Īsi: vai PHP2Shell jūs skar, atkarīgs no trim lietām: PHP versijas, darbības režīma un tā, vai un kā ir ielāpots. Ja neesat pārliecināti, sazinieties ar mums jau tagad. Vai esat skarti? Zvaniet. Mēs palīdzam. Mēs to attālināti noskaidrojam pašā serverī, nevis pēc sajūtas, un aizveram ievainojamību, ja tā ir atvērta.
Tagad neko neizdzēsiet un neuzstādiet no jauna. Arī tad, ja vēlaties tikai noskaidrot, vai esat skarti: ja serveris, iespējams, jau ir uzbrukts, mums vajadzīgi faili un žurnāli nemainītā stāvoklī. Pieteikt ārkārtas gadījumu, un mēs pārbaudi veiksim kopā.
Vai esat skarti? Šie gadījumi jāiekļauj pārbaudes sarakstā
PHP2Shell ir divas kritiskas ievainojamības pašā PHP (CVE-2026-109618 un CVE-2026-109619, abas ar augstāko vērtējumu 9.2 pēc CVSS v4.0). Tās ļauj izpildīt ļaunprātīgu kodu no attāluma bez pieteikšanās. Skarti var būt visi darbības režīmi: PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed. Pārbaudiet katru no šīm sistēmām:
- savi serveri, vServer un root serveri ar PHP
- hostinga pakotnes un pārvaldītie serveri, arī ja jums nav piekļuves konfigurācijai
- konteineri un platformas pakalpojumi, kas atnes līdzi PHP attēlu
- testa sistēmas, staging vides un aizmirstas vecās sistēmas, kas sasniedzamas no interneta
- NAS, ierīces vai pakalpojumu sniedzēju programmatūra, kas iekšēji izmanto PHP
Tieši aizmirstās sistēmas ir risks. Saskaņā ar Unit 42 ir vairāk nekā 22,6 miljoni pieejamu, potenciāli ievainojamu instanču, un BSI rēķinājās ar ātru plašu izmantošanu.
Ko darīt tūlīt
- Izveidot inventāru. Pierakstiet visus serverus, domēnus un hostinga līgumus, kuros darbojas PHP, un to, kas par tiem atbild.
- Noteikt PHP versiju katrā sistēmā. Serveros ar
php -v. Ņemiet vērā, ka komandrinda var izmantot citu versiju nekā tīmekļa serveris. - Noskaidrot darbības režīmu. Vai PHP darbojas kā PHP-FPM, kā mod_php vai caur LiteSpeed? Pie mod_php PHP komanda risku vērtē kā augstāko.
- Pajautāt hostinga sniedzējam un pakalpojumu sniedzējiem. Rakstiski: kāda versija darbojas, vai labojums ir ieviests, vai visi procesi ir pārstartēti?
- Saglabāt žurnālus. Speciālistu prese iesaka saglabāt žurnālus no 2026. gada 20. oktobra.
- Negaidīt ilgi. Ja sistēma ir atvērta un ielāpu nevar uzreiz uzstādīt, BSI iesaka tīmekļa serveri uz laiku atvienot no tīkla.
Kā PHP SOS palīdz konkrēti?
Mēs attālināti un ar pierādījumiem noskaidrojam, vai jūs skar.
- Situācijas attēls: Mēs uzklausām jūsu inventāru un sakārtojam sistēmas pēc sasniedzamības un riska.
- Saglabāt un aizvērt: Kur ievainojamība ir atvērta, vispirms saglabājam stāvokli un pēc tam aizveram to ar atjauninājumu un pārstartēšanu. Kur tas uzreiz nav iespējams, ieviešam pagaidu pasākumus, kas nav pilnīga aizsardzība.
- Pārbaudīt un attīrīt: Mēs pārbaudām, vai ievainojamība pirms ielāpa ir izmantota, un vajadzības gadījumā attīrām. Vai serveris ir skarts un, iespējams, jau uzbrukts, mēs nošķiram skaidri.
- Nostiprināt un ziņot: Jūs saņemat sarakstu pa sistēmām: versija, darbības režīms, ielāpa pierādījums, atvērtie punkti.
Kā pierādīt, ka esat skarti
Ar versijas numuru vien nepietiek, jo sniedzēji labojumus pārnes atpakaļ uz vecākām versijām (backport). Piemēram, Ubuntu 24.04 saskaņā ar ziņojumiem arī pēc atjaunināšanas turpina rādīt 8.3.6. Uzticami ir trīs ceļi:
| Ceļš | Ko tas parāda | Ierobežojums |
|---|---|---|
| Salīdzināt versiju ar labojumu versijām | 8.5.12, 8.4.27, 8.3.36 vai 8.2.35 vai augstāka ir labota | attiecas tikai uz oriģinālajām versijām, nevis uz backport |
Tests ar memory_hard_limit_percent |
bool(false) nozīmē: direktīva nav zināma, tātad ir skarts |
jāveic katrai versijai un darbības režīmam atsevišķi |
| Meklēt CVE numurus pakotnes changelog | pierāda backport distributīvos | avots ir sniedzēja drošības arhīvs |
Tests izskatās šādi:
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
Kā pareizi pārbaudīt versiju un ielāpa stāvokli, ir aprakstīts lapā PHP versijas un ielāpa stāvokļa pareiza pārbaude. Pārskatu par atzariem sniedz raksts Kuras PHP versijas ir skartas?. Kāpēc rādījums pēc ielāpa var izskatīties vecs, paskaidro raksts php -v rāda vecu numuru.
Skarts un vairs neielāpojams: PHP 8.1 un vecākas versijas
PHP 8.1 un vecākām versijām PHP projekts oficiālus atjauninājumus vairs nesniedz, ir tikai minimāli pirmkoda backport labojumi versijām 7.4, 8.0 un 8.1. Kas lieto šādu versiju, parasti var izvēlēties vienu no diviem ceļiem: sniedzējs ar pierādītu backport vai migrācija uz uzturētu versiju. Komerciāli ilgtermiņa atbalsta piedāvājumi pastāv, taču, vai un kad tie aptver PHP2Shell, sniedzējam jāapstiprina rakstiski. Mēs palīdzam to novērtēt lapā PHP 8.1 un vecākas versijas: kas tagad ir spēkā un ieviešanā PHP ielāpu pakalpojumā.
Ko jums vajadzētu mums nosūtīt
- Jūsu serveru, domēnu un hostinga sniedzēju saraksts
- PHP versija katrā sistēmā, ciktāl zināma
- Darbības režīms un tīmekļa serveris, ciktāl zināms
- Norāde, vai priekšā ir Cloudflare vai cita aizsardzība un vai origin serveris ir sasniedzams tieši
- Jūsu hostinga sniedzēja atbildes, ja jau esat jautājuši
- Kontaktpersona apstiprinājumiem un pārstartēšanai
Kāpēc PHP SOS
Mēs strādājam pēc principa Made in Germany, un kopā ar savu kiberspeciālistu partneru tīklu IT drošībā esam specializējušies vairāk nekā 25 gadus. Jums ir viena kontaktpersona, kas pārbauda jūsu inventāru un pamato katru apgalvojumu, nevis tikai nolasa versiju numurus. Mēs strādājam attālināti, bez ierašanās, un dokumentējam, ko esam pārbaudījuši. Apgalvojumu „drošs“ sniedzam tikai tik tālu, cik to var pamatot. Lielākām vidēm var noderēt PHP2Shell ārkārtas palīdzība.
Vai esat skarti? Zvaniet. Mēs palīdzam.
Ja nezināt, vai esat skarti, tas ir pietiekams iemesls sazināties jau tagad. Zvaniet vai rakstiet WhatsApp. Mēs uzņemamies darbu no pirmās ziņas un kopā ar jums to noskaidrojam pašā serverī. Pieteikt ārkārtas gadījumu tagad.
Biežāk uzdotie jautājumi
Vai PHP2Shell mani skar, ja lietoju tikai WordPress vai veikalu?
Iespējams, ka jā. Ievainojamības ir PHP, nevis CMS. Izšķiroši ir tas, kāda PHP versija un kāds darbības režīms pie jums faktiski apkalpo lapas; WordPress atjauninājums to nemaina.
Vai ar versijas numuru pietiek, lai zinātu, vai esmu ielāpots?
Ne vienmēr. Distributīvi un hostinga sniedzēji labojumus dažkārt ievieš kā backport, un tad numurs paliek tāds pats. Pārliecinoši ir pakotnes changelog ar CVE numuriem vai jūsu sniedzēja rakstisks apstiprinājums.
Vai ir ātrs tests, vai manā PHP versijā ir labojums?
Saskaņā ar PHP rokasgrāmatu ir skarta versija, kas nepazīst direktīvu memory_hard_limit_percent. Tests jāveic katrai PHP versijai un darbības režīmam atsevišķi, jo komandrindā var būt cita versija nekā tīmekļa serverī.
Vai ir skartas arī vecākas PHP versijas, piemēram, 7.4 vai 8.0?
Saskaņā ar speciālistu presi ir skartas gandrīz visas versijas līdz pat PHP 5.4. Versijām 8.1 un vecākām PHP projekts oficiālus atjauninājumus vairs nesniedz, ir tikai minimāli pirmkoda backport labojumi. Vai sniedzējs tos ir ieviesis, viņam jāapstiprina.
Vai Cloudflare mani aizsargā, ja esmu skarts?
Daļēji. Cloudflare ir ieviesis aizsardzības noteikumus, taču pats brīdina, ka tie neaizstāj atjauninājumu. Ja jūsu origin serveris ir sasniedzams tieši, aizsardzība tiek apieta.