Na kratko: Med dokazana dejstva o PHP2Shell spadajo obe številki CVE, ocena CVSS v4.0 9,2, odpravljene različice PHP in prehodni ukrepi s php.net. Dokazana je tudi opozorilna stopnja oranžna, ki jo je razglasil BSI (nemški zvezni urad za informacijsko varnost). Ni dokazana ocena CVSS 10, potrjeni uspešni napadi v širšem obsegu in seznam znakov za prepoznavanje. Kdor te tri ravni loči, sprejema boljše odločitve.
Zakaj je preverjanje dejstev o PHP2Shell potrebno
Malo varnostnih ranljivosti zadnjih let je tako hitro sprožilo toliko naslovov. Že preden je ekipa PHP 21. oktobra 2026 objavila posodobitve, so po poročilih krožili forumski prispevki, posnetki zaslona in domnevne podrobnosti. Sledila so opozorila uradov, blogi proizvajalcev, štetja izpostavljenih strežnikov in poplava nasvetov.
Za upravljavce to pomeni: vsa števila in vsi nasveti niso enake kakovosti. Del jih izvira iz primarnih virov, del iz resnega poročanja, del iz ugibanj. Ta članek razvršča, kaj lahko za svoje odločitve uporabite kot zanesljivo. Osnove same ranljivosti pojasnjuje stran Kaj je PHP2Shell?.
Katera vira imata kakšno težo
Pri branju vsakega obvestila pomaga preprosta razvrstitev:
- php.net: Projekt PHP je primarni vir za številke CVE, ocene, prizadete načine delovanja, odpravljene različice in prehodne ukrepe. Kako projekt načeloma obravnava varnostna obvestila, opisuje naš prispevek o varnostnem procesu PHP.
- Uradi: BSI podaja oceno stanja v Nemčiji in priporočila za ukrepanje, CERT-EU in CERT-Bund (nemški vladni CERT) ju dopolnjujeta.
- Distribucije in ponudniki: Debian, Ubuntu, Red Hat, ponudniki gostovanja in platformne storitve zavezujoče govorijo le o svojih paketih in storitvah.
- Varnostna podjetja: Cloudflare, Unit 42, CybelAngel in drugi poročajo na podlagi lastnih meritev. Dragoceno, a vsakič z lastno metodo.
- Mediji in družbena omrežja: Dobri za hitrost, šibki pri podrobnostih. Trditve od tam potrebujejo potrditev iz vira, ki je višje na seznamu.
Dokazano, poročano, nedokazano: pregled
Naslednja tabela razvršča najpogostejše trditve. „Dokazano“ pomeni: primarni vir ali urad. „Poročano“ pomeni: iz medijev ali navedb proizvajalcev, neodvisno nepotrjeno.
| Trditev | Uvrstitev | Podlaga |
|---|---|---|
| Dve ranljivosti, CVE-2026-109618 in CVE-2026-109619 | dokazano | php.net |
| Ocena CVSS v4.0 9,2, kritično | dokazano | php.net |
| Ocena CVSS 10 | nevzdržno | po poročilih iz foruma pred obvestilom |
| Odpravljeno v 8.5.12, 8.4.27, 8.3.36, 8.2.35 | dokazano | php.net |
| mod_php z najvišjim tveganjem, exploit prikazan pred kodo aplikacije | dokazano | php.net |
| Prizadete skoraj vse različice do PHP 5.4 | poročano | strokovni tisk |
| Prvi poskus napada 17. 10. | poročano | medijska poročila s sklicevanjem na Amazon |
| Več kot 22,6 mio. izpostavljenih primerkov | poročano | Unit 42, po TechTarget |
| Uspešni napadi v širšem obsegu | nedokazano | po BSI sprva niso bili znani |
| Potrjeni indicators of compromise | ne obstajajo | brez objave |
| Prehodni ukrepi popolnoma ščitijo | napačno | php.net jih izrecno imenuje nepopolne |
Opazno je, kako zgodaj se števila osamosvojijo. Ocena 10.0 iz forumskega prispevka se je pojavljala še dneve pozneje v prispevkih, čeprav je ekipa PHP že zdavnaj objavila 9,2.
Kje je negotovost resnično
Največje odprto vprašanje ni tehnično, ampak časovno: kaj se je zgodilo med prvim poročanim poskusom napada in popravkom na posameznih strežnikih? Na to ni splošnega odgovora. Cloudflare in Patchstack sta poročala o poskusih napada, watchTowr je CVE-2026-109618 po lastnih navedbah poustvaril. Huntress pa ob času svojega obvestila v partnerskih okoljih ni videl napadov.
Te izjave si ne nasprotujejo. Opisujejo različne izseke: velik proxy, podjetje za varnost vtičnikov, raziskovalno ekipo in podjetje z lastno bazo strank. Celotne slike iz tega ni mogoče sestaviti.
Podobno velja za vprašanje, katere različice so prizadete. Za 8.2 do 8.5 je stanje jasno. Za starejše veje obstajajo minimalni backporti izvorne kode za 7.4, 8.0 in 8.1, a ne uradne izdaje. Kar je starejše, je po navedbah strokovnega tiska skoraj brez izjeme prizadeto. Za vaše načrtovanje to komaj spremeni kaj: strežnik s PHP 8.1 ali starejšim brez potrjenega backporta obravnavajte kot ogroženega.
Odsotnost dokazov o napadih ni dokaz varnosti. Ker potrjenih znakov za prepoznavanje ni, je napad na posamezen strežnik mogoče oceniti le s preverjanjem vedenja, ne s seznamom.
Kaj iz tega izpeljete za svoje strežnike
Iz dokazanih dejstev izhaja nekaj jasnih korakov. Iz nedokazanih izhaja predvsem previdnost.
- Preverite stanje popravkov: odpravljena različica ali backport, ki ga je potrdil ponudnik. Samo prikazana številka različice ne zadošča.
- Znova zaženite vse procese PHP: Nove datoteke začnejo delovati šele, ko ne tečejo več stari procesi.
- Varnostno shranite loge od 20. 10.: Strokovni tisk to priporoča, da ostane poznejši pregled mogoč.
- Preglejte znake: Nove datoteke PHP v mapah za nalaganje, neznani cronjobi, procesi spletnega strežnika z lupino. Stran Ali sem že kompromitiran? vas vodi skozi preverjanje.
- Svete preverite pri drugih virih: Nasvete iz forumov in družbenih omrežij uporabite le, če jih je mogoče izpeljati iz php.net ali urada. Katera priporočila trenutno škodujejo, zbira prispevek Nevarni napačni nasveti za PHP2Shell.
Za notranje obveščanje pomaga ista ločitev. Kdor poslovodstvu predloži „dokazano“, „poročano“ in „odprto“ ločeno, se izogne alarmizmu in lažnemu miru.
Kako konkretno pomaga PHP SOS?
- Stanje za vaše sisteme: Dokazana dejstva prenesemo na vaše strežnike in v dokumentaciji ločimo, kaj je izmerjeno, kaj poročano in kaj odprto.
- Popravek in dokazilo: Preverimo stanje paketov in ponovni zagon vsake storitve PHP ter to zabeležimo pisno.
- Pregled sledi: Loge od 20. oktobra varnostno shranimo in iščemo nenavadno vedenje, dokler incident ni zaključen in dokumentiran.
- Stalna presoja: Nova obvestila vam ocenimo, preden iz njih nastanejo ukrepi.
Potek opisuje takojšnja pomoč PHP2Shell.
Sklep
PHP2Shell je resen in to je dobro dokazano. Ravno zato se splača trezen pogled: primarni viri zadoščajo za vse pomembne odločitve. Kar kroži poleg tega, je pogosto hitrejše kot natančno. Posodobiti, znova zagnati, varnostno shraniti loge in preveriti sledi ostane odgovor, ne glede na to, katera številka je ravno v obtoku.
Pogosta vprašanja
Ali je PHP2Shell ocenjen s CVSS 10?
Ne. Število 10 izvira po poročilih iz foruma, ki je krožilo pred uradnim obvestilom. Ekipa PHP obe ranljivosti ocenjuje s CVSS v4.0 9,2. To je še vedno kategorija kritično.
Ali obstaja seznam znakov za prepoznavanje napadov PHP2Shell?
Zaenkrat ne. Objavljenih in potrjenih indicators of compromise ni. Kdor želi preveriti, ali je bil strežnik prizadet, mora biti pozoren na nenavadno vedenje, na primer procese spletnega strežnika, ki zaženejo lupino, ali nove datoteke PHP v mapah za nalaganje.
Kateri vir je pri PHP2Shell najzanesljivejši?
Za tehnična dejstva obvestila na php.net, za oceno stanja v Nemčiji BSI. Medijska poročila in blogi proizvajalcev sliko dopolnjujejo, vendar jih je treba označiti kot poročila in brati ob primarnem viru.
Ali so res prizadete vse različice PHP od PHP 5 naprej?
Dokazano je stanje za veje 8.2 do 8.5, za katere obstajajo posodobitve. Po navedbah strokovnega tiska so prizadete skoraj vse različice do PHP 5.4; CERT-EU je po poročilih menil, da so možne različice od PHP 5 naprej. Za starejše različice uradnih posodobitev ni, zato jih v vsakem primeru obravnavajte kot ogrožene.