Na kratko: PHP2Shell je ime za dve kritični varnostni ranljivosti v samem PHP, CVE-2026-109618 in CVE-2026-109619. Prek njiju lahko napadalci na ranljivih spletnih strežnikih brez prijave izvedejo škodljivo kodo. Pomaga samo posodobitev na odpravljeno različico PHP s poznejšim ponovnim zagonom vseh procesov PHP.
Kaj je PHP2Shell?
PHP je programski jezik, na katerem teče velik del vseh spletnih strani: podjetniške strani z WordPressom ali TYPO3, spletne trgovine s Shopwarom ali WooCommerce, interni portali in lastni razvoji. Projekt PHP je 21. oktobra 2026 objavil varnostne posodobitve za dve ranljivosti, ki sta postali znani pod imenom PHP2Shell.
Obe ranljivosti imata po CVSS v4.0 oceno 9,2, torej sta kritični. Posledica je v obeh primerih ista: izvajanje škodljive kode na daljavo, ne da bi se moral napadalec prijaviti. Strokovnjaki govorijo o „unauthenticated Remote Code Execution“. Kdor lahko na strežniku izvede kodo, v najhujšem primeru bere podatke, vgradi stranska vrata ali strežnik uporabi za nadaljnje napade.
Pomembno za razumevanje: ranljivost ni v določenem CMS-ju ali vtičniku, ampak v PHP. Posodobitev WordPressa, Shopwara ali TYPO3 je zato ne zapre.
Zakaj je ranljivost tako resna?
Tri točke naredijo PHP2Shell z vidika varnostnih organov posebej občutljiv:
- Širina: prizadeti so običajni načini delovanja PHP, in sicer PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP in LiteSpeed. Palo Alto Networks (Unit 42) je naštel več kot 22,6 milijona izpostavljenih, potencialno ranljivih instanc.
- Prijava ni potrebna: napadalec ne potrebuje ne gesla ne uporabniškega računa.
- Zgodnji trenutek: pri Apacheu z mod_php je bil po navedbah ekipe PHP exploit prikazan, še preden se sploh izvede koda aplikacije. Zaščitne funkcije znotraj spletne strani tedaj ne delujejo.
BSI je razglasil opozorilno stopnjo 3 (oranžna). Priporoča takojšnjo posodobitev in, če to ni takoj mogoče, začasen odklop prizadetih spletnih strežnikov z omrežja.
Kateri strežniki so prizadeti zaradi PHP2Shell?
Ranljivosti so odpravljene v PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Starejša stanja teh vej so prizadeta. Za PHP 8.1 in starejše uradnih posodobitev ni več; po poročilih strokovnega tiska so prizadete skoraj vse različice nazaj do PHP 5.4. Celoten pregled najdete na strani Katere različice PHP so prizadete?.
Posebnost: distribucije Linuxa in ponudniki gostovanja popravke deloma nameščajo kot backport. Takrat Plesk še naprej prikazuje na primer 8.2.34, čeprav je napaka odpravljena. Merodajna sta stanje paketa in potrditev ponudnika. Kako to preverite, razlagamo na strani Pravilno preverjanje različice PHP in stanja popravkov.
Kaj je dokazano, kaj je odprto?
Dokazani sta obe številki CVE, odpravljene različice in vmesni ukrepi, ki jih je objavil php.net. 23. oktobra se je pridružilo opozorilo o nadaljnji ranljivosti, CVE-2026-115560, ki deluje samo pri nenavadni konfiguraciji.
Verjetno je, da napadalci ranljive strežnike še naprej aktivno iščejo. Po poročilih medijev je bil prvi poskus napada opažen že 17. oktobra, torej pred objavo popravkov. Cloudflare je poročal o poskusih napadov in uvedel zaščitna pravila, vendar opozarja, da pravila samo na podlagi podatkov zahteve ne zadoščajo.
Odprto je, koliko strežnikov je bilo že uspešno napadenih. Potrjeni uspešni napadi v širšem obsegu po navedbah BSI sprva niso bili znani. Objavljenih, potrjenih indikatorjev ogroženosti (Indicators of Compromise) ni. Ali je bil strežnik prizadet, je zato mogoče oceniti samo z analizo vedenja. Časovni potek povzema kronologija od 17. do 25. oktobra.
Kaj naj podjetja storijo zdaj
- Razjasniti, kdo je odgovoren: lasten strežnik, upravljan strežnik ali ponudnik gostovanja.
- Posodobiti PHP na odpravljeno različico ali potrjen backport.
- Znova zagnati vse procese PHP. Nove datoteke same ne zadoščajo, dokler stari procesi tečejo v pomnilniku.
- Zavarovati dnevnike, in sicer od 20. oktobra dalje. Strokovni tisk svetuje hranjenje teh podatkov.
- Preveriti sledi. Popravek ne odstrani že vnesene škodljive programske opreme in ne dokazuje, da prej ni bilo nič narobe. Napotke ponuja stran Ali sem že ogrožen?.
Posodobitev zapre vrata, a ne pospravi. Če je bil vaš strežnik med 17. oktobrom in popravkom dosegljiv, je pregled sledi obveznost in ne dodatek.
Kako konkretno pomaga PHP SOS?
S takojšnjo pomočjo pri PHP2Shell prevzamemo korake, ki jih številna podjetja interno ne morejo pokriti v kratkem času:
- Popis: ugotovimo različico PHP, način delovanja in stanje paketa vsakega prizadetega strežnika.
- Popravek ali prehod: namestimo posodobitev ali, kjer to še ni mogoče, uvedemo vmesne ukrepe php.net in razjasnimo vprašanje, ali je treba strežnik začasno odklopiti z omrežja.
- Ponovni zagon in dokazilo: znova zaženemo vse procese PHP in dokumentiramo stanje pred in po.
- Preverjanje sledi: zavarujemo dnevnike od 20. oktobra dalje in preverjamo nepravilnosti, dokler incident ni zaključen in dokumentiran.
Pogosta vprašanja
Ali je PHP2Shell ranljivost WordPressa?
Ne. Ranljivosti sta v PHP, torej v programskem jeziku, na katerem tečejo WordPress, Shopware, TYPO3 in številni drugi sistemi. Posodobitev CMS-ja ju zato ne zapre. Odločilno je stanje PHP na strežniku.
Ali moram kot stranka ponudnika gostovanja sam kaj storiti?
Pri shared hostingu posodobitev PHP praviloma namesti ponudnik. Kljub temu si pisno potrdite, da je bila različica PHP, ki jo uporabljate, popravljena in znova zagnana. Ali se je pred popravkom kaj zgodilo, posodobitev ne pove.
Od kod ime PHP2Shell?
Ime opisuje posledico: prek PHP lahko napadalec v najhujšem primeru pridobi ukazno vrstico, torej shell, na strežniku. Uradni oznaki sta številki CVE-2026-109618 in CVE-2026-109619.
Ali je bila moja spletna stran že napadena, če je bila odklopljena z omrežja?
Ne nujno. Nekateri ponudniki so spletne strani previdnostno odklopili, kot priporoča BSI (nemški zvezni urad za informacijsko varnost), kadar posodobitev ni takoj mogoča. To je zaščitni ukrep in ne dokaz napada.