# Ką BSI rekomenduoja dėl PHP2Shell

> BSI įspėjimas dėl PHP: ką reiškia 3 įspėjimo lygis (oranžinis) esant PHP2Shell, ką rekomenduoja BSI ir kaip tai praktiškai įgyvendinti žiniatinklio serveriams.

Šaltinis: https://phpsos.de/lt/compliance/bsi-empfehlungen/  
Būsena: 2026-10-25  
Teikėjas: PHP SOS, PHP avarinė pagalba ir serverio sauga. Skubi pagalba per „WhatsApp“: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20reikia%20pagalbos%20su%20m%C5%ABs%C5%B3%20PHP%20serveriu.%20%C4%AEmon%C4%97%3A%20%E2%80%A6%20Svetain%C4%97%3A%20%E2%80%A6

**Trumpai:** BSI (Vokietijos Federalinė informacijos saugumo tarnyba) dėl PHP2Shell paskelbė 3 įspėjimo lygį (oranžinį). Rekomendacija vienareikšmė: nedelsiant atnaujinti PHP, o jei to padaryti neįmanoma, paveiktus žiniatinklio serverius laikinai atjungti nuo tinklo. BSI tikėjosi greito plataus išnaudojimo; patvirtintų sėkmingų atakų plačiu mastu iš pradžių nebuvo žinoma.

## BSI įspėjimas dėl PHP trumpai

Bundesamt für Sicherheit in der Informationstechnik (BSI, Vokietijos Federalinė informacijos saugumo tarnyba) yra pagrindinė Vokietijos kibernetinio saugumo specializuota institucija. Dėl PHP2Shell ji paskelbė 3 lygio (oranžinį) įspėjimą. Priežastis yra du kritiniai pažeidžiamumai pačiame PHP: CVE-2026-109618 ir CVE-2026-109619, abu įvertinti CVSS v4.0 9,2. Jie leidžia užpuolikams vykdyti kenkėjišką kodą serveryje be prisijungimo.

Pagrindinius įspėjimo teiginius galima apibendrinti taip:

| Teiginys | Reikšmė operatoriams |
|---|---|
| 3 įspėjimo lygis / oranžinis | rimta padėtis, reikia veikti |
| Rekomenduojamas nedelsiamas atnaujinimas | įdiegti ištaisytas PHP versijas |
| Kitaip laikinai atjungti nuo tinklo | pasiekiamumą pajungti apsaugai |
| Tikimasi greito plataus išnaudojimo | nelaukti pirmųjų pranešimų apie žalą |
| Sėkmingos atakos plačiu mastu iš pradžių nepatvirtintos | nėra pagrindo nusiraminti |

Aktualią versiją kiekvienu metu rasite BSI svetainėje.

## Ką praktiškai reiškia „nedelsiant atnaujinti“

PHP projektas 2026-10-21 14:00 UTC (16 val. Vokietijos laiku) paskelbė ištaisytas versijas: PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. PHP 8.1 ir senesnėms versijoms oficialių atnaujinimų nebėra, yra tik minimalūs atgaliniai pataisų perkėlimai šaltinio kode 7.4, 8.0 ir 8.1.

Atnaujinimas veikia tik tada, kai visi PHP procesai paleisti iš naujo. Vien naujų failų nepakanka, kol atmintyje veikia seni darbiniai procesai (worker). Be to, galioja: distribucijos ir hostingo teikėjai pataisymus kartais įdiegia kaip backport. Tuomet, pavyzdžiui, Plesk toliau rodo 8.2.34, nors pataisyta. Lemia paketų būsena ir teikėjo patvirtinimas. O CMS atnaujinimas, pavyzdžiui, WordPress, PHP pažeidžiamumo neuždaro.

## Jei atnaujinimas neįmanomas nedelsiant

Tokiu atveju BSI rekomenduoja žiniatinklio serverius laikinai atjungti nuo tinklo. Tai griežta priemonė, bet aiški. Daugeliui įmonių planuotas kelių valandų sutrikimas yra mažiau žalingas nei įsilaužimas su duomenų nutekėjimu.

php.net papildomai nurodo pereinamąsias priemones, kurios mažina riziką, bet aiškiai nesuteikia visiškos apsaugos. Prie jų priklauso `session.upload_progress.enabled=0` serverio konfigūracijoje, apribotos `post_max_size` reikšmės, atminties ribos per konteinerius ar cgroups ir PHP 8.5 `fatal_error_backtraces=0`, kiekvieną kartą po to iš naujo paleidžiant visus worker. Išsamiau rašoma puslapyje [Skubios priemonės be pataisos](https://phpsos.de/lt/php2shell/sofortmassnahmen-ohne-patch/).

> **Veikti nedelsiant:**
> Jei viešai pasiekiamas žiniatinklio serveris vis dar veikia su nepataisytu PHP ir be pereinamųjų priemonių, iš BSI rekomendacijos išplaukia: atjunkite serverį nuo tinklo, kol atnaujinimas bus įdiegtas ir visi procesai paleisti iš naujo.

## Padėties vertinimas

BSI savo vertinime nėra vienas. Cloudflare pranešė apie pastebėtus atakų bandymus ir išvyniojo apsaugos taisykles, bet įspėja, kad vien taisyklių pagal užklausos duomenis nepakanka. Palo Alto Networks (Unit 42) suskaičiavo daugiau nei 22,6 mln. viešai pasiekiamų, potencialiai pažeidžiamų instancijų. Pasak žiniasklaidos pranešimų, pirmasis atakos bandymas pastebėtas jau 2026-10-17, t. y. prieš paskelbiant pataisas.

Operatoriams iš to išplaukia blaivus vertinimas: kas iki šiol nepataisė, turėtų ne tik pataisyti, bet ir patikrinti, ar jau kas nors neįvyko. Pataisa nepašalina įterptos kenkėjiškos programinės įrangos. Paskelbtų, patvirtintų Indicators of Compromise nėra; aptikimas remiasi elgsenos analize. Specializuota spauda pataria saugoti serverio žurnalus nuo 2026-10-20. Paieškos nurodymų rasite puslapyje [Ar jau esu kompromituotas?](https://phpsos.de/lt/php2shell/bin-ich-gehackt-anzeichen/).

## Ką rekomendacija reiškia atsakingiems asmenims

BSI įspėjimas nėra įstatymas. Bet tai yra kompetentingos specializuotos institucijos vertinimas, kuris gali turėti reikšmės vėliau vertinant sprendimus, pavyzdžiui, draudikams ar auditoriams. Todėl vadovybė turėtų dokumentuoti, kada sužinojo apie įspėjimą, kaip įvertino savo sistemas ir kokių priemonių ėmėsi. Bendrus nurodymus rasite puslapyje [Vadovybės atsakomybė](https://phpsos.de/lt/compliance/geschaeftsfuehrer-haftung/); tai nėra teisinė konsultacija.

Praktikoje rekomenduojama įspėjimą skaityti ne tik vieną kartą. BSI atnaujina savo pranešimus, kai keičiasi padėtis, pavyzdžiui, atsiradus naujų žinių apie išnaudojimą ar kitus pažeidžiamumus. Nuo 2026-10-23 yra ir php.net pastaba dėl CVE-2026-115560, kuri liečia tik neįprastas konfigūracijas ir taip pat švelninama su `session.upload_progress.enabled=0`. Paskirkite asmenį, kuris iki padėties pabaigos kasdien tikrintų BSI ir php.net bei perduotų pakeitimus technikai ir vadovybei. Taip nesusidaro žinių skirtumo tarp sprendžiančiųjų ir įgyvendinančiųjų.

## Kaip PHP SOS padeda konkrečiai?

- Palyginame jūsų žiniatinklio serverius su BSI rekomendacija: versija, paketų būsena, paleidimas iš naujo, pasiekiamumas.
- Pagal [PHP2Shell skubią pagalbą](https://phpsos.de/lt/leistungen/php2shell-soforthilfe/) pataisome, iš naujo paleidžiame visus procesus ir pateikiame įrodymą.
- Kur atnaujinimas neįmanomas nedelsiant, nustatome pereinamąsias priemones ir prireikus parengiame statinį pakaitinį puslapį.
- Išsaugome žurnalus ir tikriname dėl pėdsakų, kad po pataisos galėtumėte patikimai įvertinti padėtį.


## Dažni klausimai

**Ką reiškia 3 įspėjimo lygis (oranžinis) pas BSI?**  
Spalva apibūdina padidėjusią, rimtą grėsmių padėtį, kai reikia imtis veiksmų. Esant PHP2Shell, BSI tai pagrindžia pažeidžiamumų kritiškumu ir tikėtinu greitu išnaudojimu. Tikslų lygių apibrėžimą rasite BSI svetainėje.

**Ar privalau laikytis BSI rekomendacijos?**  
BSI įspėjimas yra rekomendacija, o ne įstatymas. Tačiau tai yra svarbus kompetentingos specializuotos institucijos vertinimas, kuriuo gali remtis draudikai, auditoriai ir teismai. Kas nukrypsta, turėtų dokumentuoti priežastis. Tai nėra teisinė konsultacija.

**Ar pasak BSI jau buvo sėkmingų atakų?**  
Pasak BSI, patvirtintų sėkmingų atakų plačiu mastu iš pradžių nebuvo žinoma. Tačiau BSI tikėjosi greito plataus išnaudojimo. Kitos institucijos jau pranešė apie atakų bandymus.

**Kur rasti aktualią įspėjimo versiją?**  
BSI svetainėje, aktualių saugumo įspėjimų skiltyje. Padėtis gali keistis; ten ir php.net reguliariai tikrinkite naujausią būseną.

## Šaltiniai

- [BSI](https://www.bsi.bund.de/)
- [php.net: saugumo pranešimai](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [TechTarget: PHP2Shell](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)