Īsi sakot: Pie pierādītajiem PHP2Shell faktiem pieder abi CVE numuri, novērtējums CVSS v4.0 9.2, labotās PHP versijas un php.net pagaidu pasākumi. Pierādīta ir arī BSI (Vācijas Federālais informācijas drošības birojs) oranžā brīdinājuma pakāpe. Nav pierādīts novērtējums CVSS 10, apstiprināti veiksmīgi uzbrukumi plašā mērogā un atpazīšanas pazīmju saraksts. Kas šos trīs līmeņus nošķir, pieņem labākus lēmumus.
Kāpēc PHP2Shell nepieciešama faktu pārbaude
Reti kura drošības ievainojamība pēdējos gados tik ātri radījusi tik daudz virsrakstu. Jau pirms PHP komanda 2026. gada 21. oktobrī publicēja atjauninājumus, saskaņā ar ziņojumiem cirkulēja foruma ieraksti, ekrānšāviņi un it kā detaļas. Pēc tam sekoja iestāžu brīdinājumi, ražotāju emuāri, eksponēto serveru skaitījumi un padomu plūdi.
Operatoriem tas nozīmē: ne katram skaitlim un ne katram padomam ir vienāda kvalitāte. Daļa nāk no primārajiem avotiem, daļa no nopietnas ziņu atspoguļošanas, daļa no spekulācijām. Šajā rakstā ir sakārtots, ko savos lēmumos varat izmantot kā drošu informāciju. Pašas ievainojamības pamatus izskaidro lapa Kas ir PHP2Shell?.
Kuram avotam kāds svars
Vienkārša secība palīdz lasīt katru ziņojumu:
- php.net: PHP projekts ir primārais avots CVE numuriem, novērtējumiem, skartajiem darbības režīmiem, labotajām versijām un pagaidu pasākumiem. To, kā projekts principā izturas pret drošības paziņojumiem, apraksta mūsu raksts par PHP drošības procesu.
- Iestādes: BSI sniedz situācijas novērtējumu Vācijā un rīcības ieteikumus, CERT-EU un CERT-Bund (Vācijas valdības CERT) tos papildina.
- Distributīvi un pakalpojumu sniedzēji: Debian, Ubuntu, Red Hat, hostinga sniedzēji un platformu pakalpojumi saistoši var izteikties tikai par savām pakotnēm un pakalpojumiem.
- Drošības uzņēmumi: Cloudflare, Unit 42, CybelAngel un citi ziņo no saviem mērījumiem. Vērtīgi, taču katram sava metode.
- Mediji un sociālie tīkli: Labi tempam, vāji detaļām. Šo avotu apgalvojumiem nepieciešams apstiprinājums augstākā līmenī.
Pierādīts, ziņots, nepierādīts: pārskats
Tālāk tabulā sakārtoti biežākie apgalvojumi. “Pierādīts” nozīmē: primārais avots vai iestāde. “Ziņots” nozīmē: no medijiem vai ražotāju datiem, nav neatkarīgi apstiprināts.
| Apgalvojums | Vērtējums | Pamatojums |
|---|---|---|
| Divas ievainojamības, CVE-2026-109618 un CVE-2026-109619 | pierādīts | php.net |
| Novērtējums CVSS v4.0 9.2, kritisks | pierādīts | php.net |
| Novērtējums CVSS 10 | nav pamatots | saskaņā ar ziņojumiem no foruma ieraksta pirms paziņojuma |
| Labots 8.5.12, 8.4.27, 8.3.36, 8.2.35 | pierādīts | php.net |
| mod_php ar augstāko risku, exploit demonstrēts pirms lietojumprogrammas koda | pierādīts | php.net |
| Skartas gandrīz visas versijas līdz PHP 5.4 | ziņots | speciālā prese |
| Pirmais uzbrukuma mēģinājums 17.10. | ziņots | mediju ziņojumi, atsaucoties uz Amazon |
| Vairāk nekā 22,6 milj. eksponētu instanču | ziņots | Unit 42, saskaņā ar TechTarget |
| Veiksmīgi uzbrukumi plašā mērogā | nepierādīts | saskaņā ar BSI sākotnēji nav zināmi |
| Apstiprināti kompromitācijas indikatori (Indicators of Compromise) | nav | nav publicēti |
| Pagaidu pasākumi aizsargā pilnībā | nepareizi | php.net tos tieši nosauc par nepilnīgiem |
Uzkrītoši, cik agri skaitļi kļūst patstāvīgi. Novērtējums 10.0 no foruma ieraksta vēl pēc dažām dienām parādījās rakstos, lai gan PHP komanda sen bija publicējusi 9.2.
Kur patiesībā slēpjas nenoteiktība
Lielākais atklātais jautājums nav tehnisks, bet laika: kas ir noticis laikā starp pirmo ziņoto uzbrukuma mēģinājumu un ielāpu atsevišķos serveros? Vispārīgas atbildes uz to nav. Cloudflare un Patchstack ziņoja par uzbrukuma mēģinājumiem, watchTowr pēc paša teiktā ir atveidojis CVE-2026-109618. Huntress savukārt sava ziņojuma laikā partneru vidēs uzbrukumus neredzēja.
Šie apgalvojumi viens otram nepretrunā. Tie apraksta dažādus izcirtumus: lielu starpniekserveru pakalpojumu, spraudņu drošības uzņēmumu, pētnieku komandu un uzņēmumu ar savu klientu bāzi. Kopaina no tiem neveidojas.
Līdzīgi ir ar jautājumu, kuras versijas ir skartas. 8.2 līdz 8.5 situācija ir skaidra. Vecākiem atzariem ir minimāli pirmkoda backport labojumi 7.4, 8.0 un 8.1, bet nav oficiālu laidienu. Kas atrodas pirms tam, saskaņā ar speciālo presi gandrīz bez izņēmuma ir skarts. Jūsu plānošanai tam gandrīz nav nozīmes: serveris ar PHP 8.1 vai vecāku bez apstiprināta backport jāuzskata par apdraudētu.
Uzbrukumu pierādījumu trūkums nav drošības pierādījums. Tā kā apstiprinātu atpazīšanas pazīmju nav, uzbrukumu atsevišķam serverim var novērtēt tikai, pārbaudot uzvedību, nevis pēc saraksta.
Ko no tā secināt jūsu serveriem
No pierādītajiem faktiem izriet daži skaidri soļi. No nepierādītajiem galvenokārt izriet piesardzība.
- Pārbaudīt ielāpa stāvokli: labota versija vai pakalpojuma sniedzēja apstiprināts backport. Ar rādīto versijas numuru vien nepietiek.
- Pārstartēt visus PHP procesus: Jaunie faili stājas spēkā tikai tad, kad vairs nedarbojas veci procesi.
- Saglabāt žurnālus no 20.10.: Speciālā prese to iesaka, lai vēlāka pārbaude paliktu iespējama.
- Meklēt pēdas: Jauni PHP faili augšupielādes mapēs, nezināmi cronjobs, tīmekļa servera procesi ar shell. Pārbaudi izskaidro lapa Vai esmu jau kompromitēts?.
- Pārbaudīt padomus: Padomus no forumiem un sociālajiem tīkliem ieviest tikai tad, ja tos var atsaukt uz php.net vai iestādi. Kuri ieteikumi pašlaik kaitē, apkopo raksts Bīstami nepareizi padomi par PHP2Shell.
Iekšējai komunikācijai palīdz tāds pats nošķīrums. Kas vadībai atsevišķi iesniedz “pierādīts”, “ziņots” un “atklāts”, izvairās gan no panikas, gan no nepamatotas atslābināšanās.
Kā PHP SOS palīdz konkrēti?
- Situācija jūsu sistēmām: Mēs pārnesam pierādītos faktus uz jūsu serveriem un dokumentācijā nošķiram, kas ir izmērīts, kas ziņots un kas atklāts.
- Ielāps un apliecinājums: Mēs pārbaudām pakotņu stāvokli un katra PHP pakalpojuma pārstartēšanu un to fiksējam rakstiski.
- Pēdu pārbaude: Mēs saglabājam žurnālus no 20. oktobra un meklējam uzvedības novirzes, līdz incidents ir noslēgts un dokumentēts.
- Pastāvīgs novērtējums: Jaunos ziņojumus mēs novērtējam jūsu vietā, pirms no tiem top pasākumi.
Norisi apraksta PHP2Shell tūlītējā palīdzība.
Secinājums
PHP2Shell ir nopietna, un tas ir labi pierādīts. Tieši tāpēc vērts skatīties atturīgi: primārie avoti ir pietiekami visiem svarīgajiem lēmumiem. Kas cirkulē papildus, bieži ir ātrāks nekā precīzs. Ielāpot, pārstartēt, saglabāt žurnālus un meklēt pēdas joprojām ir atbilde neatkarīgi no tā, kurš skaitlis tieši tagad tiek apspriests.
Biežāk uzdotie jautājumi
Vai PHP2Shell ir novērtēta ar CVSS 10?
Nē. Skaitlis 10 saskaņā ar ziņojumiem nāk no foruma ieraksta, kas izplatījās pirms oficiālā paziņojuma. PHP komanda abas ievainojamības novērtē ar CVSS v4.0 9.2. Tā tomēr joprojām ir kategorija “kritiska”.
Vai ir PHP2Shell uzbrukumu pazīmju saraksts?
Līdz šim nav. Nav publicētu, apstiprinātu kompromitācijas indikatoru (Indicators of Compromise). Kas vēlas pārbaudīt, vai serveris ir bijis skarts, jāpievērš uzmanība uzvedības novirzēm, piemēram, tīmekļa servera procesiem, kas startē shell, vai jauniem PHP failiem augšupielādes mapēs.
Kurš avots PHP2Shell gadījumā ir visuzticamākais?
Tehniskajiem faktiem tie ir php.net paziņojumi, situācijas novērtējumam Vācijā BSI. Mediju ziņojumi un ražotāju emuāri papildina ainu, taču tie jāatzīmē kā ziņojumi un jālasa, salīdzinot ar primāro avotu.
Vai tiešām ir skartas visas PHP versijas sākot ar PHP 5?
Situācija ir pierādīta 8.2 līdz 8.5 atzariem, kuriem ir atjauninājumi. Saskaņā ar speciālo presi skartas ir gandrīz visas versijas līdz pat PHP 5.4; CERT-EU, kā ziņots, uzskatīja, ka iespējamas arī versijas sākot ar PHP 5. Vecākām versijām oficiālu atjauninājumu nav, tāpēc tās jebkurā gadījumā jāuzskata par apdraudētām.