Krótko: PHP działa nie tylko na serwerach WWW, lecz także w interfejsach webowych systemów NAS, firewalli i urządzeń specjalistycznych albo w pakietach serwera WWW zainstalowanych na NAS. To, czy urządzenie jest dotknięte PHP2Shell, może powiedzieć tylko producent; aktualizacja przychodzi przez firmware. Państwa zadaniem jest znaleźć te urządzenia, wyjąć ich interfejsy webowe z internetu i śledzić komunikaty producentów.
Dlaczego urządzenia z interfejsem webowym należą do pytania o PHP
Gdy mówi się o PHP2Shell, większość myśli o stronie firmowej lub sklepie internetowym. Tymczasem PHP tkwi także w urządzeniach, których nikt nie uważa za serwer WWW. Stoją w serwerowni lub w biurze, mają interfejs webowy do zarządzania i często działają latami bez uwagi.
Luki CVE-2026-109618 i CVE-2026-109619 dotyczą według php.net samego PHP w trybach pracy PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Jeśli interfejs webowy urządzenia używa jednego z tych trybów z podatną wersją, ryzyko jest tam takie samo. Różnica: PHP na urządzeniu zwykle nie można zaktualizować samodzielnie.
Takie systemy bywają zapominane z konkretnych powodów. Często skonfigurował je usługodawca, który dawno już ich nie obsługuje. Aktualizacje firmware nie przebiegają automatycznie, lecz wymagają kliknięcia, którego nikt nie wykonuje. A niektóre urządzenia mają wygodne funkcje zdalnego dostępu, które czynią interfejs webowy osiągalnym z internetu bez wiedzy działu IT. Przy luce PHP takiej jak PHP2Shell ta wygoda staje się ryzykiem.
Luka PHP na NAS i urządzeniach: jakie systemy wchodzą w grę
Podajemy tu rodzaje urządzeń, bez wypowiedzi o poszczególnych modelach. To, czy dany firmware jest dotknięty, wynika wyłącznie z komunikatów producenta.
| Rodzaj urządzenia | Jak PHP wchodzi do gry | Kto aktualizuje |
|---|---|---|
| NAS z pakietem serwera WWW | Prowadzą Państwo własne strony lub aplikacje PHP na NAS | Producent dostarcza pakiet PHP, Państwo go instalują |
| Dystrybucje firewalli i routerów | Części interfejsu zarządzania są napisane w PHP | Producent przez firmware |
| Urządzenia specjalistyczne z interfejsem webowym | np. centrale telefoniczne, rejestracja czasu pracy, technika budynkowa, o ile producent używa PHP | Producent lub sprzedawca specjalistyczny |
| Wirtualne appliance | wstępnie skonfigurowane maszyny wirtualne z własnym interfejsem webowym | Producent przez obraz aktualizacji |
| Kontenery na NAS | aplikacje PHP w kontenerach Docker | Państwo, przez nowy obraz |
Dwa udokumentowane przykłady: Synology pozwala w Web Station prowadzić strony PHP z wybieralnymi profilami PHP i zapowiedziało koniec wsparcia dla PHP 7.3, 7.4 i 8.0 w DSM 7.3. Komunikaty bezpieczeństwa Netgate o pfSense opisują pliki PHP i komunikaty błędów PHP interfejsu webowego. Pokazuje to tylko, że PHP tam występuje, a nie że te produkty są dotknięte PHP2Shell.
Inwentarz: jak znaleźć zapomniane systemy
Najważniejszym krokiem jest lista. Wiele firm dokładnie wie, jakie strony prowadzi, ale nie wie, które urządzenia mają interfejs webowy. Jak wygląda trwały inwentarz, opisuje artykuł Inwentarz wszystkich stron i serwerów.
- Zebrać sieć: Zgromadzić urządzenia z listy DHCP, przeglądu przełączników lub firewalla.
- Oznaczyć interfejsy webowe: Przy każdym urządzeniu zanotować, czy jest zarządzane przez HTTP lub HTTPS.
- Sprawdzić udostępnienia: Wypisać przekierowania portów i usługi zdalnego dostępu w routerze. Każdy interfejs webowy osiągalny z internetu trafia na górę.
- Przypisać producenta: Zapisać model, stan firmware i odnośnik do komunikatów bezpieczeństwa producenta.
- Zebrać własne usługi: Zainstalowane na NAS pakiety serwera WWW i kontenery wymienić osobno.
Pierwszą wskazówkę można uzyskać nieszkodliwym zapytaniem o nagłówki. Polecenie pobiera tylko stronę startową i niczego nie zmienia:
# Wyświetlić nagłówki serwera interfejsu webowego (adres jako przykład)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Jeśli stoi tam wskazówka o PHP, to jest punkt zaczepienia. Jeśli jej brak, niczego to nie dowodzi, ponieważ wiele urządzeń celowo ukrywa takie informacje.
Co można zrobić, gdy nie można samemu załatać
W przypadku urządzeń poprawka leży po stronie producenta. Dostępność leży po Państwa stronie i właśnie tu jest największa dźwignia. BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) zaleca przy PHP2Shell tymczasowo odłączyć od sieci serwery WWW bez aktualizacji; dla interfejsów zarządzania urządzeń obowiązuje to tym bardziej.
- Wyjąć z internetu: Usunąć przekierowania portów do interfejsów webowych i zezwalać na zdalny dostęp tylko przez VPN.
- Rozdzielić sieć zarządzania: Udostępnić interfejsy webowe tylko z osobnego segmentu sieci dla administratorów. Tło w artykule Osłanianie paneli administracyjnych.
- Wyłączyć nieużywane: Dezaktywować pakiety serwera WWW lub aplikacje na NAS, których nikt już nie potrzebuje.
- Śledzić komunikaty o firmware: Włączyć powiadomienia o aktualizacjach i instalować je niezwłocznie, gdy producent je zwolni.
- Wymienić stare urządzenia: Nie utrzymywać już urządzeń bez wsparcia producenta jako osiągalnych z internetu i zaplanować wymianę.
Jeśli prowadzą Państwo na NAS własne strony PHP, dla tych stron obowiązuje to samo co dla każdego serwera WWW: sprawdzić wersję, zaktualizować pakiet, zrestartować usługę. Podstawy luki wyjaśnia artykuł Czym jest PHP2Shell?.
Gdy urządzenie było wystawione na sieć
Jeśli interfejs webowy był osiągalny z internetu między 17 a 21 października, a urządzenie jest dotknięte, nie należy go tylko aktualizować. Proszę sprawdzić, czy zmieniono konta, udostępnienia lub przekierowania, zabezpieczyć dostępne protokoły i zmienić dane dostępowe. Urządzenie, w którym w sieci był atakujący, może służyć jako odskocznia do innych systemów.
W przypadku firewalli i routerów jest to szczególnie delikatne, ponieważ widzą cały ruch. W razie wątpliwości przywrócenie ustawień fabrycznych z czystą rekonfiguracją jest bardziej wiarygodne niż szukanie pojedynczych śladów; wcześniej protokoły i konfiguracja powinny być zabezpieczone.
W przypadku NAS dochodzi pytanie o dane. Często leżą tam umowy, dokumenty kadrowe lub dane klientów. Jeśli atakujący mógł uzyskać dostęp do urządzenia, trzeba wyjaśnić, czy mogą być dotknięte dane osobowe; wtedy może istnieć obowiązek zgłoszenia na podstawie RODO. Proszę to wcześnie uzgodnić z inspektorem ochrony danych, nie jest to porada prawna.
Jak konkretnie pomaga PHP SOS?
- Zinwentaryzować zasoby: Razem z Państwem rejestrujemy wszystkie systemy z interfejsem webowym, także NAS, urządzenia i maszyny wirtualne.
- Sprawdzić dostępność: Sprawdzamy z zewnątrz, które interfejsy są osiągalne z internetu, i proponujemy osłony. Głębszą kontrolę oferuje audyt bezpieczeństwa z testem penetracyjnym.
- Śledzić sytuację u producentów: Przypisujemy komunikaty bezpieczeństwa producentów do Państwa urządzeń i planujemy aktualizacje.
- Wyjaśnić podejrzenie: Jeśli dotknięte urządzenie było wystawione na sieć, zabezpieczamy protokoły i szukamy śladów.
Częste pytania
Czy mój NAS jest dotknięty PHP2Shell?
Wiążąco może to powiedzieć tylko producent dla Państwa modelu i firmware. Proszę sprawdzić jego komunikaty bezpieczeństwa oraz czy na samym NAS prowadzą Państwo strony PHP, na przykład przez pakiet serwera WWW. Do wyjaśnienia interfejs nie powinien być dostępny z internetu.
Czy mogę samodzielnie zaktualizować PHP na NAS lub firewallu?
Zasadniczo nie. PHP jest tam częścią firmware lub pakietu producenta. Aktualizacje przychodzą przez funkcję aktualizacji urządzenia. Ręczne ingerencje w firmware mogą zagrozić gwarancji i stabilności.
Czy wystarczy używać interfejsu webowego tylko w sieci lokalnej?
Znacznie to obniża ryzyko, ale go nie usuwa. Skompromitowany już komputer w tej samej sieci nadal może dotrzeć do interfejsu. Lepsza jest osobna sieć zarządzania lub dostęp wyłącznie przez VPN.
Po czym poznać, że urządzenie używa PHP?
Czasem zdradza to nagłówek serwera lub końcówka .php w adresach interfejsu. Brak takich wskazówek niczego nie dowodzi. Wiarygodne są dokumentacja producenta i komunikaty bezpieczeństwa.