Накратко: Колко сървъра са засегнати от PHP2Shell, може само да се оцени. Unit 42 според TechTarget е преброила над 22,6 милиона изложени инстанции, CybelAngel посочва около 2,24 милиона PHP хоста, BleepingComputer с позоваване на VirusTotal съобщава за над 5,1 милиона. Числата измерват различни неща и затова не си противоречат. За Вашата фирма има значение друго число: колко собствени PHP системи са достъпни и колко от тях са доказано пачнати.
Поводът: едно число прави заглавия
„22 милиона сървъра в опасност“ стоеше на 21 октомври 2026 г. в много заглавия. Числото идва от Unit 42, изследователския отдел на Palo Alto Networks, и беше съобщено между другото от TechTarget. Скоро след това зациркулираха други числа, на места десет пъти по-малки.
У читателите се създава впечатлението, че никой не знае нищо. В действителност доставчиците просто броят различни неща с различни методи. Който разбира това, може да ползва числата, вместо да се обърква от тях.
Колко сървъра са засегнати от PHP2Shell? Числата накратко
| Източник | Число | Какво е броено |
|---|---|---|
| Unit 42 (Palo Alto Networks), според TechTarget | над 22,6 млн. | изложени, потенциално уязвими инстанции; методът не е обяснен в доклада |
| VirusTotal, според BleepingComputer | над 5,1 млн. | PHP хостове, достъпни от интернет |
| CybelAngel, на базата на данни от Shodan | около 2,24 млн. | хостове, които обявяват PHP в идентификаторите си |
| CybelAngel | 59 % от около 1,5 млн. | дял на хостовете с видима версия на клонове без официална актуализация |
| CybelAngel | около 740 000 | хостове, които обявяват PHP, но скриват версията си |
Всички числа се отнасят до положението около 20 и 21 октомври. Те са моментни снимки и се променят с всяка инсталирана актуализация.
Защо преброяванията са толкова разнородни
Три ефекта обясняват по-голямата част от разликите.
Инстанция, хост, уебсайт. Хостът обикновено е IP адрес или сървър. Инстанцията може да бъде отделна услуга или отделен уебсайт. На един сървър със споделен хостинг често работят стотици уебсайтове. CybelAngel сама посочва: броят се хостове, не организации или уебсайтове, а действителният брой достъпни приложения вероятно е по-висок.
Скрити версии. Много сървъри не разкриват PHP версията си, например защото expose_php е изключено. Те липсват в статистиките, основани на версии. Защо скриването има смисъл, но не заместява защитата, обяснява статията за указването на версии и expose_php.
Backport-ове. Дистрибуциите и хостинг доставчиците на места инсталират поправки, без да променят номера на версията. Сървър, който отвън показва стар номер, може следователно да е пачнат. Преброявания по показаната версия затова надценяват броя на непачнатите системи. Как да проверите истинското състояние при себе си, е описано в Проверка на PHP версията и състоянието на пача.
Как възникват такива преброявания
Повечето числа се основават на търсещи услуги, които непрекъснато обхождат интернет и съхраняват какво казват сървърите за себе си. Уеб сървърът в отговорите си често назовава софтуера и версията, например в заглавния ред X-Powered-By. CybelAngel според собственото си изложение се опира на такива идентификатори от данни на Shodan. При това нищо не се атакува, чете се само онова, което така или иначе е публично видимо.
От това следва просто правило за четене на всяко ново число в медиите. Питайте: Какво е броено, хостове, инстанции или уебсайтове? Кога е измерено, преди или след 21 октомври? И как е определена версията, по показания номер или чрез истински тест? Който не може да отговори на тези три въпроса, трябва да третира числото като груб порядък, а не като измерена стойност.
„Изложен“ значи достъпен и по външни признаци евентуално уязвим. Не значи атакуван и не значи компрометиран. BSI първоначално не е знаела за потвърдени успешни атаки в голям мащаб.
Какво числата все пак показват надеждно
Дори стойността да варира, преброяванията носят три устойчиви твърдения:
- Повърхността за атака е огромна. Дори най-малкото число означава милиони достъпни цели. Нападателите не трябва да търсят, те могат да проверяват автоматизирано.
- Старите версии са разпространени. Според CybelAngel 59 процента от хостовете с видима версия са работили на клонове, за които PHP проектът не публикува официална актуализация. За тези системи не помага бърз пач, а само backport, доставчик от трета страна или миграция. Рисковете описва ръководството PHP End of Life.
- Проблемът остава по-дълго. Голяма част от достъпните системи няма да бъдат актуализирани за дни. Сканиранията и опитите за атака затова вероятно ще продължат още дълго.
Определете собственото си число
Световното число е заглавие. Вашето собствено е задача. Ето как да стигнете до него:
- Съберете домейни и поддомейни: от DNS зони, сертификати, договори с агенции и хостинг доставчици.
- Съпоставете достъпните услуги: Кой сървър стои зад кой адрес, кой го поддържа?
- Установете PHP състоянието за всяка система: версия, режим на работа, източник на пакетите, потвърждение за backport.
- Оценете резултата: пачнато и доказано, пачнато без доказателство, непачнато, неизвестно.
- Затворете пролуките: Неизвестното първо се изяснява, непачнатото първо се обработва.
В края стои кратък списък вместо голямо число. Как да поддържате инвентара трайно, описва статията Инвентар на всички уебсайтове и сървъри.
Как помага PHP SOS конкретно?
- Поглед отвън: Установяваме кои от Вашите системи са достъпни от интернет и кои от тях ползват PHP.
- Поглед отвътре: Проверяваме състоянието на пача и рестарта на сървърите, не само показаната версия.
- Оценка: Получавате списък със статус за всяка система и ясен ред.
- Проверка: По желание след пача тестваме отвън дали положението се е подобрило според очакванията.
Как протича такава проверка, описва Одит за сигурност и тест за проникване.
Заключение
22,6 милиона, 5,1 милиона, 2,24 милиона: числата изглеждат противоречиви, но измерват само различни неща. Заедно те показват, че PHP2Shell засяга много голяма повърхност за атака и че в мрежата стоят много стари версии. Числото, което решава за Вашия риск, не дава никое проучване. То възниква само от поглед върху собствените системи.
Често задавани въпроси
Колко сървъра са засегнати от PHP2Shell?
Това не знае никой точно. Unit 42 на Palo Alto Networks според TechTarget е преброила над 22,6 милиона изложени, потенциално уязвими инстанции. CybelAngel посочва около 2,24 милиона хоста, достъпни от интернет, които обявяват PHP. Числата измерват различни неща и не са пряко сравними.
Защо числата се различават толкова силно?
Защото се броят различни неща: инстанции, хостове, IP адреси или услуги. На един хост със споделен хостинг могат да се намират стотици уебсайтове. Освен това много сървъри не показват PHP версията си, други показват стар номер, въпреки че е инсталиран backport.
Означава ли „изложен“, че сървърът е бил атакуван?
Не. „Изложен“ значи само, че една PHP услуга е достъпна от интернет и по външни признаци би могла да бъде уязвима. За действителните атаки тези преброявания не казват нищо.
Кое число е важно за моята фирма?
Броят на Вашите собствени публично достъпни PHP системи и колко от тях са доказано пачнати. Световните числа показват мащаба, но не заместват собствения инвентар.