Trumpai: PHP veikia ne tik žiniatinklio serveriuose, bet ir NAS sistemų, ugniasienių bei specializuotų įrenginių žiniatinklio sąsajose arba žiniatinklio serverio paketuose, kuriuos įdiegėte NAS. Ar įrenginys paveiktas PHP2Shell, gali pasakyti tik gamintojas; atnaujinimas ateina per programinę įrangą (firmware). Jūsų uždavinys yra tuos įrenginius surasti, jų žiniatinklio sąsajas išimti iš interneto ir sekti gamintojų pranešimus.
Kodėl įrenginiai su žiniatinklio sąsaja priklauso PHP klausimui
Kai kalbama apie PHP2Shell, dauguma galvoja apie įmonės svetainę ar internetinę parduotuvę. Tačiau PHP slypi ir įrenginiuose, kurių niekas nelaiko žiniatinklio serveriais. Jie stovi serverinėje ar biure, turi valdymo žiniatinklio sąsają ir dažnai metų metus veikia be dėmesio.
Pasak php.net, pažeidžiamumai CVE-2026-109618 ir CVE-2026-109619 liečia patį PHP veikimo režimuose PHP-FPM, Apache su mod_php, php-cgi, FrankenPHP ir LiteSpeed. Jei įrenginio žiniatinklio sąsaja naudoja vieną iš šių režimų su pažeidžiama versija, rizika ten tokia pati. Skirtumas: PHP įrenginyje paprastai patys atnaujinti negalite.
Kad tokios sistemos pamirštamos, turi apčiuopiamų priežasčių. Dažnai jas sukonfigūravo paslaugų teikėjas, kuris jau seniai nebeprižiūri. Programinės įrangos atnaujinimai nevyksta automatiškai, o reikalauja paspaudimo, kurio niekas nepadaro. O kai kurie įrenginiai turi patogias nuotolinės prieigos funkcijas, kurios žiniatinklio sąsają be IT žinios padaro pasiekiamą iš interneto. Esant PHP saugumo spragai, kaip PHP2Shell, iš šio patogumo tampa rizika.
PHP saugumo spraga NAS ir įrenginiuose: kokios sistemos tinka
Čia įvardijame įrenginių rūšis, o ne teiginį apie atskirus modelius. Ar tam tikra programinė įranga paveikta, nurodyta tik gamintojo pranešimuose.
| Įrenginio rūšis | Kaip PHP patenka į paveikslą | Kas atnaujina |
|---|---|---|
| NAS su žiniatinklio serverio paketu | Jūs NAS veikiate savo PHP svetaines ar programas | gamintojas teikia PHP paketą, jūs jį įdiegiate |
| Ugniasienių ir maršrutizatorių distribucijos | Valdymo sąsajos dalys parašytos PHP | gamintojas per programinę įrangą |
| Specializuoti įrenginiai su žiniatinklio sąsaja | pvz., telefonų stotelės, darbo laiko apskaita, pastatų technika, jei gamintojas naudoja PHP | gamintojas arba specializuotas pardavėjas |
| Virtualūs įrenginiai (appliances) | iš anksto sukonfigūruotos VM su sava žiniatinklio sąsaja | gamintojas per atnaujinimo atvaizdą |
| Konteineriai NAS | PHP programos Docker konteineriuose | jūs, per naują atvaizdą |
Du įrodyti pavyzdžiai: Synology Web Station leidžia veikti PHP svetainėms su pasirenkamais PHP profiliais ir paskelbė PHP 7.3, 7.4 ir 8.0 palaikymo pabaigą DSM 7.3. Netgate saugumo pranešimai apie pfSense aprašo sąsajos PHP failus ir PHP klaidų pranešimus. Tai rodo tik tai, kad PHP ten pasitaiko, o ne tai, kad šiuos produktus paveikė PHP2Shell.
Inventorius: kaip rasti pamirštas sistemas
Svarbiausias žingsnis yra sąrašas. Daugelis įmonių tiksliai žino, kokias svetaines eksploatuoja, bet ne tai, kurie įrenginiai turi žiniatinklio sąsają. Kaip atrodo nuolatinis inventorius, aprašo straipsnis Visų svetainių ir serverių inventorius.
- Aprėpti tinklą: surinkti įrenginius iš DHCP sąrašo, komutatoriaus ar ugniasienės apžvalgos.
- Pažymėti žiniatinklio sąsajas: prie kiekvieno įrenginio užsirašyti, ar jis valdomas per HTTP ar HTTPS.
- Patikrinti atidarymus: išvardyti prievadų peradresavimus ir nuotolinės prieigos paslaugas maršrutizatoriuje. Kiekviena iš interneto pasiekiama žiniatinklio sąsaja keliama į sąrašo viršų.
- Priskirti gamintoją: užfiksuoti modelį, programinės įrangos versiją ir nuorodą į gamintojo saugumo pranešimus.
- Užfiksuoti savo paslaugas: NAS sistemose įdiegtus žiniatinklio serverio paketus ir konteinerius įvardyti atskirai.
Pirmą užuominą galima gauti nekenksminga antraščių užklausa. Komanda tik atsisiunčia pradžios puslapį ir nieko nekeičia:
# Rodyti žiniatinklio sąsajos serverio antraštes (adresas kaip pavyzdys)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Jei ten yra PHP užuomina, tai orientyras. Jei jos nėra, tai nieko neįrodo, nes daugelis įrenginių tokius duomenis tyčia slepia.
Ką galite daryti, kai patys pataisyti negalite
Įrenginiuose pataisa yra gamintojo reikalas. Pasiekiamumas yra jūsų, ir būtent čia yra didžiausias svertas. BSI (Vokietijos Federalinė informacijos saugumo tarnyba) esant PHP2Shell rekomenduoja žiniatinklio serverius be atnaujinimo laikinai atjungti nuo tinklo; įrenginių valdymo sąsajoms tai tuo labiau galioja pagal prasmę.
- Išimti iš interneto: pašalinti prievadų peradresavimus į žiniatinklio sąsajas ir nuotolinę prieigą leisti tik per VPN.
- Atskirti valdymo tinklą: žiniatinklio sąsajas padaryti pasiekiamas tik iš atskiro tinklo srities administratoriams. Pagrindą rasite straipsnyje Administravimo zonų apsauga.
- Išjungti nenaudojamą: išjungti žiniatinklio serverio paketus ar programas NAS, kurių niekas nebenaudoja.
- Sekti programinės įrangos pranešimus: įjungti atnaujinimų pranešimus ir atnaujinimus diegti laiku, kai tik gamintojas juos išleidžia.
- Pakeisti senus įrenginius: įrenginių be gamintojo palaikymo nebeeksploatuoti pasiekiamų iš interneto ir suplanuoti jų pakeitimą.
Jei NAS veikiate savo PHP svetaines, joms galioja tas pats kaip bet kuriam žiniatinklio serveriui: patikrinti versiją, atnaujinti paketą, paleisti tarnybą iš naujo. Pažeidžiamumo pagrindus paaiškina Kas yra PHP2Shell?.
Kai įrenginys stovėjo atviras tinkle
Jei žiniatinklio sąsaja tarp spalio 17 ir 21 d. buvo pasiekiama iš interneto ir įrenginys paveiktas, jo neužtenka tik atnaujinti. Patikrinkite, ar nebuvo pakeistos paskyros, bendrinimai ar peradresavimai, išsaugokite turimus protokolus ir pakeiskite prisijungimo duomenis. Įrenginys, kuris buvo tinkle su užpuolikų, gali tarnauti kaip tramplinas į kitas sistemas.
Ugniasienių ir maršrutizatorių atveju tai ypač jautru, nes jie mato visą duomenų srautą. Abejojant patikimesnis nei atskirų pėdsakų paieška yra atstatymas į gamyklinius nustatymus su švaria nauja konfigūracija; prieš tai protokolai ir konfigūracija turėtų būti išsaugoti.
NAS atveju prisideda klausimas dėl duomenų. Ten dažnai laikomos sutartys, personalo dokumentai ar klientų duomenys. Jei užpuolikas galėjo prieiti prie įrenginio, reikia išsiaiškinti, ar gali būti paveikti asmens duomenys; tuomet gali kilti pranešimo pareiga pagal BDAR. Tai anksti aptarkite su savo duomenų apsaugos pareigūnu, tai nėra teisinė konsultacija.
Kaip PHP SOS padeda konkrečiai?
- Surašyti turimą įrangą: kartu su jumis užfiksuojame visas sistemas su žiniatinklio sąsaja, taip pat NAS, įrenginius (appliances) ir virtualias mašinas.
- Patikrinti pasiekiamumą: iš išorės tikriname, kurios sąsajos pasiekiamos iš interneto, ir siūlome apsaugas. Gilesnę patikrą siūlo saugumo auditas su skverbties testu.
- Sekti gamintojų padėtį: gamintojų saugumo pranešimus priskiriame jūsų įrenginiams ir planuojame atnaujinimus.
- Išsklaidyti įtarimą: jei paveiktas įrenginys stovėjo atviras tinkle, išsaugome protokolus ir tikriname, ar nėra pėdsakų.
Dažni klausimai
Ar mano NAS paveiktas PHP2Shell?
Tai gali įpareigojančiai pasakyti tik gamintojas jūsų modeliui ir programinei įrangai (firmware). Patikrinkite jo saugumo pranešimus ir tai, ar pačiame NAS veikia PHP svetainės, pavyzdžiui, per žiniatinklio serverio paketą. Kol nesuprasta, sąsaja neturėtų būti pasiekiama iš interneto.
Ar PHP NAS ar ugniasienėje galiu atnaujinti pats?
Paprastai ne. PHP ten yra programinės įrangos arba gamintojo paketo dalis. Atnaujinimai ateina per įrenginio atnaujinimo funkciją. Rankiniai įsikišimai į programinę įrangą gali pakenkti garantijai ir stabilumui.
Ar pakanka žiniatinklio sąsają naudoti tik vietiniame tinkle?
Tai gerokai sumažina riziką, bet jos nepanaikina. Jau pažeistas kompiuteris tame pačiame tinkle sąsają vis tiek gali pasiekti. Geriau naudoti atskirą valdymo tinklą arba prieigą tik per VPN.
Kaip atpažinti, kad įrenginys naudoja PHP?
Kartais tai išduoda serverio antraštė arba galūnė .php sąsajos adresuose. Tokių užuominų nebuvimas nieko neįrodo. Patikimi yra gamintojo dokumentacija ir saugumo pranešimai.