Stručně: PHP neběží jen na webových serverech, ale i ve webových rozhraních systémů NAS, firewallů a odborných zařízení, nebo v balíčcích webového serveru, které jste si na NAS nainstalovali. Zda je zařízení postiženo PHP2Shell, může říci jen výrobce; aktualizace přichází přes firmware. Vaším úkolem je tato zařízení najít, jejich webová rozhraní stáhnout z internetu a sledovat oznámení výrobců.
Proč zařízení s webovým rozhraním patří k otázce PHP
Když se mluví o PHP2Shell, většina lidí myslí na firemní web nebo e-shop. PHP je však také v zařízeních, která nikdo nepovažuje za webový server. Stojí v serverovně nebo v kanceláři, mají webové rozhraní pro správu a často běží roky bez pozornosti.
Zranitelnosti CVE-2026-109618 a CVE-2026-109619 se podle php.net týkají samotného PHP v provozních režimech PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Pokud webové rozhraní zařízení používá některý z těchto režimů se zranitelnou verzí, platí riziko tam stejně. Rozdíl: PHP na zařízení zpravidla nemůžete sami aktualizovat.
Že se na takové systémy zapomíná, má věcné důvody. Často je zřídil dodavatel, který se o ně už dávno nestará. Aktualizace firmwaru neběží automaticky, ale vyžadují klik, který nikdo neudělá. A některá zařízení mají pohodlné funkce vzdáleného přístupu, které zpřístupní webové rozhraní z internetu bez vědomí IT. U bezpečnostní chyby PHP, jako je PHP2Shell, se z tohoto pohodlí stává riziko.
Bezpečnostní chyba PHP na NAS a zařízeních: které systémy přicházejí v úvahu
Uvádíme zde druhy zařízení, nikoli tvrzení o jednotlivých modelech. Zda je určitý firmware postižen, stojí výhradně v oznámeních výrobce.
| Druh zařízení | Jak se PHP dostává do hry | Kdo aktualizuje |
|---|---|---|
| NAS s balíčkem webového serveru | Provozujete na NAS vlastní weby nebo aplikace PHP | Výrobce dodává balíček PHP, vy jej nasadíte |
| Distribuce firewallů a routerů | Části správního rozhraní jsou napsány v PHP | Výrobce přes firmware |
| Odborná zařízení s webovým rozhraním | např. telefonní ústředny, docházka, technika budov, pokud výrobce používá PHP | Výrobce nebo odborný prodejce |
| Virtuální appliance | předkonfigurované VM s vlastním webovým rozhraním | Výrobce přes aktualizační image |
| Kontejnery na NAS | aplikace PHP v kontejnerech Docker | Vy, novým image |
Dva doložené příklady: Synology umožňuje ve Web Station provozovat weby PHP s volitelnými profily PHP a oznámilo konec podpory PHP 7.3, 7.4 a 8.0 pod DSM 7.3. Bezpečnostní oznámení Netgate k pfSense popisují soubory PHP a chybová hlášení PHP webového rozhraní. To jen ukazuje, že se tam PHP vyskytuje, nikoli že jsou tyto produkty postiženy PHP2Shell.
Inventář: jak najít zapomenuté systémy
Nejdůležitějším krokem je seznam. Mnoho firem přesně ví, které weby provozují, ale ne které zařízení má webové rozhraní. Jak vypadá trvalý inventář, popisuje článek Inventář všech webů a serverů.
- Zachytit síť: Shromáždit zařízení ze seznamu DHCP, z přehledu switche nebo firewallu.
- Označit webová rozhraní: U každého zařízení poznamenat, zda se spravuje přes HTTP nebo HTTPS.
- Zkontrolovat zpřístupnění: Vypsat přesměrování portů a služby vzdáleného přístupu v routeru. Každé webové rozhraní dostupné z internetu jde nahoru.
- Přiřadit výrobce: Zaznamenat model, stav firmwaru a odkaz na bezpečnostní oznámení výrobce.
- Zachytit vlastní služby: Webové servery nainstalované na systémech NAS a kontejnery uvést samostatně.
První vodítko lze získat neškodným dotazem na hlavičky. Příkaz jen načte úvodní stránku a nic nemění:
# Zobrazit hlavičky serveru webového rozhraní (adresa jako příklad)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Pokud tam stojí zmínka o PHP, je to vodítko. Pokud chybí, nic to nedokazuje, protože mnoho zařízení takové údaje záměrně potlačuje.
Co můžete dělat, když nemůžete záplatovat sami
U zařízení leží záplata na výrobci. Dostupnost leží na vás a právě tam je největší páka. BSI (německý Spolkový úřad pro informační bezpečnost) u PHP2Shell doporučuje webové servery bez aktualizace dočasně odpojit od sítě; pro správní rozhraní zařízení to platí obdobně tím spíše.
- Stáhnout z internetu: Odstranit přesměrování portů na webová rozhraní a vzdálený přístup povolit jen přes VPN.
- Oddělit správní síť: Webová rozhraní zpřístupnit jen z vlastního síťového segmentu pro administrátory. Souvislosti v článku Odstínění administračních oblastí.
- Vypnout nepoužívané: Deaktivovat balíčky webového serveru nebo aplikace na NAS, které už nikdo nepotřebuje.
- Sledovat oznámení o firmwaru: Zapnout upozornění na aktualizace a nasadit je ihned, jakmile je výrobce uvolní.
- Vyměnit staré přístroje: Zařízení bez podpory výrobce už neprovozovat dostupná z internetu a naplánovat výměnu.
Provozujete-li na NAS vlastní weby PHP, platí pro tyto weby totéž co pro každý webový server: zkontrolovat verzi, aktualizovat balíček, restartovat službu. Základy zranitelnosti vysvětluje článek Co je PHP2Shell?.
Když zařízení stálo otevřeně v síti
Pokud bylo webové rozhraní mezi 17. a 21. říjnem dostupné z internetu a zařízení je postiženo, neměli byste je jen aktualizovat. Zkontrolujte, zda se nezměnily účty, sdílené složky nebo přesměrování, zajistěte dostupné protokoly a změňte přístupové údaje. Zařízení, které mělo v síti útočníka, může sloužit jako odrazový můstek k dalším systémům.
U firewallů a routerů je to zvlášť citlivé, protože vidí veškerý provoz. V případě pochybností je obnovení továrního nastavení s čistou novou konfigurací spolehlivější než hledání jednotlivých stop; předtím by měly být zajištěny protokoly a konfigurace.
U NAS přistupuje otázka dat. Často tam leží smlouvy, personální dokumenty nebo zákaznická data. Mohl-li útočník k zařízení přistoupit, musíte objasnit, zda mohou být dotčeny osobní údaje; pak může existovat oznamovací povinnost podle GDPR. Proberte to včas s pověřencem pro ochranu osobních údajů, nejde o právní poradenství.
Jak konkrétně pomáhá PHP SOS?
- Zaznamenat inventář: Společně s vámi zachytíme všechny systémy s webovým rozhraním, i NAS, appliance a virtuální stroje.
- Zkontrolovat dostupnost: Zvenčí ověřujeme, která rozhraní jsou dostupná z internetu, a navrhujeme odstínění. Hlubší kontrolu nabízí bezpečnostní audit s penetračním testem.
- Sledovat situaci u výrobců: Bezpečnostní oznámení výrobců přiřazujeme vašim zařízením a plánujeme aktualizace.
- Objasnit podezření: Stálo-li postižené zařízení otevřeně v síti, zajistíme protokoly a hledáme stopy.
Časté dotazy
Týká se PHP2Shell mého NAS?
Závazně to pro váš model a firmware může říci jen výrobce. Zkontrolujte jeho bezpečnostní oznámení a zda na samotném NAS provozujete weby PHP, například přes balíček webového serveru. Do vyjasnění by rozhraní nemělo být dostupné z internetu.
Mohu PHP na NAS nebo firewallu aktualizovat sám?
Zpravidla ne. PHP je tam součástí firmwaru nebo balíčku výrobce. Aktualizace přicházejí přes funkci aktualizace zařízení. Ruční zásahy do firmwaru mohou ohrozit záruku a stabilitu.
Stačí používat webové rozhraní jen v lokální síti?
Riziko to výrazně snižuje, ale neodstraňuje. Již kompromitovaný počítač ve stejné síti se k rozhraní stále dostane. Lepší je samostatná správní síť nebo přístup jen přes VPN.
Jak poznám, že zařízení používá PHP?
Někdy to prozradí hlavička serveru nebo koncovka .php v adresách rozhraní. Pokud takové stopy chybí, nic to nedokazuje. Spolehlivé jsou dokumentace výrobce a bezpečnostní oznámení.