Na kratko: PHP2Shell sta dve kritični ranljivosti v samem PHP, prek katerih lahko napadalci brez prijave izvedejo škodljivo kodo. Če hitro potrebujete pomoč pri tej varnostni ranljivosti PHP, na daljavo prevzamemo popis, nameščanje popravkov ali vmesni ukrep, ponovni zagon vseh procesov PHP in prvo iskanje sledi. Na koncu prejmete pisno dokazilo o stanju.
Pomoč pri varnostni ranljivosti PHP: zakaj je treba ukrepati zdaj
Projekt PHP je 21. 10. 2026 ob 16. uri po nemškem času objavil popravke za CVE-2026-109618 in CVE-2026-109619. Obe ranljivosti imata po CVSS v4.0 oceno 9,2 in omogočata izvajanje škodljive kode na daljavo, ne da bi se moral kdorkoli prijaviti. Prizadeti so običajni načini delovanja: PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP in LiteSpeed.
BSI je izdal opozorilno stopnjo 3 (oranžna). Priporoča takojšnjo posodobitev in, če to ni mogoče takoj, začasen odklop spletnih strežnikov z omrežja. Palo Alto Networks (Unit 42) je naštel več kot 22,6 milijona izpostavljenih, potencialno ranljivih instanc. Potrjeni uspešni napadi v širšem obsegu po navedbah BSI sprva niso bili znani, Cloudflare pa je že poročal o poskusih napadov.
Za vodstvo in lastnike to pomeni: vsak javno dostopen strežnik PHP je kandidat, dokler ni dokazano nasprotno. Razumljivo razlago ranljivosti najdete na strani Kaj je PHP2Shell?.
Za koga je takojšnja pomoč pri PHP2Shell namenjena?
Za podjetja, agencije in javne ustanove, ki upravljajo aplikacije PHP in stanja sami ne morejo ali nočejo obdelati v potrebni globini. To zadeva lastne root strežnike in vServerje enako kot strežnike s Pleskom ali cPanelom, okolja s containerji in upravljane strežnike, kjer je odgovornost nejasna.
Tudi kdor ima ponudnika gostovanja, pogosto potrebuje podporo. Številni ponudniki nameščajo backporte; takrat Plesk še naprej prikazuje na primer 8.2.34, čeprav je stanje paketa popravljeno. Obratno se lahko prikaže nova številka različice, medtem ko stari procesi PHP še tečejo v pomnilniku. Katera stanja veljajo za odpravljena, piše na strani Katere različice PHP so prizadete?.
Kako konkretno pomaga PHP SOS?
- Popis: zabeležimo vse namestitve PHP, načine delovanja in različice na vaših strežnikih, vključno s stanjem paketov in tekočimi procesi. Rezultat je seznam, kateri sistemi so prizadeti, odpravljeni ali nejasni.
- Popravek ali vmesni ukrep: kjer je mogoče, namestimo odpravljene različice (8.5.12, 8.4.27, 8.3.36, 8.2.35) ali pakete vaše distribucije. Če to ni takoj mogoče, uvedemo vmesne ukrepe po navodilih php.net in odkrito povemo, da ne nudijo popolne zaščite.
- Ponovni zagon in kontrola: znova zaženemo vse workerje in procese PHP ter nato preverimo, da noben star proces ne teče več. Nove datoteke same ranljivosti ne zaprejo.
- Prvo iskanje sledi: zavarujemo dnevnike strežnika od 20. 10. dalje in iščemo nepravilnosti, kot so nove datoteke PHP, neznana cron opravila ali nenavadni procesi. Ker ni objavljenih, potrjenih indikatorjev ogroženosti (Indicators of Compromise), to preverjanje temelji na analizi vedenja.
- Dokazilo in nadaljnji koraki: prejmete pisno poročilo. Ob sumu na ogroženost priporočimo ustrezne nadaljnje korake, na primer odstranitev škodljive programske opreme ali forenzično preiskavo.
Popravek ne odstrani že vnesene škodljive programske opreme in ne dokazuje, da prej ni bilo nič narobe. Zato k takojšnji pomoči vedno sodi pogled na obdobje od 17. 10. 2026 dalje.
Kaj dobite od nas
- pregled vseh preverjenih strežnikov z različico PHP, stanjem paketa, načinom delovanja in stanjem popravkov
- dokumentacijo nameščenih posodobitev ali uvedenih vmesnih ukrepov
- dokazilo, da so bili vsi procesi PHP znova zagnani
- oceno iskanja sledi, ločeno na dokazano, verjetno in neznano
- seznam odprtih točk, na primer sistemov s PHP 8.1 ali starejšim
To poročilo lahko posredujete vodstvu, pooblaščencem za varstvo podatkov ali zavarovalnicam. Pravne ocene ne nadomešča.
Kaj potrebujemo od vas
- Dostop: dostop SSH ali do panela z zadostnimi pravicami, druga možnost je dovoljenje, da vaš ponudnik gostovanja lahko poda informacije nam
- Kontaktna oseba: oseba, ki sme sprejemati odločitve, na primer o kratkotrajnem delovanju brez povezave ali o ponovnem zagonu
- Pregled: katere spletne strani, trgovine in aplikacije tečejo na katerih strežnikih
- Okno vzdrževanja: vaše zahteve, kdaj so ponovni zagoni dovoljeni
- Varnostne kopije: informacija, kje so aktualne kopije
Skrbniki, ki želijo stanje najprej preveriti sami, pogosto zadostijo že s tem neškodljivim pogledom:
php -v
# Debian/Ubuntu: nameščeni paketi PHP z različico
dpkg -l | grep -i php
# tekoči procesi PHP in njihov začetni čas
ps -eo pid,lstart,cmd | grep -i php
Česa ne obljubljamo
Ne obljubljamo absolutne varnosti in ne trdimo, da vaš strežnik nikoli ni bil napaden, če dokazi tega ne omogočajo. Na incidentu delamo, dokler ni zaključen in dokumentiran. Ali obstaja obveznost prijave po GDPR ali je treba obvestiti zavarovalnico, razjasnite s pooblaščencem za varstvo podatkov, odvetnikom ali zavarovalnico. To ni pravno svetovanje; za to zagotovimo tehnična dejstva.
Če potrebujete samo posodobitev z dokazilom, je primerna naša storitev popravljanja PHP. Če že obstajajo znaki napada, je pravi začetek nujna pomoč pri vdrti spletni strani.
Pogosta vprašanja
Ali zadošča, če je moj ponudnik gostovanja posodobil PHP?
Lahko zadošča, če ponudnik stanje paketa potrdi pisno in so bili vsi procesi PHP znova zagnani. Prikazana številka različice sama ni dokaz, ker distribucije nameščajo backporte. Ali je bil strežnik že prej napaden, popravek tako ali tako ne pove.
Ali mora moja spletna stran zaradi takojšnje pomoči delovati brez povezave?
Ne nujno. BSI (nemški zvezni urad za informacijsko varnost) priporoča, da se spletni strežniki začasno odklopijo z omrežja, če posodobitev ni mogoča takoj. Ali je to potrebno pri vas, skupaj odločimo po popisu.
Ali posodobitev WordPressa ali Shopwara ščiti pred PHP2Shell?
Ne. PHP2Shell je v samem PHP, ne v CMS-ju. Posodobitev CMS-ja ostaja smiselna, a te ranljivosti ne zapre.
Kaj se zgodi pri PHP 8.1 ali starejšem?
Za te različice projekt PHP ne izdaja več uradnih posodobitev, samo minimalne backporte izvorne kode za 7.4, 8.0 in 8.1. Strežnik začasno zavarujemo in z vami načrtujemo prehod na podprto različico.