ott előfordul, nem azt, hogy ezeket a termékeket érinti a PHP2Shell.
Leltár: így találja meg az elfelejtett rendszereket
A legfontosabb lépés egy lista. Sok vállalat pontosan tudja, melyik weboldalakat üzemelteti, de azt nem, melyik eszköznek van webes felülete. Hogyan néz ki egy tartós leltár, azt a Az összes weboldal és szerver leltára cikk írja le.
- Hálózat felmérése: Gyűjtse össze az eszközöket a DHCP-listából, a switch vagy a tűzfal áttekintéséből.
- Webes felületek megjelölése: Minden eszköznél jegyezze fel, hogy HTTP-n vagy HTTPS-en keresztül kezelik-e.
- Engedélyek ellenőrzése: Sorolja fel az útválasztóban a portátirányításokat és a távoli hozzáférési szolgáltatásokat. Minden, az internetről elérhető webes felület a lista elejére kerül.
- Gyártó hozzárendelése: Jegyezze fel a modellt, a firmware állapotát és a gyártó biztonsági közleményeire mutató linket.
- Saját szolgáltatások felvétele: A NAS-rendszereken telepített webszerver-csomagokat és konténereket külön tüntesse fel.
Az első támpont egy ártalmatlan fejléclekérdezéssel szerezhető. A parancs csak a nyitóoldalt kéri le, és semmit sem változtat:
# Egy webes felület szerverfejléceinek megjelenítése (a cím példa)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Ha ott PHP-re utaló jelzés áll, az támpont. Ha hiányzik, az nem bizonyít semmit, mert sok eszköz szándékosan elnyomja az ilyen adatokat.
Mit tehet, ha nem tud maga javítani
Eszközöknél a javítás a gyártónál van. Az elérhetőség Önnél van, és éppen ott a legnagyobb a mozgástere. A BSI (a német szövetségi információbiztonsági hivatal) a PHP2Shellnél azt javasolja, hogy a frissítés nélküli webszervereket átmenetileg vegyék le a hálózatról; az eszközök felügyeleti felületeire ez értelemszerűen még inkább érvényes.
- Levétel az internetről: Távolítsa el a webes felületekre mutató portátirányításokat, és a távoli hozzáférést csak VPN-en keresztül engedélyezze.
- A felügyeleti hálózat elválasztása: A webes felületeket csak egy külön hálózati tartományból tegye elérhetővé az adminisztrátorok számára. A hátteret az Admin területek elzárása cikk ismerteti.
- A nem használt kikapcsolása: Kapcsolja ki a NAS-on azokat a webszerver-csomagokat vagy alkalmazásokat, amelyekre senkinek sincs szüksége.
- Firmware-közlemények követése: Kapcsolja be a frissítési értesítéseket, és a frissítéseket késedelem nélkül telepítse, amint a gyártó kiadja őket.
- Régi eszközök cseréje: A gyártói támogatás nélküli eszközöket ne üzemeltesse tovább az internetről elérhetően, és tervezze meg a cserét.
Ha egy NAS-on saját PHP-weboldalakat üzemeltet, ezekre ugyanaz érvényes, mint bármely webszerverre: a verzió ellenőrzése, a csomag frissítése, a szolgáltatás újraindítása. A rés alapjait a Mi a PHP2Shell? oldal magyarázza.
Ha egy eszköz nyitva állt a hálózaton
Ha egy webes felület október 17. és 21. között elérhető volt az internetről, és az eszköz érintett, nem elég frissíteni. Ellenőrizze, hogy módosítottak-e fiókokat, megosztásokat vagy átirányításokat, mentse a rendelkezésre álló naplókat, és változtassa meg a hozzáférési adatokat. Az az eszköz, amely egy támadóval volt a hálózatban, ugródeszkaként szolgálhat más rendszerekhez.
Tűzfalaknál és útválasztóknál ez különösen kényes, mert a teljes adatforgalmat látják. Kétség esetén a gyári beállítások visszaállítása tiszta újrakonfigurálással megbízhatóbb, mint az egyes nyomok keresése; előtte a naplókat és a konfigurációt le kell menteni.
NAS esetén az adatok kérdése is felmerül. Ott gyakran szerződések, személyzeti iratok vagy ügyféladatok vannak. Ha a támadó hozzáférhetett az eszközhöz, tisztáznia kell, hogy érintettek lehetnek-e személyes adatok; ekkor a GDPR szerinti bejelentési kötelezettség állhat fenn. Egyeztessen erről korán az adatvédelmi felelősével, ez nem jogi tanácsadás.
Hogyan segít konkrétan a PHP SOS?
- Állomány felvétele: Önnel együtt felmérjük az összes webes felületű rendszert, a NAS-t, az appliance-eket és a virtuális gépeket is.
- Az elérhetőség ellenőrzése: Kívülről ellenőrizzük, mely felületek érhetők el az internetről, és elzárási javaslatokat teszünk. Mélyebb vizsgálatot kínál a Biztonsági audit penetrációs teszttel.
- A gyártói helyzet követése: A gyártók biztonsági közleményeit hozzárendeljük az eszközeihez, és megtervezzük a frissítéseket.
- A gyanú tisztázása: Ha egy érintett eszköz nyitva állt a hálózaton, mentjük a naplókat, és nyomok után kutatunk.
Gyakori kérdések
Érinti a NAS-omat a PHP2Shell?
Ezt kötelező érvénnyel csak a gyártó mondhatja meg az Ön modelljére és firmware-ére vonatkozóan. Nézze meg a gyártó biztonsági közleményeit, és azt, hogy üzemeltet-e PHP-weboldalakat magán a NAS-on, például egy webszerver-csomagon keresztül. A tisztázásig a felület ne legyen elérhető az internetről.
Frissíthetem magam a PHP-t egy NAS-on vagy tűzfalon?
Általában nem. A PHP ott a firmware vagy egy gyártói csomag része. A frissítések az eszköz frissítési funkcióján keresztül érkeznek. A firmware-be való kézi beavatkozás veszélyeztetheti a garanciát és a stabilitást.
Elég, ha a webes felületet csak a helyi hálózaton használom?
Jelentősen csökkenti a kockázatot, de nem szünteti meg. Egy már feltört gép ugyanabban a hálózatban továbbra is elérheti a felületet. Jobb egy külön felügyeleti hálózat vagy a hozzáférés kizárólag VPN-en keresztül.
Honnan tudom, hogy egy eszköz PHP-t használ?
Néha elárulja a szerver fejléce vagy a .php végződés a felület címeiben. Ha ilyen jelek hiányoznak, az nem bizonyít semmit. Megbízható a gyártói dokumentáció és a biztonsági közlemények.