# Poziom pomarańczowy BSI: co oznacza ta klasyfikacja

> Poziom pomarańczowy BSI wyjaśniony: co znaczą cztery stopnie, dlaczego PHP2Shell uznano za krytyczne dla biznesu i jakie decyzje firmy powinny teraz podjąć.

Źródło: https://phpsos.de/pl/blog/bsi-warnstufe-orange-erklaert/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

**Krótko:** Poziom pomarańczowy BSI (niemieckiego Federalnego Urzędu ds. Bezpieczeństwa w Technice Informatycznej) jest drugim co do wysokości z czterech poziomów. Oznacza: sytuacja zagrożenia IT jest krytyczna dla biznesu, normalna praca może zostać poważnie zakłócona. Dla PHP2Shell BSI nadał ten poziom 3 i zaleca natychmiastową aktualizację lub, jeśli to niemożliwe, czasowe odłączenie dotkniętych serwerów WWW od sieci. Dla firm pomarańczowy oznacza: temat należy dziś do spraw kierownictwa.

## Co klasyfikacja oznacza dla decydentów

Wielu prezesów usłyszało w wiadomościach o „poziomie pomarańczowym”, nie wiedząc, jak to ocenić. Czy to alarm dla wszystkich, czy temat dla działu IT? Krótka odpowiedź: pomarańczowy to poziom, przy którym BSI zakłada, że poszkodowani bez szybkiego działania ryzykują poważne zakłócenia swojej działalności.

Według hessenschau BSI mówiło w przypadku PHP2Shell o wyjątkowym potencjale zagrożenia. Spodziewało się szybkiego, szeroko zakrojonego wykorzystania. Potwierdzone udane ataki na szeroką skalę nie były w chwili ostrzeżenia według BSI znane. Jedno i drugie należy do siebie: wysoki poziom opisuje ryzyko, a nie szkodę, która już wystąpiła.

## Poziom pomarańczowy BSI i pozostałe trzy poziomy

BSI klasyfikuje swoje ostrzeżenia dotyczące cyberbezpieczeństwa w skali od 1 do 4. Poniższa tabela oddaje znaczenie w przybliżeniu:

| Poziom | Kolor | Znaczenie (w przybliżeniu) |
|---|---|---|
| 1 | Szary | sytuacja zagrożenia IT bez istotnych nieprawidłowości |
| 2 | Żółty | wzmożona obserwacja nieprawidłowości, normalna praca czasowo zakłócona |
| 3 | Pomarańczowy | sytuacja krytyczna dla biznesu, poważne zakłócenie normalnej pracy |
| 4 | Czerwony | sytuacja skrajnie krytyczna, normalna praca w wielu obszarach niemożliwa do utrzymania |

Poziom mówi coś o sytuacji ogólnej, a nie o Państwa pojedynczym serwerze. W pełni załatany i sprawdzony serwer WWW jest w dobrej pozycji także przy pomarańczowym. Niezałatany serwer z PHP 8.1 i mod_php jest zagrożony także przy niższym poziomie.

### Jak wykorzystać skalę wewnętrznie

Wiele firm ma własne poziomy awaryjne, na przykład w podręczniku postępowania awaryjnego lub w ramach zarządzania bezpieczeństwem informacji. Warto na stałe przyporządkować tam poziomy BSI. Prosta reguła może brzmieć: przy żółtym IT sprawdza w ramach normalnej pracy. Przy pomarańczowym kierownictwo jest informowane tego samego dnia, wyznaczana jest osoba odpowiedzialna, a stan wszystkich dotkniętych systemów jest ustalany na piśmie. Przy czerwonym zbiera się sztab kryzysowy.

W ten sposób z wiadomości powstaje wyćwiczona reakcja. Kto ustalił przyporządkowanie wcześniej, nie musi w przypadku poważnym dyskutować, czy sytuacja jest „dość poważna”. W przypadku PHP2Shell reguła ta oznaczałaby: jeszcze 21 października inwentaryzacja, plan łatania i decyzja o wyłączeniach.

Same ostrzeżenia BSI publikuje na swojej stronie, gdzie są też aktualizowane przy nowych ustaleniach. Warto czytać każdorazowo aktualną wersję, ponieważ zalecenia i oceny mogą się zmieniać w trakcie trwania sytuacji.

## Dlaczego PHP2Shell jest pomarańczowe, a nie czerwone

Dla porównania często przywołuje się Log4Shell. Dla luki w bibliotece Javy Log4j BSI ogłosiło w grudniu 2021 roku poziom czerwony, według ówczesnych doniesień między innymi dlatego, że lukę można było wykorzystać trywialnie i znane były już naruszenia. W styczniu 2022 roku ostrzeżenie zostało według Bundestagu obniżone do żółtego.

Dokładne uzasadnienie poziomu pomarańczowego dla PHP2Shell zna tylko BSI. Widoczne różnice to sytuacja w zakresie potwierdzonych ataków oraz fakt, że dla wszystkich wspieranych gałęzi PHP dostępna jest aktualizacja. Szczegółowe zestawienie oferuje artykuł [PHP2Shell i Log4Shell](https://phpsos.de/pl/blog/php2shell-und-log4shell/). Pomarańczowy nie jest przy tym odwołaniem alarmu. Zalecenie, by w razie potrzeby odłączyć serwery od sieci, jest dla urzędu wyraźnym komunikatem.

> **Ważne:**
> Poziom ostrzeżenia może się zmienić, w obu kierunkach. Miarodajny jest aktualny stan na stronie BSI, a nie artykuł prasowy z poprzedniego dnia.

## Czego pomarańczowy nie oznacza

Trzy nieporozumienia spotykamy obecnie często:

- **„Pomarańczowy znaczy, że nas zhakowano.”** Nie. Poziom opisuje sytuację zagrożenia, a nie ustalenie dotyczące Państwa systemów.
- **„Pomarańczowy dotyczy tylko urzędów.”** Nie. Ostrzeżenia są skierowane do wszystkich operatorów dotkniętych systemów, także małych firm.
- **„Jeśli mamy Cloudflare lub WAF, pomarańczowy nas nie dotyczy.”** Nie. Reguły ochronne obniżają ryzyko, ale nie zastępują aktualizacji PHP.

To, czy z ostrzeżenia wynikają obowiązki prawne, na przykład w ramach [NIS2](https://phpsos.de/pl/compliance/nis2/), zależy od Państwa branży i wielkości. Nie jest to porada prawna; szczegóły proszę wyjaśnić z doradcą prawnym lub inspektorem ochrony danych.

## Przełożenie klasyfikacji na decyzje

Poziom ostrzeżenia jest wart tyle, ile decyzji z niego wynika. Dla PHP2Shell polecamy firmom taką kolejność:

1. **Ustalić, kogo dotyczy:** Które serwery i strony działają na PHP, kto je prowadzi?
2. **Udokumentować stan poprawek:** naprawiona wersja 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo backport potwierdzony przez dostawcę.
3. **Zapewnić restart:** Wszystkie procesy PHP muszą być zrestartowane.
4. **Jeśli nie da się tego zrobić od razu:** wdrożyć środki przejściowe lub czasowo odłączyć serwer od sieci, jak zaleca BSI. Opcje opisuje strona [Środki doraźne bez poprawki](https://phpsos.de/pl/php2shell/sofortmassnahmen-ohne-patch/).
5. **Sprawdzić ślady i zabezpieczyć logi:** od 20 października.
6. **Udokumentować decyzje:** kto, co i kiedy zdecydował oraz na jakiej podstawie.

Właśnie ostatni punkt bywa niedoceniany. Kto przy oficjalnym ostrzeżeniu poziomu pomarańczowego działał w sposób możliwy do prześledzenia, stoi lepiej wobec ubezpieczycieli, klientów i organów nadzoru. Tło przedstawia strona o [odpowiedzialności zarządu](https://phpsos.de/pl/compliance/geschaeftsfuehrer-haftung/).

## Jak konkretnie pomaga PHP SOS?

- **Sytuacja dla Państwa firmy:** Przekładamy klasyfikację BSI na listę dotkniętych Państwa systemów z priorytetem.
- **Wdrożenie zalecenia:** Łatamy, restartujemy lub wdrażamy środki przejściowe, aż aktualizacja będzie możliwa.
- **Dowód:** Otrzymują Państwo dokumentację, co i kiedy zostało zrobione na którym serwerze.
- **Obserwacja:** Jeśli BSI zmieni klasyfikację lub pojawią się nowe komunikaty, oceniamy je dla Państwa systemów.

Więcej pod hasłem [natychmiastowa pomoc przy PHP2Shell](https://phpsos.de/pl/leistungen/php2shell-soforthilfe/).

## Podsumowanie

Poziom pomarańczowy to drugi co do wysokości poziom BSI i dla PHP2Shell jest dobrze uzasadniony. Nie wymaga paniki, ale wymaga decyzji tego samego dnia: załatać, zrestartować, sprawdzić lub czasowo wyłączyć. Kto to udokumentuje, właściwie odczytał ostrzeżenie.


## Częste pytania

**Ile poziomów ostrzeżeń ma BSI?**  
Ostrzeżenia BSI w zakresie cyberbezpieczeństwa wykorzystują cztery poziomy: 1 / szary, 2 / żółty, 3 / pomarańczowy i 4 / czerwony. Pomarańczowy jest drugim co do wysokości poziomem i opisuje sytuację zagrożenia IT krytyczną dla biznesu, z poważnym zakłóceniem normalnej pracy.

**Czy poziom pomarańczowy BSI to obowiązek działania?**  
Samo ostrzeżenie jest oceną fachową z zaleceniami działań. Jakie obowiązki wynikają z niego dla Państwa firmy, na przykład z NIS2, umów czy warunków ubezpieczenia, zależy od konkretnego przypadku. Proszę wyjaśnić to z doradcą prawnym; nie jest to porada prawna.

**Dlaczego PHP2Shell nie ma poziomu czerwonego?**  
Powody klasyfikacji ustala sam BSI. Uderza różnica wobec Log4Shell, który w 2021 roku otrzymał poziom czerwony: według ówczesnych doniesień znane były tam już przypadki naruszeń. W przypadku PHP2Shell potwierdzone udane ataki na szeroką skalę według BSI początkowo nie były znane.

**Czy poziom ostrzeżenia może się zmienić?**  
Tak. BSI dostosowuje klasyfikacje do sytuacji, w górę i w dół. Log4Shell został na przykład według Bundestagu w styczniu 2022 roku obniżony z czerwonego na żółty. Aktualny stan należy sprawdzać bezpośrednio w BSI.

## Źródła

- [BSI: Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej (Niemcy)](https://www.bsi.bund.de/)
- [hessenschau: Zahlreiche Behörden-Webseiten in Hessen abgeschaltet](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [php.net: komunikaty o bezpieczeństwie](https://www.php.net/)