# Biežāk uzdotie jautājumi par PHP2Shell un ārkārtas palīdzību

> Atbildes uz biežāk uzdotajiem jautājumiem par PHP2Shell un attālināto ārkārtas palīdzību.

Avots: https://phpsos.de/lv/faq/  
Aktuāls uz: 25.10.2026  
Pakalpojuma sniedzējs: PHP SOS, PHP ārkārtas palīdzība un serveru drošība. Tūlītēja palīdzība pa WhatsApp: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20nepiecie%C5%A1ama%20pal%C4%ABdz%C4%ABba%20ar%20m%C5%ABsu%20PHP%20serveri.%20Uz%C5%86%C4%93mums%3A%20%E2%80%A6%20Vietne%3A%20%E2%80%A6

## Kas ir PHP2Shell?

PHP2Shell ir divas kritiskas ievainojamības pašā PHP (CVE-2026-109618 un CVE-2026-109619, CVSS 9.2). Tās var ļaut uzbrucējiem izpildīt ļaunprātīgu kodu serverī bez pieteikšanās. Ielāpi ir pieejami kopš 21.10.2026.

## Kuras PHP versijas ir drošas?

Labojumi ir iekļauti PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Hostinga sniedzēji un distributīvi dažkārt ievieš atpakaļ pārnestus labojumus (backport), nemainot versijas numuru. Izšķirošs ir pakotnes stāvoklis vai pakalpojuma sniedzēja rakstisks apstiprinājums.

## Vai pietiek ar WordPress vai veikala atjauninājumu?

Nē. Ievainojamība ir PHP, nevis CMS. CMS atjauninājums to neaizver. Un PHP ielāps nenoņem ļaunprātīgu kodu, kas tika ievadīts jau iepriekš.

## Cik ātri jūs varat palīdzēt?

Mēs strādājam attālināti un sākam, tiklīdz ir piekļuves dati. Uzrakstiet mums WhatsApp ziņā sistēmu, PHP versiju un novēroto. Tad tieši vienosimies par turpmāko rīcību.

## Vai strādājat arī aģentūrām un hostinga sniedzēju klientiem?

Jā. Mēs strādājam tieši uzņēmumiem, aģentūru uzdevumā fonā un saskaņā ar jūsu hostinga sniedzēju, ja serveri pārvalda viņš.

## Vai mums jāziņo par incidentu?

Ja var būt skarti personas dati, saskaņā ar VDAR 33. pantu parasti ir spēkā 72 stundu ziņošanas termiņš no brīža, kad kļuvis zināms. Vai tas attiecas uz jums, noskaidrojiet ar savu datu aizsardzības speciālistu. Mēs sagatavojam tam nepieciešamo tehnisko dokumentāciju.

## Vai PHP2Shell ir WordPress ievainojamība?

Nē. Ievainojamības ir PHP, tas ir, programmēšanas valodā, uz kuras darbojas WordPress, Shopware, TYPO3 un daudzas citas sistēmas. CMS atjauninājums tās tāpēc neaizver. Izšķirošs ir PHP stāvoklis serverī.

## Vai man kā hostinga sniedzēja klientam pašam kaut kas jādara?

Koplietošanas hostingā PHP atjauninājumu parasti instalē hostinga sniedzējs. Tomēr jums vajadzētu lūgt rakstisku apstiprinājumu, ka jūsu izmantotā PHP versija ir ielāpota un pārstartēta. Vai pirms ielāpa kaut kas ir noticis, atjauninājums neatbild.

## No kurienes nāk nosaukums PHP2Shell?

Nosaukums apraksta sekas: caur PHP uzbrucējs sliktākajā gadījumā var iegūt komandrindu, tas ir, shell, serverī. Oficiālie apzīmējumi ir CVE numuri CVE-2026-109618 un CVE-2026-109619.

## Vai mana vietne jau ir ticis uzbrukta, ja tā tika atvienota no tīkla?

Ne obligāti. Daži sniedzēji vietnes ir piesardzības nolūkos atvienojuši no tīkla, kā to iesaka BSI, ja atjaunināšana nav iespējama nekavējoties. Tas ir aizsardzības pasākums, nevis uzbrukuma pierādījums.

## Vai pietiek, ja mans hostinga sniedzējs ir atjauninājis PHP?

Tas var būt pietiekami, ja hostinga sniedzējs rakstiski apstiprina pakotnes stāvokli un visi PHP procesi ir pārstartēti. Redzamais versijas numurs vien nav pierādījums, jo distributīvi ievieš atpakaļ pārnestus labojumus (backport). Vai serveris jau iepriekš nav ticis uzbrukts, ielāps tik un tā neatbild.

## Vai manai vietnei tūlītējās palīdzības laikā jābūt bezsaistē?

Ne obligāti. BSI (Vācijas Federālais informācijas drošības birojs) iesaka uz laiku atvienot tīmekļa serverus no tīkla, ja atjaunināšana nav iespējama nekavējoties. Vai tas nepieciešams jums, izlemjam kopīgi pēc uzskaites.

## Vai WordPress vai Shopware atjauninājums pasargā no PHP2Shell?

Nē. PHP2Shell ir pašā PHP, nevis CMS. CMS atjauninājums joprojām ir lietderīgs, taču šo ievainojamību tas neaizver.

## Kas notiek ar PHP 8.1 vai vecāku versiju?

Šīm versijām PHP projekts oficiālus atjauninājumus vairs nepiedāvā, tikai minimālus pirmkoda backport labojumus versijām 7.4, 8.0 un 8.1. Mēs serveri pagaidām nostiprinām un kopā ar jums plānojam pāreju uz atbalstītu versiju.

## No kura brīža sākas 72 stundas?

Saskaņā ar VDAR 33. pantu no brīža, kad pārzinis ir uzzinājis par pārkāpumu. Kad to konkrētā gadījumā pieņemt, ir juridisks vērtējums. Tāpēc precīzi dokumentējiet, kad kurš kādu informāciju saņēma.

## Vai par katru drošības ievainojamību jāziņo?

Nē. Ievainojamība vien vēl nav personas datu aizsardzības pārkāpums. Ziņošanas pienākums var rasties, ja ir norādes, ka nepiederošas personas ir piekļuvušas šādiem datiem vai varēja piekļūt, un no tā izriet risks datu subjektiem.

## Ko darīt, ja pēc 72 stundām vēl visu nezinu?

VDAR 33. panta 4. punkts ļauj informāciju sniegt pa daļām, ja to nevar sniegt vienlaikus. Kavēšanās ar ziņojumu jāpamato. Gaidīšana uz pilnīgu skaidrību tāpēc parasti nav iemesls ļaut termiņam paiet.

## Kurš ziņo, ja skarts bijis hostinga sniedzējs?

Ziņot ir pienākums pārzinim, tātad parasti uzņēmumam, kas darbina vietni. Datu apstrādātājam, piemēram, hostinga sniedzējam, saskaņā ar VDAR 33. panta 2. punktu pārzinis ir jāinformē nekavējoties.

## Kur ziņot par datu pārkāpumu?

Kompetentajai datu aizsardzības uzraudzības iestādei; uzņēmumiem tā parasti ir federālās zemes iestāde, kurā atrodas to juridiskā adrese. Lielākā daļa iestāžu šim nolūkam piedāvā tiešsaistes veidlapas.