Trumpai: PHP saugumo spraga PHP2Shell yra dvi kritinės PHP, daugelio svetainių ir internetinių parduotuvių pagrindo, klaidos. Per jas užpuolikai gali be slaptažodžio žiniatinklio serveriuose vykdyti kenkėjišką kodą. BSI (Vokietijos federalinė informacijos saugumo tarnyba) įspėja oranžiniu lygiu ir pataria: nedelsiant atnaujinti, kitaip paveiktus serverius laikinai atjungti nuo tinklo. Vadovybei tai šiandien reiškia: išsiaiškinti atsakomybę, pareikalauti atnaujinimo ir įrodymo, apsispręsti dėl išjungimo ir viską dokumentuoti.
Padėtis trimis sakiniais
2026 m. spalio 21 d. PHP projektas paskelbė atnaujinimus dviem kritinėms saugumo spragoms, žinomoms PHP2Shell pavadinimu. Paveiktas pats PHP, o ne konkretus produktas, todėl potencialiai kiekviena PHP veikianti svetainė, parduotuvė ir portalas. BSI paskelbė 3 įspėjimo lygį (oranžinis), saugumo įmonės praneša apie atakos bandymus, o patvirtintų sėkmingų plataus masto atakų, pasak BSI, iš pradžių nebuvo žinoma.
Institucijos, tokios kaip BKA (Vokietijos federalinė kriminalinės policijos tarnyba) ir kelios miestų savivaldybės, pasak žiniasklaidos pranešimų, atsargumo sumetimais išjungė savo svetaines. Tai buvo atsargumas, o ne atakos ženklas.
Ką PHP saugumo spraga reiškia vadovybei ir įmonėms
Klausimas ne tas, ar naudojate PHP. Beveik kiekviena įmonė jį kur nors naudoja: svetainė, parduotuvė, kandidatų portalas, klientų zona, intranetas, užklausų sistema, agentūros mikrosvetainė. Klausimas, ar šios sistemos atnaujintos ir kas už tai atsakingas.
Jei ataka pavyksta, užpuolikas blogiausiu atveju gali perimti serverį. Galimos pasekmės: duomenų nutekėjimas, pakeistas turinys, nukreipimai į sukčių svetaines, parduotuvės neveikimas arba serverio panaudojimas tolesnėms atakoms. Jei gali būti paveikti asmens duomenys, atsiranda pranešimo pareigos; BDAR 33 str. nustatytas terminas paprastai yra 72 valandos. Išsamiau apie tai skyrelyje BDAR pranešimo pareiga. Tai nėra teisinė konsultacija.
Kokios išlaidos ypatingu atveju paprastai atsiranda, vertina straipsnis Įsilaužimo išlaidų straipsniai.
Kur įmonėse PHP dažnai pamirštamas
Pagrindinę svetainę dauguma turi akiratyje. Dažniau pamirštamos pakraščio sistemos: išorinio teikėjo kandidatų portalas, ankstesnės kampanijos nukreipimo puslapis, partnerių zona pardavėjams, pagalbos tarnybos užklausų sistema, failų debesis nuosavame serveryje arba tinklo saugyklos žiniatinklio sąsaja. Agentūrų bandomosios sistemos taip pat dažnai viešai pasiekiamos ir veikia tame pačiame serveryje kaip tikroji svetainė.
Vadovybei pamoka paprasta: klausimas IT turi skambėti ne „Ar mūsų svetainė pataisyta?“, o „Ar visos mūsų PHP sistemos pataisytos, taip pat paslaugų teikėjų?“. Skirtumas tarp šių klausimų dažnai yra būtent ta vieta, kur ataka pasiseka.
Kuo padėtis nėra
Lygiai taip pat svarbus vertinimas ir žemyn. PHP2Shell nėra pagrindas aktyvizmui, kuris veiklą trikdo labiau nei būtina. Kas įrodomai pataisė, iš naujo paleido visus PHP procesus ir patikros metu neranda neįprastumų, gali grįžti prie įprasto režimo. Laikinas išjungimas yra galimybė neaiškiems atvejams, o ne pareiga visiems.
Penki klausimai jūsų IT ar paslaugų teikėjui
Šiuos klausimus galite uždaryti šiandien. Atsakymai turėtų ateiti raštu.
- Kurios mūsų sistemos veikia su PHP? Sąrašas su adresu, paskirtimi ir operatoriumi.
- Ar kiekviena sistema pataisyta? Ištaisyta versija 8.5.12, 8.4.27, 8.3.36 arba 8.2.35, arba teikėjo patvirtintas atgalinis perkėlimas (backport).
- Ar visi PHP procesai paleisti iš naujo? Be paleidimo iš naujo atnaujinimas neveikia.
- Kaip su sistemomis su PHP 8.1 ar senesne versija? Joms oficialių atnaujinimų nėra. Koks planas?
- Ar patikrinta, ar prieš atnaujinimą kas nors įvyko? Žurnalai nuo spalio 20 d. išsaugoti, pėdsakų ieškota?
Jei jūsų svetainė pas talpintoją, padeda oficialus prašymas. Pavyzdį pateikia vadovas Pareikalauti talpintojo PHP atnaujinimo patvirtinimo.
Sprendimai, kurie turėtų būti priimti šiandien
| Sprendimas | Galimybės | Pagrindas |
|---|---|---|
| Kas vadovauja? | atsakingas asmuo viduje, išorinis partneris | atsakomybė turi būti nedviprasmiška |
| Nepataisytos sistemos | nedelsiant taisyti, pereinamosios priemonės, laikinai išjungti | BSI rekomendacija, duomenų padėtis, svarba pajamoms |
| Pėdsakų patikra | viduje, išorėje, tik esant neįprastumų | duomenų serveryje apsaugos poreikis |
| Komunikacija | informuoti viduje, paruošti klientus, palaukti | padėtis po patikros |
| Senos sistemos | planuoti migraciją, izoliuoti, išjungti | PHP 8.1 ir senesnės be oficialių atnaujinimų |
Užfiksuokite, kas, kada ir kokiu informaciniu pagrindu ką nusprendė. Pakanka trumpos datuotos pastabos. Vėliau draudikų, klientų ar priežiūros institucijų atžvilgiu ji dažnai vertingesnė už bet kokį pavėluotą paaiškinimą.
Kodėl ši dokumentacija vadovybei svarbi, paaiškina puslapis Vadovybės atsakomybė už IT saugumo spragas. Tai bendra informacija, o ne teisinė konsultacija.
Kuo netikėti
Tris teiginius vadovai šiuo metu girdi dažnai, ir visi trys klaidingi:
- „Atnaujinome WordPress, vadinasi, esame saugūs.“ Spraga yra PHP, o ne CMS. CMS atnaujinimas jos neuždaro.
- „Esame per maži, mūsų niekas neužpuls.“ Atakos vyksta automatizuotai. Ieškoma pažeidžiamų serverių, o ne žinomų vardų.
- „Atnaujinimas įdiegtas, tad tema išspręsta.“ Pataisa nepašalina kenkėjiškos programinės įrangos, kuri buvo įterpta anksčiau, ir neįrodo, kad nieko neįvyko.
Kaip PHP SOS padeda konkrečiai?
- Padėties vaizdas vadovybei: Parengiame trumpą jūsų PHP sistemų apžvalgą su būsena ir rekomendacija kiekvienai sistemai.
- Įgyvendinimas: Taisome, paleidžiame iš naujo arba taikome pereinamąsias priemones ten, kur atnaujinimas dar neįmanomas.
- Patikra: Saugome žurnalus ir tikriname dėl atakos pėdsakų.
- Įrodymas: Gaunate dokumentaciją, kurią galite naudoti viduje ir trečiųjų šalių atžvilgiu.
Eigą aprašo PHP2Shell skubi pagalba.
Išvada
PHP2Shell yra techninė spraga su valdymo užduotimi. Techniką atlieka specialistai. Vadovybė pasirūpina, kad kažkas būtų atsakingas, kad į penkis klausimus būtų atsakyta ir kad sprendimai būtų priimami sąmoningai ir dokumentuojami. Tai telpa į vieną rytą, jei pradėsite šiandien.
Dažni klausimai
Ar vadovybė pati turi rūpintis PHP2Shell?
Techninio įgyvendinimo ne, bet valdymo taip. Vadovybė turėtų užtikrinti, kad atsakomybės aiškios, BSI rekomendacija įgyvendinama, o sprendimai, pavyzdžiui, dėl laikino išjungimo, priimami sąmoningai ir dokumentuojami.
Kaip paaiškinti spragą vienu sakiniu?
PHP, programinėje įrangoje, kuria veikia dauguma svetainių ir parduotuvių, yra dvi kritinės klaidos, per kurias nepažįstami asmenys be slaptažodžio gali serveryje paleisti programas; atnaujinimas yra ir jį reikia įdiegti.
Kiek kainuoja nieko nedaryti?
To negalima įvardyti bendrai. Galimos sėkmingos atakos pasekmės yra prastova, duomenų nutekėjimas, pranešimo pareigos, valymo ir forensikos sąnaudos bei klientų pasitikėjimo praradimas. Atnaujinimas su patikra paprastai reikalauja gerokai mažiau pastangų.
Ar pakanka, kad rūpinasi talpintojas?
Bendrinamame talpinime atnaujinimą paprastai įdiegia talpintojas. Paprašykite patvirtinimo raštu, įskaitant PHP procesų paleidimą iš naujo. Ar prieš atnaujinimą kas nors įvyko, patvirtinimas neatsako; tam reikia svetainės patikros.