Lühidalt: PHP ei tööta mitte ainult veebiserverites, vaid ka NAS-süsteemide, tulemüüride ja eriseadmete veebiliidestes või veebiserveri pakettides, mille olete NAS-i paigaldanud. Kas seade on PHP2Shelli poolt mõjutatud, oskab öelda ainult tootja; uuendus tuleb püsivara kaudu. Teie ülesanne on need seadmed leida, nende veebiliidesed internetist ära võtta ja tootja teateid jälgida.
Miks veebiliidesega seadmed kuuluvad PHP küsimuse alla
Kui räägitakse PHP2Shellist, mõtlevad enamik ettevõtte veebisaidile või e-poele. Samas on PHP ka seadmetes, mida keegi veebiserveriks ei pea. Need seisavad serveriruumis või kontoris, neil on haldamiseks veebiliides ja nad töötavad sageli aastaid tähelepanuta.
Turvaaugud CVE-2026-109618 ja CVE-2026-109619 mõjutavad php.net-i andmetel PHP-d ennast töörežiimides PHP-FPM, Apache mod_php-ga, php-cgi, FrankenPHP ja LiteSpeed. Kui seadme veebiliides kasutab ühte neist töörežiimidest haavatava versiooniga, kehtib risk seal samamoodi. Erinevus: PHP-d seadmel ei saa te üldjuhul ise uuendada.
Et selliseid süsteeme unustatakse, on käegakatsutavad põhjused. Sageli on need seadistanud teenusepakkuja, kes neid ammu enam ei hoolda. Püsivara uuendused ei käi automaatselt, vaid nõuavad klõpsu, mida keegi ei tee. Ja mõned seadmed toovad kaasa mugavad kaugjuurdepääsu funktsioonid, mis teevad veebiliidese IT teadmata internetist kättesaadavaks. PHP turvaaugu nagu PHP2Shell puhul muutub see mugavus riskiks.
PHP turvauk NAS-is ja seadmetes: millised süsteemid võivad tulla kõne alla
Nimetame siin seadmeliike, mitte üksikute mudelite kohta käivat väidet. Kas konkreetne püsivara on mõjutatud, seisab ainult tootja teadetes.
| Seadmeliik | Kuidas PHP mängu tuleb | Kes uuendab |
|---|---|---|
| NAS veebiserveri paketiga | Töötate NAS-is oma PHP veebisaite või rakendusi | Tootja tarnib PHP paketi, paigaldate selle teie |
| Tulemüüri- ja ruuteridistributsioonid | Osa haldusliidesest on kirjutatud PHP-s | Tootja püsivara kaudu |
| Veebiliidesega eriseadmed | nt telefonisüsteemid, tööaja arvestus, hoonetehnika, kui tootja kasutab PHP-d | Tootja või erialakauplus |
| Virtuaalsed seadmed (appliance) | eelseadistatud VM-id oma veebiliidesega | Tootja uuenduspildi kaudu |
| Konteinerid NAS-is | PHP rakendused Dockeri konteinerites | Teie, uue pildi kaudu |
Kaks tõendatud näidet: Synology laseb Web Stationis käitada PHP veebisaite valitavate PHP profiilidega ja on teatanud PHP 7.3, 7.4 ja 8.0 toetuse lõpust DSM 7.3 all. Netgate'i pfSense turvateated kirjeldavad veebiliidese PHP faile ja PHP veateateid. See näitab ainult, et PHP esineb seal, mitte seda, et need tooted oleksid PHP2Shelli poolt mõjutatud.
Inventuur: nii leiate unustatud süsteemid
Kõige olulisem samm on nimekiri. Paljud ettevõtted teavad täpselt, milliseid veebisaite nad käitavad, kuid mitte seda, millistel seadmetel on veebiliides. Kuidas näeb välja püsiv inventuur, kirjeldab artikkel Kõigi veebisaitide ja serverite inventuur.
- Võrgu kaardistamine: koguge seadmed DHCP nimekirjast, switchi või tulemüüri ülevaatest.
- Veebiliideste märkimine: märkige iga seadme juures, kas seda hallatakse HTTP või HTTPS kaudu.
- Avamiste kontroll: loetlege ruuteris pordisuunamised ja kaugjuurdepääsuteenused. Iga veebiliides, mis on internetist kättesaadav, tõuseb nimekirjas üles.
- Tootja määramine: märkige mudel, püsivara seis ja link tootja turvateadetele.
- Oma teenuste kaardistamine: NAS-süsteemidesse paigaldatud veebiserveri paketid ja konteinerid tooge eraldi esile.
Esimese vihje saab kahjutu päisepäringuga. Käsk tõmbab ainult avalehe ega muuda midagi:
# Veebiliidese serveripäiste kuvamine (aadress näitena)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Kui seal seisab PHP viide, on see tugipunkt. Kui seda ei ole, ei tõesta see midagi, sest paljud seadmed alla suruvad selliseid andmeid tahtlikult.
Mida saate teha, kui ise paigata ei saa
Seadmete puhul on paik tootja käes. Kättesaadavus on teie käes ja just seal on suurim hoob. BSI (Saksamaa föderaalne infoturbeamet) soovitab PHP2Shelli puhul veebiservereid ilma uuenduseta ajutiselt võrgust eemaldada; seadmete haldusliideste puhul kehtib see mõtte poolest veelgi enam.
- Internetist eemaldamine: eemaldage veebiliideste pordisuunamised ja lubage kaugjuurdepääs ainult VPN-i kaudu.
- Haldusvõrgu eraldamine: tehke veebiliidesed kättesaadavaks ainult administraatorite eraldi võrgupiirkonnast. Taust artiklis Haldusalade varjamine.
- Kasutamata asjade väljalülitamine: deaktiveerige NAS-is veebiserveri paketid või rakendused, mida keegi enam ei vaja.
- Püsivara teadete jälgimine: aktiveerige uuendusteated ja paigaldage uuendused kiiresti, kui tootja need välja annab.
- Vanade seadmete asendamine: ärge käitage seadmeid ilma tootja toeta enam internetist kättesaadavana ja planeerige asendamine.
Kui töötate NAS-is oma PHP veebisaite, kehtib nende kohta sama mis iga veebiserveri puhul: kontrollige versiooni, uuendage paketti, taaskäivitage teenus. Turvaaugu põhitõed selgitab leht Mis on PHP2Shell?.
Kui seade oli võrgus avatud
Kui veebiliides oli 17. ja 21. oktoobri vahel internetist kättesaadav ja seade on mõjutatud, ei tohiks seda lihtsalt uuendada. Kontrollige, kas kontosid, jagamisi või edasisuunamisi on muudetud, kindlustage olemasolevad protokollid ja vahetage ligipääsuandmed. Seade, mis oli ründajaga samas võrgus, võib teenida hüppelauana teistele süsteemidele.
Tulemüüride ja ruuterite puhul on see eriti tundlik, sest need näevad kogu andmeliiklust. Kahtluse korral on tehaseseadetele lähtestamine koos puhta uuesti seadistamisega usaldusväärsem kui üksikute jälgede otsimine; enne peaksid protokollid ja seadistus olema kindlustatud.
NAS-i puhul lisandub küsimus andmete kohta. Seal asuvad sageli lepingud, personalidokumendid või kliendiandmed. Kui ründaja pääses seadmele ligi, peate selgitama, kas võivad olla mõjutatud isikuandmed; siis võib olla IKÜM-i kohane teavitamiskohustus. Arutage seda varakult oma andmekaitsespetsialistiga, see ei ole õigusnõu.
Kuidas PHP SOS konkreetselt aitab?
- Varade kaardistamine: Koos teiega kaardistame kõik veebiliidesega süsteemid, ka NAS-id, seadmed ja virtuaalmasinad.
- Kättesaadavuse kontroll: Kontrollime väljastpoolt, millised liidesed on internetist kättesaadavad, ja pakume varjamislahendusi. Põhjalikumat kontrolli pakub turvaaudit koos läbistustestiga.
- Tootja seisu jälgimine: Seostame tootjate turvateated teie seadmetega ja planeerime uuendused.
- Kahtluse selgitamine: Kui mõjutatud seade oli võrgus avatud, kindlustame protokollid ja kontrollime jälgi.
Korduma kippuvad küsimused
Kas minu NAS on PHP2Shelli poolt mõjutatud?
Seda saab siduvalt öelda ainult tootja teie mudeli ja püsivara kohta. Kontrollige tema turvateateid ja seda, kas töötate NAS-is ise PHP veebisaite, näiteks veebiserveri paketi kaudu. Kuni selgitamiseni ei tohiks liides internetist kättesaadav olla.
Kas saan PHP-d NAS-is või tulemüüris ise uuendada?
Üldjuhul ei. PHP on seal püsivara või tootja paketi osa. Uuendused tulevad seadme uuendusfunktsiooni kaudu. Käsitsi sekkumine püsivarasse võib ohustada garantiid ja stabiilsust.
Kas piisab, kui kasutan veebiliidest ainult kohtvõrgus?
See vähendab riski märgatavalt, kuid ei kõrvalda seda. Samas võrgus olev juba kompromiteeritud arvuti pääseb liidesele ikkagi ligi. Parem on eraldi haldusvõrk või ligipääs ainult VPN-i kaudu.
Kuidas tunda ära, et seade kasutab PHP-d?
Mõnikord reedab seda serveri päis või laiend .php liidese aadressides. Kui selliseid vihjeid pole, ei tõesta see midagi. Usaldusväärsed on tootja dokumentatsioon ja turvateated.