Lühidalt: Nädal pärast esimest täheldatud rünnakukatset on PHP2Shelli hetkeseis eelkõige elluviimise küsimus: paigad PHP 8.2 kuni 8.5 jaoks on olemas alates 21. oktoobrist, suured distributsioonid on järele tulnud, BSI (Saksamaa föderaalne infoturbeamet) hoiatab tasemega oranž. Rünnakukatseid täheldati, kinnitatud edukaid laiaulatuslikke rünnakuid BSI alguses ei teatanud. Lahtiseks jäävad vanad versioonid, uuesti käivitamata serverid ja küsimus, mis enne paika juhtus.
Olukord kolmes lauses
PHP2Shell on kaks kriitilist turvaauku PHP interpretaatoris endas, CVE-2026-109618 ja CVE-2026-109619, kumbki hinnatud CVSS v4.0 9,2-ga. Need võimaldavad koodi kaugkäivitamist ilma sisselogimiseta, see tähendab juhtu, mida turvaspetsialistid kõige rohkem kardavad. Mõjutatud on PHP-FPM, Apache mod_php-ga, php-cgi, FrankenPHP ja LiteSpeed; suurimat riski näeb PHP meeskond mod_php puhul.
See ülevaade järjestab seisu 25. oktoobril 2026 osaliste kaupa. Käigu päev-päevalt leiate PHP2Shelli kronoloogiast, siin on jutt tervikpildist.
Mis on nädala järel tõendatud
Kindlad on PHP projekti andmed: 21. oktoobri väljalasked 8.5.12, 8.4.27, 8.3.36 ja 8.2.35 sulgevad mõlemad turvaaugud. Versioonidele 7.4, 8.0 ja 8.1 on olemas ainult minimaalsed lähtekoodi tagasiportimised, ametlikke väljalaskeid mitte. php.net rõhutab, et täielikke ajutisi meetmeid ei ole ja uuendus on ainus kindel tee.
- oktoobril lisandus märkus CVE-2026-115560 kohta. See puudutab ainult ebatavalist sessioonide seadistust; abinõuna nimetab php.net
session.upload_progress.enabled=0kuni järgmise korralise veaparanduse väljalaskeni.
Ka suured distributsioonid on seisukoha võtnud. Kontrollisime ametlikke teateid:
| Pakkuja | Seis ametliku teate järgi |
|---|---|
| Ubuntu | USN-8948-1 versioonidele 22.04, 24.04, 26.04 ja 26.10; USN-8948-2 versioonidele 14.04 kuni 20.04 Ubuntu Pro kaudu |
| Debian | Parandatud paketid bookworm (php8.2, DLA-4848-1) ja trixie (php8.4, DSA-6574-1) jaoks |
| Red Hat | Bülletään RHSB-2026-013 RHEL 7 kuni 10 jaoks; mõned uuendused saadaval, teised töös |
Red Hat hindab CVE-2026-109618 oma hinnanguga „Important“ ja põhjendab seda suurema ründekeerukusega. See on teistsugune hindamismeetod kui PHP projektil ega ole põhjus uuendust edasi lükata.
Kuidas ametiasutused olukorda hindavad
BSI on kuulutanud välja hoiatustaseme 3 / oranž. See soovitab kohest uuendust ja, kui see kohe ei õnnestu, mõjutatud veebiserverid ajutiselt võrgust maha võtta. BSI arvestas kiire laiaulatusliku ärakasutamisega. Mida hinnang tähendab, selgitab leht Mida BSI PHP2Shelli kohta soovitab.
Aruannete kohaselt peab CERT-EU võimalikuks, et mõjutatud on versioonid alates PHP 5-st, ja soovitab avalikult kättesaadavad rakendused isoleerida, kui neid ei saa õigeaegselt paigata. CERT-Bund (Saksamaa föderaalvalitsuse CERT) ja turvaettevõte Huntress on samuti hoiatanud.
Soovitus vajaduse korral välja lülitada viidi nähtavalt ellu. Meediaaruannete kohaselt võttis Mainzi linn oma keskse veebiportaali ennetavalt võrgust maha; ametid jäid kättesaadavaks telefoni ja e-posti teel. Hessenis olid hessenschau andmetel ajutiselt väljas liidumaa valitsuse, BKA ning Kasseli ja Wiesbadeni linnade lehed. Riigikantselei ei teatanud rünnakust, lehed olid õhtul taas kättesaadavad. Teised omavalitsused, kõrgkoolid ja haiglad toimisid aruannete kohaselt sarnaselt.
Mida rünnakutest teatakse
Siin on vaatluse ja kinnituse lahushoidmine eriti oluline.
- Täheldatud: Meediaaruannete kohaselt oli 17. oktoobril esimene rünnakukatse, mida Amazon täheldas. Cloudflare ja Patchstack teatasid rünnakukatsetest; Cloudflare nägi lisaks muutunud ründemustreid.
- Järele tehtud: watchTowr on aruannete kohaselt CVE-2026-109618 oma andmetel järele teinud.
- Kinnitamata: BSI ei teatanud alguses kinnitatud edukaid laiaulatuslikke ärakasutamisi. Huntress ei näinud oma teate ajal rünnakuid partnerkeskkondades.
- Teadmata: Avaldatud ja kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise) ei ole. Kes tahab kontrollida, kas server on mõjutatud, peab jälgima käitumismustreid.
Ulatuse kohta liigub ringi kaks arvu. Palo Alto Networksi Unit 42 uurijad jõudsid üle 22,6 miljoni potentsiaalselt haavatava instantsini, mis on võrgust kättesaadavad. CybelAngel nimetab umbes 2,24 miljonit kättesaadavat PHP hosti, millest nende enda analüüsi kohaselt 59 protsenti on versioonidel, millele tulevast ametlikku parandust ei tule. Mõlemad mõõdavad erinevat ja ei ole otse võrreldavad. Hinnangu pakub artikkel Arvude õige hindamine.
Mis on lahtine
Kolm küsimust määravad lähinädalad:
- Vanad versioonid: Suur osa kättesaadavatest PHP paigaldistest töötab nimetatud analüüside kohaselt harudel ilma ametliku paranduseta. Kas kommertspõhised pikaajalised pakkumised PHP2Shelli katavad, tuleb igal juhul pakkujalt kirjalikult kinnitada.
- Puudulikud uuendused: Uued paketid mõjuvad alles siis, kui kõik PHP protsessid on uuesti käivitatud. Red Hat juhib selgesõnaliselt tähelepanu, et pelgalt uuesti laadimisest ei piisa.
- Aeg enne paika: 17. ja 21. oktoobri vahel olid serverid haavatavad, ajal mil rünnakukatsed juba käisid. Paik ei tõenda, et selle aja jooksul midagi ei juhtunud.
Säilitage veebiserveri ja PHP logid alates 20. oktoobrist, nagu erialaajakirjandus soovitab. Ilma logideta ei saa teie serveri tähtsaimale lahtisele küsimusele hiljem enam vastata.
Mida käitajad peaksid nüüd kontrollima
Oma olukorra hindamiseks piisab serveri kohta neljast kontrollpunktist: Kas PHP on parandatud seisus või kinnitatud backportiga? Kas kõik protsessid töötavad alates uuendusest? Kas session.upload_progress.enabled on serveripoolselt välja lülitatud, kuni CVE-2026-115560 teade (advisory) on veel puudu? Kas on kõrvalekaldeid alates 17. oktoobrist?
Viimase punkti jaoks aitab leht Kas mind on juba kompromiteeritud?. Veebiserveri protsess, mis käivitab shelli, uued PHP failid üleslaadimiskaustades, tundmatud cron-tööd või SSH-võtmed on hoiatusmärgid, mis õigustavad täpsemat uurimist.
Kuidas PHP SOS konkreetselt aitab?
- Hindame iga serveri paigatud seisu paketi seisu, muudatuslogi ja protsesside käivitusaegade põhjal.
- Kus paika ei ole, seame php.net-i ajutised meetmed ja selgitame tee toetatud versioonini.
- Kindlustame logid alates 20. oktoobrist ja otsime jälgi ajast enne paika.
- PHP2Shelli kohese abiga koondame need sammud ettevõtetele, kes vajavad kiiresti selgust.
Korduma kippuvad küsimused
Kas PHP2Shelli kasutatakse juba aktiivselt ära?
Cloudflare ja Patchstack teatasid rünnakukatsetest. Kinnitatud edukaid laiaulatuslikke rünnakuid BSI alguses ei teatanud. Huntress ei näinud oma teate ajal rünnakuid partnerkeskkondades.
Kas oht on pärast paike möödas?
Ei. Paigad kaitsevad ainult servereid, mis on need paigaldanud ja kõik PHP protsessid uuesti käivitanud. PHP 8.1 ja vanemaga süsteemid jäävad ilma kinnitatud backportita haavatavaks ning paik ei eemalda varem sisse toodud pahavara.
Miks olid ametiasutuste veebisaidid võrgust väljas?
Meediaaruannete kohaselt lülitasid muu hulgas Mainzi linn ja mitu Hesseni asutust oma veebisaidid ennetavalt välja. See vastab BSI soovitusele serverite kohta, mida ei saa kohe uuendada. Väljalülitamine ei tähenda, et rünnak oleks toimunud.
Kas PHP2Shelli rünnaku jaoks on olemas tunnuseid?
Avaldatud ja kinnitatud kompromiteerimisnäitajaid (Indicators of Compromise) siiani ei ole. Tuvastamine põhineb käitumisanalüüsil, näiteks PHP protsessidel, mis käivitavad shelli, või uutel PHP failidel üleslaadimiskaustades.