# 22,6 милиона изложени инстанции: как да осмислим числата

> 22,6 млн. инстанции, 2,24 млн. хоста: колко сървъра са засегнати от PHP2Shell, защо числата се различават и какво означават те за Вашата фирма.

Източник: https://phpsos.de/bg/blog/exponierte-instanzen-einordnen/  
Актуалност: 25.10.2026  
Доставчик: PHP SOS, Спешна помощ за PHP и сигурност на сървъри. Незабавна помощ по WhatsApp: https://wa.me/491736494914?text=%D0%97%D0%B4%D1%80%D0%B0%D0%B2%D0%B5%D0%B9%D1%82%D0%B5%2C%20PHP%20SOS%2C%20%D0%B8%D0%BC%D0%B0%D0%BC%D0%B5%20%D0%BD%D1%83%D0%B6%D0%B4%D0%B0%20%D0%BE%D1%82%20%D0%BF%D0%BE%D0%BC%D0%BE%D1%89%20%D1%81%20%D0%BD%D0%B0%D1%88%D0%B8%D1%8F%20PHP%20%D1%81%D1%8A%D1%80%D0%B2%D1%8A%D1%80.%20%D0%A4%D0%B8%D1%80%D0%BC%D0%B0%3A%20%E2%80%A6%20%D0%A3%D0%B5%D0%B1%D1%81%D0%B0%D0%B9%D1%82%3A%20%E2%80%A6

**Накратко:** Колко сървъра са засегнати от PHP2Shell, може само да се оцени. Unit 42 според TechTarget е преброила над 22,6 милиона изложени инстанции, CybelAngel посочва около 2,24 милиона PHP хоста, BleepingComputer с позоваване на VirusTotal съобщава за над 5,1 милиона. Числата измерват различни неща и затова не си противоречат. За Вашата фирма има значение друго число: колко собствени PHP системи са достъпни и колко от тях са доказано пачнати.

## Поводът: едно число прави заглавия

„22 милиона сървъра в опасност“ стоеше на 21 октомври 2026 г. в много заглавия. Числото идва от Unit 42, изследователския отдел на Palo Alto Networks, и беше съобщено между другото от TechTarget. Скоро след това зациркулираха други числа, на места десет пъти по-малки.

У читателите се създава впечатлението, че никой не знае нищо. В действителност доставчиците просто броят различни неща с различни методи. Който разбира това, може да ползва числата, вместо да се обърква от тях.

## Колко сървъра са засегнати от PHP2Shell? Числата накратко

| Източник | Число | Какво е броено |
|---|---|---|
| Unit 42 (Palo Alto Networks), според TechTarget | над 22,6 млн. | изложени, потенциално уязвими инстанции; методът не е обяснен в доклада |
| VirusTotal, според BleepingComputer | над 5,1 млн. | PHP хостове, достъпни от интернет |
| CybelAngel, на базата на данни от Shodan | около 2,24 млн. | хостове, които обявяват PHP в идентификаторите си |
| CybelAngel | 59 % от около 1,5 млн. | дял на хостовете с видима версия на клонове без официална актуализация |
| CybelAngel | около 740 000 | хостове, които обявяват PHP, но скриват версията си |

Всички числа се отнасят до положението около 20 и 21 октомври. Те са моментни снимки и се променят с всяка инсталирана актуализация.

## Защо преброяванията са толкова разнородни

Три ефекта обясняват по-голямата част от разликите.

**Инстанция, хост, уебсайт.** Хостът обикновено е IP адрес или сървър. Инстанцията може да бъде отделна услуга или отделен уебсайт. На един сървър със споделен хостинг често работят стотици уебсайтове. CybelAngel сама посочва: броят се хостове, не организации или уебсайтове, а действителният брой достъпни приложения вероятно е по-висок.

**Скрити версии.** Много сървъри не разкриват PHP версията си, например защото `expose_php` е изключено. Те липсват в статистиките, основани на версии. Защо скриването има смисъл, но не заместява защитата, обяснява статията за [указването на версии и expose_php](https://phpsos.de/bg/blog/expose-php-versionsangaben/).

**Backport-ове.** Дистрибуциите и хостинг доставчиците на места инсталират поправки, без да променят номера на версията. Сървър, който отвън показва стар номер, може следователно да е пачнат. Преброявания по показаната версия затова надценяват броя на непачнатите системи. Как да проверите истинското състояние при себе си, е описано в [Проверка на PHP версията и състоянието на пача](https://phpsos.de/bg/php2shell/php-version-pruefen/).

### Как възникват такива преброявания

Повечето числа се основават на търсещи услуги, които непрекъснато обхождат интернет и съхраняват какво казват сървърите за себе си. Уеб сървърът в отговорите си често назовава софтуера и версията, например в заглавния ред `X-Powered-By`. CybelAngel според собственото си изложение се опира на такива идентификатори от данни на Shodan. При това нищо не се атакува, чете се само онова, което така или иначе е публично видимо.

От това следва просто правило за четене на всяко ново число в медиите. Питайте: Какво е броено, хостове, инстанции или уебсайтове? Кога е измерено, преди или след 21 октомври? И как е определена версията, по показания номер или чрез истински тест? Който не може да отговори на тези три въпроса, трябва да третира числото като груб порядък, а не като измерена стойност.

> **Важно:**
> „Изложен“ значи достъпен и по външни признаци евентуално уязвим. Не значи атакуван и не значи компрометиран. BSI първоначално не е знаела за потвърдени успешни атаки в голям мащаб.

## Какво числата все пак показват надеждно

Дори стойността да варира, преброяванията носят три устойчиви твърдения:

1. **Повърхността за атака е огромна.** Дори най-малкото число означава милиони достъпни цели. Нападателите не трябва да търсят, те могат да проверяват автоматизирано.
2. **Старите версии са разпространени.** Според CybelAngel 59 процента от хостовете с видима версия са работили на клонове, за които PHP проектът не публикува официална актуализация. За тези системи не помага бърз пач, а само backport, доставчик от трета страна или миграция. Рисковете описва ръководството [PHP End of Life](https://phpsos.de/bg/ratgeber/php-end-of-life-risiken/).
3. **Проблемът остава по-дълго.** Голяма част от достъпните системи няма да бъдат актуализирани за дни. Сканиранията и опитите за атака затова вероятно ще продължат още дълго.

## Определете собственото си число

Световното число е заглавие. Вашето собствено е задача. Ето как да стигнете до него:

1. **Съберете домейни и поддомейни:** от DNS зони, сертификати, договори с агенции и хостинг доставчици.
2. **Съпоставете достъпните услуги:** Кой сървър стои зад кой адрес, кой го поддържа?
3. **Установете PHP състоянието за всяка система:** версия, режим на работа, източник на пакетите, потвърждение за backport.
4. **Оценете резултата:** пачнато и доказано, пачнато без доказателство, непачнато, неизвестно.
5. **Затворете пролуките:** Неизвестното първо се изяснява, непачнатото първо се обработва.

В края стои кратък списък вместо голямо число. Как да поддържате инвентара трайно, описва статията [Инвентар на всички уебсайтове и сървъри](https://phpsos.de/bg/blog/inventar-websites-server/).

## Как помага PHP SOS конкретно?

- **Поглед отвън:** Установяваме кои от Вашите системи са достъпни от интернет и кои от тях ползват PHP.
- **Поглед отвътре:** Проверяваме състоянието на пача и рестарта на сървърите, не само показаната версия.
- **Оценка:** Получавате списък със статус за всяка система и ясен ред.
- **Проверка:** По желание след пача тестваме отвън дали положението се е подобрило според очакванията.

Как протича такава проверка, описва [Одит за сигурност и тест за проникване](https://phpsos.de/bg/leistungen/sicherheitsaudit-penetrationstest/).

## Заключение

22,6 милиона, 5,1 милиона, 2,24 милиона: числата изглеждат противоречиви, но измерват само различни неща. Заедно те показват, че PHP2Shell засяга много голяма повърхност за атака и че в мрежата стоят много стари версии. Числото, което решава за Вашия риск, не дава никое проучване. То възниква само от поглед върху собствените системи.


## Често задавани въпроси

**Колко сървъра са засегнати от PHP2Shell?**  
Това не знае никой точно. Unit 42 на Palo Alto Networks според TechTarget е преброила над 22,6 милиона изложени, потенциално уязвими инстанции. CybelAngel посочва около 2,24 милиона хоста, достъпни от интернет, които обявяват PHP. Числата измерват различни неща и не са пряко сравними.

**Защо числата се различават толкова силно?**  
Защото се броят различни неща: инстанции, хостове, IP адреси или услуги. На един хост със споделен хостинг могат да се намират стотици уебсайтове. Освен това много сървъри не показват PHP версията си, други показват стар номер, въпреки че е инсталиран backport.

**Означава ли „изложен“, че сървърът е бил атакуван?**  
Не. „Изложен“ значи само, че една PHP услуга е достъпна от интернет и по външни признаци би могла да бъде уязвима. За действителните атаки тези преброявания не казват нищо.

**Кое число е важно за моята фирма?**  
Броят на Вашите собствени публично достъпни PHP системи и колко от тях са доказано пачнати. Световните числа показват мащаба, но не заместват собствения инвентар.

## Източници

- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [CybelAngel: Critical PHP RCE vulnerabilities CVE-2026-109618 and CVE-2026-109619](https://cybelangel.com/blog/critical-php-rce-vulnerabilities-cve-2026-109618-and-cve-2026-109619/)
- [BleepingComputer: PHP ships emergency patches for critical PHP2Shell flaws](https://bleepingcomputer.com/news/security/php-ships-emergency-patches-for-critical-php2shell-flaws)
- [PHP: Поддържани версии](https://www.php.net/supported-versions.php)