PHP2Shell tūlītēja palīdzība: palīdzība PHP ievainojamības gadījumā

Īsi: PHP2Shell ir divas kritiskas ievainojamības pašā PHP, ar kurām uzbrucēji var izpildīt ļaunprātīgu kodu bez pieteikšanās. Ja jums ātri vajadzīga palīdzība šīs PHP ievainojamības gadījumā, mēs attālināti uzņemamies uzskaiti, ielāpu instalēšanu vai pagaidu pasākumu, visu PHP procesu pārstartēšanu un pirmo pēdu meklēšanu. Beigās saņemat rakstisku stāvokļa apliecinājumu.

Palīdzība PHP ievainojamības gadījumā: kāpēc jārīkojas tagad

2026. gada 21. oktobrī plkst. 16 pēc Vācijas laika PHP projekts publicēja ielāpus CVE-2026-109618 un CVE-2026-109619. Abas ievainojamības novērtētas ar CVSS v4.0 9.2, un tās ļauj no attāluma izpildīt ļaunprātīgu kodu, nevienam nepieteikušies. Skarti ir ierastie darbības režīmi: PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed.

BSI ir izsludinājis 3. brīdinājuma līmeni (oranžs). Tas iesaka nekavējoties atjaunināt un, ja tas nav iespējams uzreiz, uz laiku atvienot tīmekļa serverus no tīkla. Palo Alto Networks (Unit 42) saskaitīja vairāk nekā 22,6 miljonus publiski pieejamu, potenciāli ievainojamu instanču. Apstiprināti sekmīgi uzbrukumi plašā mērogā pēc BSI datiem sākumā nebija zināmi, taču Cloudflare jau ziņoja par uzbrukuma mēģinājumiem.

Vadībai un īpašniekiem tas nozīmē: katrs publiski pieejams PHP serveris ir kandidāts, kamēr nav pierādīts pretējais. Saprotamu ievainojamības skaidrojumu atradīsiet sadaļā Kas ir PHP2Shell?.

Kam paredzēta PHP2Shell tūlītējā palīdzība?

Uzņēmumiem, aģentūrām un valsts iestādēm, kas darbina PHP lietojumprogrammas un kas situāciju vienatnē nevar vai nevēlas izstrādāt vajadzīgajā dziļumā. Tas attiecas gan uz saviem root serveriem un vServer, gan uz serveriem ar Plesk vai cPanel, konteineru vidēm un pārvaldītiem serveriem, kur atbildības sadalījums nav skaidrs.

Arī tiem, kam ir hostinga sniedzējs, bieži vajadzīgs atbalsts. Daudzi sniedzēji ievieš backport labojumus; tad, piemēram, Plesk turpina rādīt 8.2.34, kaut gan pakotnes stāvoklis ir ielāpots. Un otrādi, var būt redzams jauns versijas numurs, kamēr atmiņā vēl darbojas veci PHP procesi. Kuras versijas uzskatāmas par labotām, rakstīts lapā Kuras PHP versijas ir skartas?.

Kā PHP SOS palīdz konkrēti?

1. Uzskaite: Mēs apkopojam visas PHP instalācijas, darbības režīmus un versijas jūsu serveros, ieskaitot pakotnes stāvokli un darbojošos procesus. Rezultāts ir saraksts, kuras sistēmas ir skartas, labotas vai nav skaidras.
2. Ielāps vai pagaidu pasākums: Kur iespējams, instalējam labotās versijas (8.5.12, 8.4.27, 8.3.36, 8.2.35) vai jūsu distributīva pakotnes. Ja tas nav iespējams uzreiz, ieviešam pagaidu pasākumus saskaņā ar php.net un atklāti sakām, ka tie nenodrošina pilnīgu aizsardzību.
3. Pārstartēšana un kontrole: Mēs pārstartējam visus PHP darbprocesus un procesus un pēc tam pārbaudām, ka vairs nedarbojas neviens vecs process. Jauni faili vien ievainojamību neaizver.
4. Pirmā pēdu meklēšana: Mēs saglabājam servera žurnālus no 20.10. un meklējam neparastas pazīmes, piemēram, jaunus PHP failus, nezināmus cron uzdevumus vai neparastus procesus. Tā kā nav publicētu, apstiprinātu Indicators of Compromise (kompromitācijas pazīmju), šī pārbaude balstās uz uzvedības analīzi.
5. Apliecinājums un nākamie soļi: Jūs saņemat rakstisku ziņojumu. Ja ir aizdomas par kompromitāciju, iesakām piemērotus turpmākos soļus, piemēram, ļaunprogrammatūras noņemšanu vai forensisku izmeklēšanu.

Ko jūs saņemat no mums

• pārskats par visiem pārbaudītajiem serveriem ar PHP versiju, pakotnes stāvokli, darbības režīmu un ielāpa statusu
• dokumentācija par instalētajiem atjauninājumiem vai ieviestajiem pagaidu pasākumiem
• apliecinājums, ka visi PHP procesi ir pārstartēti
• pēdu meklēšanas vērtējums, sadalīts pēc kategorijām: apliecināts, iespējams un nezināms
• atklāto jautājumu saraksts, piemēram, sistēmas ar PHP 8.1 vai vecāku

Šo ziņojumu varat nodot vadībai, datu aizsardzības speciālistam vai apdrošinātājam. Juridisko vērtējumu tas neaizstāj.

Ko mums vajag no jums

• Piekļuve: SSH vai paneļa piekļuve ar pietiekamām tiesībām, vai arī atļauja jūsu hostinga sniedzējam sniegt mums informāciju
• Kontaktpersona: persona, kurai ir tiesības pieņemt lēmumus, piemēram, par īslaicīgu darbību bezsaistē vai pārstartēšanu
• Pārskats: kuras vietnes, veikali un lietojumprogrammas darbojas kuros serveros
• Apkopes logs: jūsu norādījumi par to, kad drīkst veikt pārstartēšanu
• Rezerves kopijas: informācija, kur atrodas aktuālās kopijas

Administratoriem, kas vēlas iepriekš paši pārbaudīt, bieži pietiek ar šo nekaitīgo skatu uz stāvokli:

php -v
# Debian/Ubuntu: instalētās PHP pakotnes ar versiju
dpkg -l | grep -i php
# darbojošies PHP procesi un to startēšanas laiks
ps -eo pid,lstart,cmd | grep -i php

Ko mēs nesolām

Mēs nesolām absolūtu drošību un nesakām, ka jūsu serveris nekad nav ticis uzbrukts, ja pierādījumi to neļauj apgalvot. Mēs strādājam pie incidenta, līdz tas ir slēgts un dokumentēts. Vai pastāv ziņošanas pienākums saskaņā ar VDAR vai jāinformē apdrošinātājs, lūdzu, noskaidrojiet ar datu aizsardzības speciālistu, advokātu vai apdrošinātāju. Mēs sniedzam tam nepieciešamos tehniskos faktus.

Ja jums vajadzīgs tikai atjauninājums ar apliecinājumu, jums der mūsu PHP ielāpu pakalpojums. Ja jau ir uzbrukuma pazīmes, pareizais sākums ir ārkārtas palīdzība uzlauztas vietnes gadījumā.

Biežāk uzdotie jautājumi

Avoti

• php.net: drošības paziņojumi
• PHP 8 ChangeLog
• BSI: Vācijas Federālais informācijas drošības birojs
• TechTarget: PHP2Shell, 22M exposed servers at risk