Stručne: Koľko serverov PHP2Shell postihuje, sa dá len odhadnúť. Unit 42 napočítal podľa TechTarget viac ako 22,6 milióna vystavených inštancií, CybelAngel uvádza približne 2,24 milióna hostiteľov PHP, BleepingComputer s odvolaním sa na VirusTotal informuje o viac ako 5,1 milióna. Čísla merajú rozdielne veci, a preto si neodporujú. Pre váš podnik platí iné číslo: koľko vlastných systémov PHP je dostupných a koľko z nich je doložene zaplátaných.
Východisko: jedno číslo robí titulky
„22 miliónov serverov v ohrození“ stálo 21. októbra 2026 v mnohých titulkoch. Číslo pochádza od Unit 42, výskumného oddelenia Palo Alto Networks, a okrem iného ho uviedol TechTarget. Krátko nato kolovali iné čísla, čiastočne desaťkrát menšie.
Čitatelia nadobúdajú dojem, že nikto nevie nič isté. V skutočnosti poskytovatelia jednoducho počítajú rôzne veci rôznymi metódami. Kto to pochopí, môže čísla využiť, namiesto aby sa nimi nechal znepokojiť.
Koľko serverov PHP2Shell postihuje? Čísla v prehľade
| Zdroj | Číslo | Čo sa počítalo |
|---|---|---|
| Unit 42 (Palo Alto Networks), podľa TechTarget | viac ako 22,6 mil. | vystavené, potenciálne zraniteľné inštancie; metóda v správe nie je vysvetlená |
| VirusTotal, podľa BleepingComputer | viac ako 5,1 mil. | hostitelia PHP dostupní z internetu |
| CybelAngel, na základe údajov zo Shodanu | približne 2,24 mil. | hostitelia, ktorí vo svojich identifikátoroch uvádzajú PHP |
| CybelAngel | 59 % z približne 1,5 mil. | podiel hostiteľov s viditeľnou verziou na vetvách bez oficiálnej aktualizácie |
| CybelAngel | približne 740 000 | hostitelia, ktorí uvádzajú PHP, ale svoju verziu skrývajú |
Všetky čísla sa vzťahujú na situáciu okolo 20. a 21. októbra. Sú to momentky a menia sa s každou nasadenou aktualizáciou.
Prečo sú sčítania od seba tak vzdialené
Väčšinu rozdielov vysvetľujú tri efekty.
Inštancia, hostiteľ, web. Hostiteľ je zvyčajne adresa IP alebo server. Inštancia môže byť jednotlivá služba alebo jednotlivý web. Na serveri so zdieľaným hostingom často beží stovky webov. CybelAngel sám upozorňuje: počítajú sa hostitelia, nie organizácie ani weby, skutočný počet dostupných aplikácií bude zrejme vyšší.
Skryté verzie. Mnohé servery svoju verziu PHP neprezrádzajú, napríklad preto, že je vypnuté expose_php. V štatistikách založených na verziách chýbajú. Prečo je skrývanie rozumné, no ochranu nenahrádza, vysvetľuje príspevok o údajoch o verzii a expose_php.
Backporty. Distribúcie a poskytovatelia hostingu čiastočne nasadzujú opravy bez zmeny čísla verzie. Server, ktorý navonok ukazuje staré číslo, teda môže byť zaplátaný. Sčítania podľa zobrazenej verzie preto preceňujú počet nezaplátaných systémov. Ako zistíte skutočný stav u seba, nájdete pod Kontrola verzie PHP a stavu záplat.
Ako takéto sčítania vznikajú
Väčšina čísel sa opiera o vyhľadávacie služby, ktoré priebežne dotazujú internet a ukladajú, čo o sebe servery oznamujú. Webový server vo svojich odpovediach často uvádza softvér a verziu, napríklad v hlavičke X-Powered-By. CybelAngel sa podľa vlastného opisu opiera o takéto identifikátory z údajov Shodanu. Nič sa pritom nenapáda, číta sa len to, čo je tak či tak verejne viditeľné.
Z toho vyplýva jednoduché pravidlo čítania pre každé nové číslo v médiách. Pýtajte sa: Čo sa počítalo, hostitelia, inštancie alebo weby? Kedy sa meralo, pred 21. októbrom alebo po ňom? A ako sa určila verzia, podľa zobrazeného čísla alebo skutočným testom? Kto na tieto tri otázky nevie odpovedať, mal by číslo považovať za hrubý rád veľkosti, nie za nameranú hodnotu.
„Vystavený“ znamená dostupný a podľa vonkajších znakov možno zraniteľný. Neznamená napadnutý ani kompromitovaný. BSI spočiatku nepoznalo žiadne potvrdené úspešné útoky vo väčšom rozsahu.
Čo čísla napriek tomu spoľahlivo ukazujú
Aj keď výška kolíše, sčítania nesú tri spoľahlivé tvrdenia:
- Útočná plocha je obrovská. Aj najmenšie číslo znamená milióny dostupných cieľov. Útočníci nemusia hľadať, môžu kontrolovať automatizovane.
- Staré verzie sú rozšírené. Podľa CybelAngel bežalo 59 percent hostiteľov s viditeľnou verziou na vetvách, pre ktoré projekt PHP nezverejňuje oficiálnu aktualizáciu. Týmto systémom nepomôže rýchla záplata, ale iba backport, tretia strana alebo migrácia. Riziká popisuje sprievodca PHP End of Life.
- Problém zostane dlhšie. Veľká časť dostupných systémov sa neaktualizuje v priebehu dní. Skeny a pokusy o útok preto budú pravdepodobne bežať ešte dlho.
Zistiť vlastné číslo
Celosvetové číslo je titulok. Vaše vlastné je úloha. Takto sa k nemu dostanete:
- Zhromaždiť domény a subdomény: z DNS zón, certifikátov, zmlúv s agentúrami a poskytovateľmi hostingu.
- Priradiť dostupné služby: Aký server stojí za ktorou adresou, kto ho prevádzkuje?
- Zistiť stav PHP pre každý systém: verzia, režim prevádzky, zdroj balíkov, potvrdenie backportu.
- Vyhodnotiť výsledok: zaplátané a doložené, zaplátané bez dokladu, nezaplátané, neznáme.
- Zatvoriť medzery: neznáme najprv objasniť, nezaplátané najprv riešiť.
Na konci stojí krátky zoznam namiesto veľkého čísla. Ako inventár udržiavať trvalo, popisuje príspevok Inventár všetkých webov a serverov.
Ako konkrétne pomáha PHP SOS?
- Pohľad zvonka: Zistíme, ktoré z vašich systémov sú dostupné z internetu a ktoré z nich používajú PHP.
- Pohľad zvnútra: Kontrolujeme stav záplat a reštart na serveroch, nielen zobrazenú verziu.
- Vyhodnotenie: Dostanete zoznam so stavom pre každý systém a jasným poradím.
- Overenie: Na želanie po záplate zvonka otestujeme, či sa situácia zlepšila podľa očakávania.
Ako takáto kontrola prebieha, popisuje bezpečnostný audit a penetračný test.
Záver
22,6 milióna, 5,1 milióna, 2,24 milióna: čísla pôsobia protirečivo, merajú však len rôzne veci. Spoločne ukazujú, že PHP2Shell sa týka veľmi veľkej útočnej plochy a že na internete stojí veľa starých verzií. Číslo, ktoré rozhoduje o vašom riziku, nedodá žiadna štúdia. Vznikne len pohľadom na vlastné systémy.
Časté otázky
Koľko serverov PHP2Shell postihuje?
To presne nevie nikto. Unit 42 od Palo Alto Networks napočítal podľa TechTarget viac ako 22,6 milióna vystavených, potenciálne zraniteľných inštancií. CybelAngel uvádza približne 2,24 milióna hostiteľov dostupných z internetu, ktoré hlásia PHP. Čísla merajú rozdielne veci a nie sú priamo porovnateľné.
Prečo sa čísla tak veľmi líšia?
Pretože sa počítajú rôzne veci: inštancie, hostitelia, adresy IP alebo služby. Na hostiteľovi so zdieľaným hostingom môžu ležať stovky webov. Okrem toho mnohé servery svoju verziu PHP nezobrazujú, iné zobrazujú staré číslo, hoci je nasadený backport.
Znamená vystavený, že server bol napadnutý?
Nie. Vystavený znamená len to, že služba PHP je dostupná z internetu a podľa vonkajších znakov by mohla byť zraniteľná. O skutočných útokoch tieto sčítania nič nevypovedajú.
Ktoré číslo je pre môj podnik dôležité?
Počet vašich vlastných verejne dostupných systémov PHP a koľko z nich je preukázateľne zaplátaných. Celosvetové čísla ukazujú rozsah, ale vlastný inventár nenahrádzajú.