Dažni klausimai
Atsakyta trumpai. Išsamesnės informacijos rasite susietuose žinių puslapiuose.
Kas yra PHP2Shell?
PHP2Shell yra du kritiniai pažeidžiamumai pačiame PHP (CVE-2026-109618 ir CVE-2026-109619, CVSS 9,2). Jie gali leisti užpuolikams vykdyti kenkėjišką kodą serveryje be prisijungimo. Pataisos prieinamos nuo 2026-10-21.
Kurios PHP versijos saugios?
Pataisymai įtraukti į PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35. Hostingo teikėjai ir distribucijos kartais įdiegia atgalinius pataisų perkėlimus (backport), nekeisdami versijos numerio. Lemia paketo būsena arba raštiškas teikėjo patvirtinimas.
Ar pakanka WordPress ar parduotuvės atnaujinimo?
Ne. Pažeidžiamumas yra PHP, o ne CMS. CMS atnaujinimas jo neuždaro. O PHP pataisa nepašalina kenkėjiško kodo, kuris buvo įterptas anksčiau.
Kaip greitai galite padėti?
Dirbame nuotoliu ir pradedame, kai tik gauname prieigos duomenis. Parašykite mums „WhatsApp“ žinute apie sistemą, PHP versiją ir pastebėjimus. Tada tiesiogiai suderinsime tolesnius veiksmus.
Ar dirbate ir agentūroms bei hostingo teikėjų klientams?
Taip. Dirbame tiesiogiai įmonėms, agentūrų užsakymu fone ir suderinę su jūsų hostingo teikėju, jei serverį valdo jis.
Ar turime pranešti apie incidentą?
Jei gali būti paveikti asmens duomenys, pagal BDAR 33 straipsnį paprastai taikomas 72 valandų pranešimo terminas nuo sužinojimo momento. Ar jis taikomas, išsiaiškinkite su savo duomenų apsaugos pareigūnu. Techninę dokumentaciją tam parengiame mes.
Ar PHP2Shell yra WordPress spraga?
Ne. Spragos glūdi PHP, t. y. programavimo kalboje, kuria veikia WordPress, Shopware, TYPO3 ir daugelis kitų sistemų. Todėl CMS atnaujinimas jų neuždaro. Lemia PHP būklė serveryje.
Ar kaip talpintojo klientas turiu ką nors daryti pats?
Bendrame talpinime (shared hosting) PHP atnaujinimą dažniausiai įdiegia talpintojas. Vis dėlto reikėtų paprašyti raštiško patvirtinimo, kad jūsų naudojama PHP versija pataisyta ir paleista iš naujo. Ar prieš pataisą kas nors įvyko, atnaujinimas neatsako.
Iš kur kilo pavadinimas PHP2Shell?
Pavadinimas apibūdina pasekmę: per PHP užpuolikas blogiausiu atveju gali gauti komandinę eilutę, t. y. apvalkalą (shell), serveryje. Oficialūs pavadinimai yra CVE numeriai CVE-2026-109618 ir CVE-2026-109619.
Ar mano svetainė jau buvo užpulta, jei ji buvo atjungta nuo tinklo?
Nebūtinai. Kai kurie teikėjai svetaines atjungė iš atsargumo, kaip rekomenduoja BSI (Vokietijos federalinė informacijos saugumo tarnyba), kai atnaujinti iš karto neįmanoma. Tai apsaugos priemonė, o ne atakos įrodymas.
Ar pakanka, kad mano talpintojas atnaujino PHP?
Gali pakakti, jei talpintojas raštu patvirtina paketų būseną ir visi PHP procesai buvo paleisti iš naujo. Vien rodoma versijos numerį įrodymu laikyti negalima, nes distribucijos įdiegia atgalinius perkėlimus (backports). Ar serveris buvo užpultas anksčiau, pataisa vis tiek neatsako.
Ar svetainė turi būti išjungta dėl skubios pagalbos?
Nebūtinai. BSI (Vokietijos federalinė informacijos saugumo tarnyba) rekomenduoja laikinai atjungti žiniatinklio serverius nuo tinklo, jei atnaujinti iš karto neįmanoma. Ar to reikia jums, kartu nusprendžiame po inventorizacijos.
Ar WordPress ar Shopware atnaujinimas apsaugo nuo PHP2Shell?
Ne. PHP2Shell glūdi pačiame PHP, o ne CMS. CMS atnaujinimas išlieka prasmingas, bet šios spragos neuždaro.
Kas vyksta esant PHP 8.1 ar senesnei versijai?
Šioms versijoms PHP projektas oficialių atnaujinimų nebeteikia, tėra minimalūs šaltinio kodo atgaliniai perkėlimai (backports) 7.4, 8.0 ir 8.1 versijoms. Serverį pereinamuoju laikotarpiu apsaugome ir kartu su jumis planuojame perėjimą prie palaikomos versijos.
Nuo kada skaičiuojamos 72 valandos?
Pagal BDAR 33 straipsnį nuo momento, kai duomenų valdytojas sužinojo apie pažeidimą. Kada tai laikytina įvykus konkrečiu atveju, yra teisinis vertinimas. Todėl tiksliai dokumentuokite, kada kas kokią informaciją turėjo.
Ar apie kiekvieną saugumo spragą reikia pranešti?
Ne. Vien spraga dar nėra asmens duomenų saugumo pažeidimas. Pranešimo pareiga gali atsirasti, jei yra požymių, kad pašaliniai asmenys turėjo ar galėjo turėti prieigą prie tokių duomenų ir dėl to kyla rizika susijusiems asmenims.
Ką daryti, jei po 72 valandų dar viską nežinau?
BDAR 33 straipsnio 4 dalis leidžia informaciją teikti etapais, jei jos neįmanoma pateikti vienu metu. Pavėluotą pranešimą reikia pagrįsti. Laukti visiško aiškumo todėl paprastai nėra priežastis leisti terminui pasibaigti.
Kas praneša, jei buvo paveiktas hostingo teikėjas?
Pranešti privalo duomenų valdytojas, t. y. paprastai įmonė, kuri eksploatuoja svetainę. Duomenų tvarkytojas, pavyzdžiui, hostingo teikėjas, pagal BDAR 33 straipsnio 2 dalį turi nedelsdamas informuoti duomenų valdytoją.
Kur pranešti apie duomenų pažeidimą?
Kompetentingai duomenų apsaugos priežiūros institucijai, įmonėms dažniausiai tos federalinės žemės institucijai, kurioje jos turi buveinę. Dauguma institucijų tam siūlo internetines formas.
Kiekviena valanda svarbi. Parašykite mums dabar.
Trumpai aprašykite sistemą, PHP versiją ir pastebėjimus. Mes atsakysime, išsiaiškinsime padėtį ir dirbsime nuotoliu, kol incidentas bus užbaigtas ir dokumentuotas.