Pe scurt: PHP nu rulează doar pe servere web, ci și în interfețele web ale sistemelor NAS, firewall-urilor și dispozitivelor specializate sau în pachetele de server web pe care le-ați instalat pe un NAS. Dacă un dispozitiv este afectat de PHP2Shell poate spune doar producătorul; actualizarea vine prin firmware. Sarcina dumneavoastră este să găsiți aceste dispozitive, să scoateți interfețele lor web din internet și să urmăriți anunțurile producătorilor.
De ce dispozitivele cu interfață web țin de întrebarea PHP
Când se vorbește despre PHP2Shell, majoritatea se gândesc la site-ul firmei sau la magazinul online. PHP se află însă și în dispozitive pe care nimeni nu le consideră server web. Ele stau în camera serverelor sau în birou, au o interfață web de administrare și rulează adesea ani de zile fără atenție.
Vulnerabilitățile CVE-2026-109618 și CVE-2026-109619 afectează, conform php.net, PHP însuși în modurile de operare PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed. Dacă interfața web a unui dispozitiv folosește unul dintre aceste moduri cu o versiune vulnerabilă, riscul se aplică acolo la fel. Diferența: PHP-ul de pe dispozitiv nu îl puteți actualiza de obicei singur.
Că astfel de sisteme sunt uitate are motive concrete. Adesea le-a configurat un prestator care de mult nu le mai îngrijește. Actualizările de firmware nu rulează automat, ci cer un clic pe care nu-l face nimeni. Iar unele dispozitive vin cu funcții comode de acces la distanță, care fac interfața web accesibilă din internet fără știrea departamentului IT. La o vulnerabilitate PHP precum PHP2Shell, această comoditate devine un risc.
Vulnerabilitate PHP pe NAS și appliance-uri: ce sisteme intră în discuție
Numim aici tipuri de dispozitive, nu facem nicio afirmație despre modele individuale. Dacă un anumit firmware este afectat se află exclusiv în anunțurile producătorului.
| Tip de dispozitiv | Cum intervine PHP | Cine actualizează |
|---|---|---|
| NAS cu pachet de server web | Operați pe NAS propriile site-uri sau aplicații PHP | Producătorul livrează pachetul PHP, dumneavoastră îl instalați |
| Distribuții de firewall și router | Părți ale interfeței de administrare sunt scrise în PHP | Producătorul, prin firmware |
| Dispozitive specializate cu interfață web | de ex. centrale telefonice, pontaj, tehnică pentru clădiri, dacă producătorul folosește PHP | Producătorul sau distribuitorul specializat |
| Appliance-uri virtuale | VM-uri preconfigurate cu interfață web proprie | Producătorul, prin imagine de actualizare |
| Containere pe NAS | Aplicații PHP în containere Docker | Dumneavoastră, printr-o imagine nouă |
Două exemple dovedite: Synology permite în Web Station operarea de site-uri PHP cu profile PHP selectabile și a anunțat sfârșitul suportului pentru PHP 7.3, 7.4 și 8.0 sub DSM 7.3. Anunțurile de securitate Netgate pentru pfSense descriu fișiere PHP și mesaje de eroare PHP ale interfeței web. Asta arată doar că PHP apare acolo, nu că aceste produse sunt afectate de PHP2Shell.
Inventar: cum găsiți sistemele uitate
Cel mai important pas este o listă. Multe companii știu exact ce site-uri operează, dar nu ce dispozitive au o interfață web. Cum arată un inventar permanent descrie articolul Inventarul tuturor site-urilor și serverelor.
- Inventariați rețeaua: Adunați dispozitivele din lista DHCP, din prezentarea switch-urilor sau a firewall-ului.
- Marcați interfețele web: Notați pentru fiecare dispozitiv dacă este administrat prin HTTP sau HTTPS.
- Verificați accesările permise: Listați redirecționările de porturi și serviciile de acces la distanță din router. Fiecare interfață web accesibilă din internet urcă în fruntea listei.
- Atribuiți producătorul: Consemnați modelul, nivelul firmware-ului și linkul către anunțurile de securitate ale producătorului.
- Inventariați serviciile proprii: Enumerați separat pachetele de server web și containerele instalate pe sistemele NAS.
Un prim indiciu se poate obține printr-o interogare inofensivă a antetelor. Comanda apelează doar pagina de start și nu modifică nimic:
# Afișarea antetelor de server ale unei interfețe web (adresa ca exemplu)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Dacă acolo apare un indiciu PHP, este un punct de plecare. Dacă lipsește, asta nu dovedește nimic, deoarece multe dispozitive suprimă conștient astfel de informații.
Ce puteți face dacă nu puteți aplica singur patchul
La dispozitive, patchul este la producător. Accesibilitatea este la dumneavoastră, și exact acolo se află cea mai mare pârghie. BSI (Oficiul Federal German pentru Securitatea Informației) recomandă la PHP2Shell scoaterea temporară din rețea a serverelor web fără actualizare; pentru interfețele de administrare ale dispozitivelor, aceasta se aplică prin analogie cu atât mai mult.
- Scoateți din internet: Eliminați redirecționările de porturi către interfețele web și permiteți accesul la distanță doar prin VPN.
- Separați rețeaua de administrare: Faceți interfețele web accesibile doar dintr-un segment de rețea propriu pentru administratori. Contextul în articolul Protejarea zonelor de administrare.
- Opriți ce nu se folosește: Dezactivați pachetele de server web sau aplicațiile de pe NAS de care nu mai are nevoie nimeni.
- Urmăriți anunțurile de firmware: Activați notificările de actualizare și instalați actualizările prompt, de îndată ce producătorul le aprobă.
- Înlocuiți dispozitivele vechi: Nu mai operați dispozitive fără suportul producătorului accesibile din internet și planificați înlocuirea.
Dacă operați pe un NAS site-uri PHP proprii, pentru aceste site-uri se aplică același lucru ca la orice server web: verificați versiunea, actualizați pachetul, reporniți serviciul. Bazele vulnerabilității le explică Ce este PHP2Shell?.
Dacă un dispozitiv a fost expus în rețea
Dacă o interfață web a fost accesibilă din internet între 17 și 21 octombrie și dispozitivul este afectat, nu ar trebui doar să-l actualizați. Verificați dacă au fost modificate conturi, partajări sau redirecționări, salvați jurnalele disponibile și schimbați datele de acces. Un dispozitiv care a fost în rețea cu un atacator poate servi drept trambulină către alte sisteme.
La firewall-uri și routere, acest lucru este deosebit de delicat, deoarece ele văd tot traficul de date. În caz de îndoială, o resetare la setările din fabrică cu o reconfigurare curată este mai de încredere decât căutarea unor urme individuale; înainte ar trebui salvate jurnalele și configurația.
La un NAS se adaugă întrebarea despre date. Acolo se află adesea contracte, documente de personal sau date ale clienților. Dacă un atacator a putut accesa dispozitivul, trebuie să clarificați dacă pot fi afectate date cu caracter personal; atunci poate exista o obligație de notificare conform RGPD. Discutați aceasta din timp cu responsabilul dumneavoastră cu protecția datelor, aceasta nu este consultanță juridică.
Cum ajută PHP SOS concret?
- Inventarierea: Inventariem împreună cu dumneavoastră toate sistemele cu interfață web, inclusiv NAS, appliance-uri și mașini virtuale.
- Verificarea accesibilității: Verificăm din exterior ce interfețe sunt accesibile din internet și propunem protecții. O verificare mai amplă oferă auditul de securitate cu test de penetrare.
- Urmărirea situației la producători: Atribuim anunțurile de securitate ale producătorilor dispozitivelor dumneavoastră și planificăm actualizările.
- Clarificarea suspiciunii: Dacă un dispozitiv afectat a fost expus în rețea, salvăm jurnalele și căutăm urme.
Întrebări frecvente
Este NAS-ul meu afectat de PHP2Shell?
Aceasta o poate spune obligatoriu doar producătorul, pentru modelul și firmware-ul dumneavoastră. Verificați anunțurile lui de securitate și dacă operați pe NAS site-uri PHP proprii, de exemplu printr-un pachet de server web. Până la clarificare, interfața nu ar trebui să fie accesibilă din internet.
Pot actualiza singur PHP pe un NAS sau pe un firewall?
De regulă nu. PHP face acolo parte din firmware sau dintr-un pachet al producătorului. Actualizările vin prin funcția de actualizare a dispozitivului. Intervențiile manuale în firmware pot pune în pericol garanția și stabilitatea.
Este suficient să folosesc interfața web doar în rețeaua locală?
Reduce riscul considerabil, dar nu îl elimină. Un calculator deja compromis din aceeași rețea poate accesa în continuare interfața. Mai bună este o rețea de administrare separată sau accesul doar prin VPN.
Cum recunosc că un dispozitiv folosește PHP?
Uneori o trădează antetul serverului sau terminația .php din adresele interfeței. Dacă lipsesc astfel de indicii, asta nu dovedește nimic. De încredere sunt documentația producătorului și anunțurile de securitate.