Na kratko: Koliko strežnikov zadene PHP2Shell, je mogoče le oceniti. Unit 42 je po TechTarget naštel več kot 22,6 milijona izpostavljenih primerkov, CybelAngel navaja okoli 2,24 milijona gostiteljev PHP, BleepingComputer s sklicevanjem na VirusTotal poroča o več kot 5,1 milijona. Števila merijo različne stvari in si zato ne nasprotujejo. Za vaše podjetje šteje drugo število: koliko lastnih sistemov PHP je dosegljivih in koliko izmed njih je dokazano popravljenih.
Povod: ena številka kot naslov
„22 milijonov strežnikov v nevarnosti“ je 21. oktobra 2026 stalo v mnogih naslovih. Število izvira od Unit 42, raziskovalnega oddelka podjetja Palo Alto Networks, poročal pa je med drugim TechTarget. Kmalu zatem so krožila druga števila, deloma desetkrat manjša.
Bralci dobijo vtis, da nihče ne ve nič zanesljivega. V resnici ponudniki preprosto štejejo različne stvari z različnimi metodami. Kdor to razume, lahko števila uporabi, namesto da bi ga begala.
Koliko strežnikov zadene PHP2Shell? Števila na pregled
| Vir | Število | Kaj je bilo prešteto |
|---|---|---|
| Unit 42 (Palo Alto Networks), po TechTarget | več kot 22,6 mio. | izpostavljeni, potencialno ranljivi primerki; metoda v poročilu ni pojasnjena |
| VirusTotal, po BleepingComputer | več kot 5,1 mio. | gostitelji PHP, dosegljivi z interneta |
| CybelAngel, na podlagi podatkov Shodan | okoli 2,24 mio. | gostitelji, ki PHP izkazujejo v svojih identifikatorjih |
| CybelAngel | 59 % od okoli 1,5 mio. | delež gostiteljev z vidno različico na vejah brez uradne posodobitve |
| CybelAngel | okoli 740.000 | gostitelji, ki izkazujejo PHP, a skrivajo svojo različico |
Vsa števila se nanašajo na stanje okoli 20. in 21. oktobra. So trenutni posnetki in se spreminjajo z vsako nameščeno posodobitvijo.
Zakaj so štetja tako različna
Tri učinki pojasnjujejo večino razlik.
Primerek, gostitelj, spletna stran. Gostitelj je praviloma naslov IP ali strežnik. Primerek je lahko posamezna storitev ali posamezna spletna stran. Na strežniku v shared hostingu pogosto teče na stotine spletnih strani. CybelAngel sam opozarja: štejejo se gostitelji, ne organizacije ali spletne strani, dejansko število dosegljivih aplikacij je verjetno višje.
Skrite različice. Mnogi strežniki svoje različice PHP ne razkrijejo, na primer ker je expose_php izklopljen. V statistikah, ki temeljijo na različicah, manjkajo. Zakaj je skrivanje smiselno, a zaščite ne nadomesti, pojasnjuje prispevek o podatkih o različici in expose_php.
Backporti. Distribucije in ponudniki gostovanja popravke deloma namestijo, ne da bi spremenili številko različice. Strežnik, ki navzven kaže staro številko, je torej lahko popravljen. Štetja po prikazani različici zato precenjujejo število nepopravljenih sistemov. Kako pri sebi preverite pravo stanje, je opisano pod Preverjanje različice PHP in stanja popravkov.
Kako nastanejo taka štetja
Večina števil temelji na iskalnih storitvah, ki sproti poizvedujejo po internetu in shranjujejo, kar strežniki povedo o sebi. Spletni strežnik v odgovorih pogosto navede programsko opremo in različico, na primer v glavi X-Powered-By. CybelAngel se po lastnem prikazu opira na take identifikatorje iz podatkov Shodan. Pri tem se nič ne napada, bere se samo to, kar je tako ali tako javno vidno.
Iz tega izhaja preprosto pravilo branja za vsako novo število v medijih. Vprašajte: Kaj je bilo prešteto, gostitelji, primerki ali spletne strani? Kdaj je bilo merjeno, pred 21. oktobrom ali po njem? In kako je bila določena različica, prek prikazane številke ali z dejanskim preizkusom? Kdor na ta tri vprašanja ne zna odgovoriti, naj število obravnava kot grob red velikosti, ne kot merilno vrednost.
„Izpostavljen“ pomeni dosegljiv in po zunanjih značilnostih morda ranljiv. Ne pomeni napaden in ne kompromitiran. BSI sprva ni poznal potrjenih uspešnih napadov v širšem obsegu.
Kaj števila kljub temu zanesljivo kažejo
Čeprav višina niha, štetja podpirajo tri trdne izjave:
- Površina napada je ogromna. Že najmanjše število pomeni milijone dosegljivih tarč. Napadalcem ni treba iskati, lahko preverjajo samodejno.
- Stare različice so razširjene. Po CybelAngel je 59 odstotkov gostiteljev z vidno različico teklo na vejah, za katere projekt PHP ne objavlja uradne posodobitve. Za te sisteme ne pomaga hiter popravek, ampak le backport, tretji ponudnik ali migracija. Tveganja opisuje vodnik PHP End of Life.
- Težava ostane dlje. Velik del dosegljivih sistemov ne bo posodobljen v nekaj dneh. Skeniranja in poskusi napadov bodo zato predvidoma tekli še dolgo.
Ugotovite svoje število
Svetovno število je naslov. Vaše je naloga. Tako pridete do njega:
- Zberite domene in poddomene: iz območij DNS, potrdil, pogodb z agencijami in ponudniki gostovanja.
- Razvrstite dosegljive storitve: Kateri strežnik stoji za katerim naslovom, kdo ga upravlja?
- Zajemite stanje PHP za vsak sistem: različica, način delovanja, vir paketov, potrdilo o backportu.
- Ovrednotite rezultat: popravljeno in dokazano, popravljeno brez dokaza, nepopravljeno, neznano.
- Zaprite vrzeli: neznano najprej razjasniti, nepopravljeno najprej obravnavati.
Na koncu stoji kratek seznam namesto velikega števila. Kako popis trajno vzdržujete, opisuje prispevek Popis vseh spletnih strani in strežnikov.
Kako konkretno pomaga PHP SOS?
- Pogled od zunaj: Ugotovimo, kateri vaši sistemi so dosegljivi z interneta in kateri izmed njih uporabljajo PHP.
- Pogled od znotraj: Preverimo stanje popravkov in ponovni zagon na strežnikih, ne le prikazane različice.
- Ocena: Prejmete seznam s statusom za vsak sistem in jasnim vrstnim redom.
- Preverjanje: Na željo po popravku od zunaj preizkusimo, ali se je stanje izboljšalo, kot je bilo pričakovano.
Kako tak pregled poteka, opisuje varnostni pregled in penetracijski test.
Sklep
22,6 milijona, 5,1 milijona, 2,24 milijona: števila delujejo nasprotujoče, a merijo le različne stvari. Skupaj kažejo, da PHP2Shell zadene zelo veliko površino napada in da je na spletu veliko starih različic. Števila, ki odloča o vašem tveganju, ne daje nobena študija. Nastane le s pogledom na lastne sisteme.
Pogosta vprašanja
Koliko strežnikov zadene PHP2Shell?
Tega ne ve nihče natančno. Unit 42 podjetja Palo Alto Networks je po TechTarget naštel več kot 22,6 milijona izpostavljenih, potencialno ranljivih primerkov. CybelAngel navaja okoli 2,24 milijona gostiteljev, dosegljivih z interneta, ki izkazujejo PHP. Števila merijo različne stvari in niso neposredno primerljiva.
Zakaj se števila tako močno razlikujejo?
Ker se štejejo različne stvari: primerki, gostitelji, naslovi IP ali storitve. Na gostitelju s shared hostingom je lahko na stotine spletnih strani. Poleg tega mnogi strežniki svoje različice PHP ne prikažejo, drugi prikažejo staro številko, čeprav je backport nameščen.
Ali izpostavljen pomeni, da je bil strežnik napaden?
Ne. Izpostavljen pomeni samo, da je storitev PHP dosegljiva z interneta in bi po zunanjih značilnostih lahko bila ranljiva. O dejanskih napadih ta štetja ne povedo nič.
Katero število je pomembno za moje podjetje?
Število vaših lastnih javno dostopnih sistemov PHP in koliko izmed njih je dokazljivo popravljenih. Svetovna števila kažejo obseg, a lastnega popisa ne nadomestijo.