Накратко: PHP работи не само на уеб сървъри, а и в уеб интерфейсите на NAS системи, защитни стени и специализирани устройства, както и в пакети за уеб сървър, които сте инсталирали на NAS. Дали едно устройство е засегнато от PHP2Shell, може да каже само производителят; актуализацията идва чрез фърмуера. Вашата задача е да намерите тези устройства, да изведете уеб интерфейсите им от интернет и да следите съобщенията на производителите.
Защо устройствата с уеб интерфейс са част от въпроса за PHP
Когато се говори за PHP2Shell, повечето мислят за уебсайта на фирмата или за онлайн магазина. А PHP стои и в устройства, които никой не смята за уеб сървър. Те стоят в сървърното помещение или в офиса, имат уеб интерфейс за управление и често работят с години без внимание.
Уязвимостите CVE-2026-109618 и CVE-2026-109619 засягат според php.net самия PHP в режимите на работа PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Ако уеб интерфейсът на устройство ползва един от тези режими с уязвима версия, рискът важи и там. Разликата: PHP на устройството по правило не можете да актуализирате сами.
Че такива системи се забравят, има съществени причини. Често са ги настроили доставчици на услуги, които отдавна не ги поддържат. Актуализациите на фърмуера не вървят автоматично, а изискват щракване, което никой не прави. А някои устройства носят удобни функции за отдалечен достъп, които правят уеб интерфейса достъпен от интернет без знанието на ИТ. При PHP уязвимост като PHP2Shell това удобство се превръща в риск.
PHP уязвимост на NAS и устройства: кои системи идват предвид
Назоваваме тук видове устройства, не казваме нищо за отделни модели. Дали определен фърмуер е засегнат, стои единствено в съобщенията на производителя.
| Вид устройство | Как PHP влиза в игра | Кой актуализира |
|---|---|---|
| NAS с пакет за уеб сървър | Управлявате собствени PHP уебсайтове или приложения на NAS | Производителят доставя пакета PHP, Вие го инсталирате |
| Дистрибуции за защитни стени и рутери | Части от интерфейса за управление са написани на PHP | Производителят чрез фърмуера |
| Специализирани устройства с уеб интерфейс | напр. телефонни централи, отчитане на работно време, сградна техника, ако производителят ползва PHP | Производителят или специализиран търговец |
| Виртуални устройства (appliances) | предварително конфигурирани виртуални машини със собствен уеб интерфейс | Производителят чрез образ за актуализация |
| Контейнери на NAS | PHP приложения в Docker контейнери | Вие, чрез нов образ |
Два доказани примера: Synology позволява в Web Station да се управляват PHP уебсайтове с избираеми PHP профили и е обявила края на поддръжката за PHP 7.3, 7.4 и 8.0 под DSM 7.3. Съобщенията за сигурност на Netgate за pfSense описват PHP файлове и PHP съобщения за грешки в уеб интерфейса. Това показва само, че PHP се среща там, не че тези продукти са засегнати от PHP2Shell.
Инвентар: как да намерите забравените системи
Най-важната стъпка е списъкът. Много фирми знаят точно кои уебсайтове управляват, но не и кои устройства имат уеб интерфейс. Как изглежда траен инвентар, описва статията Инвентар на всички уебсайтове и сървъри.
- Обхванете мрежата: Съберете устройствата от списъка на DHCP, от прегледа на суича или на защитната стена.
- Отбележете уеб интерфейсите: Отбележете за всяко устройство дали се управлява през HTTP или HTTPS.
- Проверете публикуванията: Изброете пренасочванията на портове и услугите за отдалечен достъп в рутера. Всеки уеб интерфейс, достъпен от интернет, отива най-горе.
- Определете производителя: Запишете модел, състояние на фърмуера и връзка към съобщенията за сигурност на производителя.
- Обхванете собствените услуги: Пакетите за уеб сървър и контейнерите, инсталирани на NAS системи, изброете отделно.
Първа насока може да се получи с безобидна заявка за заглавните редове. Командата извиква само началната страница и не променя нищо:
# Показване на заглавните редове на сървъра на уеб интерфейс (адресът е пример)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Ако там стои указание за PHP, това е опорна точка. Ако липсва, това не доказва нищо, защото много устройства потискат такива данни съзнателно.
Какво можете да направите, когато не можете сами да пачвате
При устройствата пачът е при производителя. Достъпността е при Вас и точно там е най-големият лост. BSI (Федералната служба за информационна сигурност на Германия) препоръчва при PHP2Shell уеб сървърите без актуализация временно да се изключат от мрежата; за интерфейсите за управление на устройства това важи по смисъл още по-силно.
- Изведете от интернет: Премахнете пренасочванията на портове към уеб интерфейси и разрешете отдалечен достъп само през VPN.
- Разделете мрежата за управление: Направете уеб интерфейсите достъпни само от отделен мрежов сегмент за администратори. Контекста има в статията Защита на административните зони.
- Изключете неизползваното: Деактивирайте пакети за уеб сървър или приложения на NAS, от които никой вече няма нужда.
- Следете съобщенията за фърмуера: Включете известията за актуализации и ги инсталирайте своевременно, щом производителят ги пусне.
- Подменете стари устройства: Не оставяйте устройства без поддръжка от производителя достъпни от интернет и планирайте подмяната.
Ако на NAS управлявате собствени PHP уебсайтове, за тези уебсайтове важи същото, както за всеки уеб сървър: проверка на версията, актуализация на пакета, рестарт на услугата. Основите за уязвимостта обяснява Какво е PHP2Shell?.
Ако устройство е стояло отворено в мрежата
Ако уеб интерфейс е бил достъпен от интернет между 17 и 21 октомври и устройството е засегнато, не е достатъчно само да го актуализирате. Проверете дали акаунти, споделяния или пренасочвания са променени, запазете наличните протоколи и сменете данните за достъп. Устройство, което е било в мрежата с нападател, може да послужи като трамплин към други системи.
При защитните стени и рутерите това е особено деликатно, защото те виждат целия трафик. При съмнение връщането към фабрични настройки с чиста нова конфигурация е по-надеждно от търсенето на отделни следи; преди това протоколите и конфигурацията трябва да са запазени.
При NAS се добавя въпросът за данните. Там често стоят договори, кадрови документи или клиентски данни. Ако нападател е имал достъп до устройството, трябва да изясните дали могат да бъдат засегнати лични данни; тогава може да съществува задължение за уведомяване по ОРЗД. Обсъдете това рано с длъжностното лице по защита на данните; това не е правен съвет.
Как помага PHP SOS конкретно?
- Обхващане на наличното: Заедно с Вас обхващаме всички системи с уеб интерфейс, включително NAS, устройства и виртуални машини.
- Проверка на достъпността: Проверяваме отвън кои интерфейси са достъпни от интернет и предлагаме мерки за защита. По-задълбочена проверка предлага Одитът за сигурност с тест за проникване.
- Следене на положението при производителите: Съпоставяме съобщенията за сигурност на производителите с Вашите устройства и планираме актуализациите.
- Изясняване на съмнение: Ако засегнато устройство е стояло отворено в мрежата, запазваме протоколите и търсим следи.
Често задавани въпроси
Засегнат ли е моят NAS от PHP2Shell?
Това може да каже задължително само производителят за Вашия модел и Вашия фърмуер. Проверете неговите съобщения за сигурност и дали на самия NAS управлявате PHP уебсайтове, например чрез пакет за уеб сървър. До изясняването интерфейсът не бива да е достъпен от интернет.
Мога ли сам да актуализирам PHP на NAS или защитна стена?
По правило не. Там PHP е част от фърмуера или от пакет на производителя. Актуализациите идват чрез функцията за актуализация на устройството. Ръчни намеси във фърмуера могат да застрашат гаранцията и стабилността.
Достатъчно ли е да ползвам уеб интерфейса само в локалната мрежа?
Това намалява риска значително, но не го премахва. Вече компрометиран компютър в същата мрежа все още може да достигне интерфейса. По-добре е отделна мрежа за управление или достъп само през VPN.
По какво разбирам, че устройство ползва PHP?
Понякога го издава заглавието на сървъра или окончанието .php в адресите на интерфейса. Ако такива признаци липсват, това не доказва нищо. Надеждни са документацията на производителя и съобщенията за сигурност.