Ukratko: PHP ne radi samo na web-poslužiteljima, nego i u web-sučeljima NAS sustava, vatrozida i stručnih uređaja ili u paketima web-poslužitelja koje ste instalirali na NAS. Je li uređaj pogođen PHP2Shellom, može reći samo proizvođač; ažuriranje stiže putem firmwarea. Vaš je zadatak pronaći te uređaje, njihova web-sučelja maknuti s interneta i pratiti objave proizvođača.
Zašto uređaji s web-sučeljem spadaju u PHP pitanje
Kad se govori o PHP2Shellu, većina misli na web-stranicu tvrtke ili web-shop. A PHP se nalazi i u uređajima koje nitko ne smatra web-poslužiteljem. Stoje u poslužiteljskoj sobi ili uredu, imaju web-sučelje za upravljanje i često godinama rade bez pažnje.
Ranjivosti CVE-2026-109618 i CVE-2026-109619 prema php.net-u pogađaju sam PHP u načinima rada PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP i LiteSpeed. Koristi li web-sučelje uređaja neki od tih načina rada s ranjivom verzijom, rizik tamo vrijedi jednako. Razlika: PHP na uređaju u pravilu ne možete sami ažurirati.
Da se takvi sustavi zaboravljaju, ima opipljivih razloga. Često ih je postavio pružatelj usluga koji ih odavno više ne održava. Ažuriranja firmwarea ne rade automatski, nego traže klik koji nitko ne napravi. A neki uređaji donose udobne funkcije udaljenog pristupa koje web-sučelje čine dostupnim s interneta bez znanja IT-a. Kod PHP ranjivosti poput PHP2Shella ta se udobnost pretvara u rizik.
PHP ranjivost na NAS-u i uređajima: koji sustavi dolaze u obzir
Ovdje navodimo vrste uređaja, a ne izjave o pojedinim modelima. Je li određeni firmware pogođen, piše isključivo u objavama proizvođača.
| Vrsta uređaja | Kako PHP dolazi u igru | Tko ažurira |
|---|---|---|
| NAS s paketom web-poslužitelja | Na NAS-u vodite vlastite PHP web-stranice ili aplikacije | Proizvođač isporučuje PHP paket, Vi ga instalirate |
| Distribucije vatrozida i routera | Dijelovi sučelja za upravljanje napisani su u PHP-u | Proizvođač putem firmwarea |
| Stručni uređaji s web-sučeljem | npr. telefonske centrale, evidencija radnog vremena, tehnika zgrada, ako proizvođač koristi PHP | Proizvođač ili specijalizirani trgovac |
| Virtualni uređaji (appliance) | unaprijed konfigurirani virtualni strojevi s vlastitim web-sučeljem | Proizvođač putem image-a za ažuriranje |
| Kontejneri na NAS-u | PHP aplikacije u Docker kontejnerima | Vi, putem novog image-a |
Dva dokazana primjera: Synology u Web Stationu omogućuje PHP web-stranice s odabirom PHP profila i najavio je kraj podrške za PHP 7.3, 7.4 i 8.0 pod DSM 7.3. Sigurnosne objave Netgatea o pfSenseu opisuju PHP datoteke i PHP poruke o pogreškama web-sučelja. To samo pokazuje da se PHP tamo pojavljuje, a ne da su ti proizvodi pogođeni PHP2Shellom.
Inventar: kako pronaći zaboravljene sustave
Najvažniji je korak popis. Mnoge tvrtke točno znaju koje web-stranice vode, ali ne i koji uređaji imaju web-sučelje. Kako izgleda trajan inventar, opisuje članak Inventar svih web-stranica i poslužitelja.
- Obuhvatiti mrežu: Prikupiti uređaje iz DHCP popisa, pregleda switcha ili vatrozida.
- Označiti web-sučelja: Za svaki uređaj zabilježiti upravlja li se putem HTTP-a ili HTTPS-a.
- Provjeriti dopuštenja: Popisati preusmjeravanja portova i usluge udaljenog pristupa u routeru. Svako web-sučelje dostupno s interneta ide na vrh.
- Dodijeliti proizvođača: Zabilježiti model, stanje firmwarea i poveznicu na sigurnosne objave proizvođača.
- Obuhvatiti vlastite usluge: Pakete web-poslužitelja i kontejnere instalirane na NAS sustavima navesti zasebno.
Prvu naznaku moguće je dobiti bezazlenim upitom zaglavlja. Naredba samo dohvaća početnu stranicu i ništa ne mijenja:
# Prikazati zaglavlja poslužitelja web-sučelja (adresa kao primjer)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Ako tamo stoji PHP oznaka, to je upozorenje. Ako je nema, to ništa ne dokazuje, jer mnogi uređaji takve podatke namjerno skrivaju.
Što možete učiniti ako ne možete sami zakrpati
Kod uređaja zakrpa je kod proizvođača. Dostupnost je kod Vas, i upravo je tamo najveća poluga. BSI kod PHP2Shella preporučuje web-poslužitelje bez ažuriranja privremeno maknuti s mreže; za sučelja za upravljanje uređajima to analogno vrijedi tim više.
- Maknuti s interneta: Ukloniti preusmjeravanja portova na web-sučelja i udaljeni pristup dopustiti samo putem VPN-a.
- Odvojiti mrežu za upravljanje: Web-sučelja učiniti dostupnima samo iz zasebnog mrežnog raspona za administratore. Pozadinu donosi članak Zaštititi administratorska područja.
- Isključiti neiskorišteno: Deaktivirati pakete web-poslužitelja ili aplikacije na NAS-u koje više nitko ne treba.
- Pratiti objave o firmwareu: Uključiti obavijesti o ažuriranjima i ažuriranja instalirati pravodobno čim ih proizvođač objavi.
- Zamijeniti stare uređaje: Uređaje bez podrške proizvođača više ne držati dostupnima s interneta i planirati zamjenu.
Ako na NAS-u vodite vlastite PHP web-stranice, za te web-stranice vrijedi isto što i za svaki web-poslužitelj: provjeriti verziju, ažurirati paket, ponovno pokrenuti uslugu. Osnove o ranjivosti objašnjava stranica Što je PHP2Shell?.
Ako je uređaj stajao otvoren u mreži
Ako je web-sučelje bilo dostupno s interneta između 17. i 21. listopada i uređaj je pogođen, ne biste ga trebali samo ažurirati. Provjerite jesu li mijenjani računi, dijeljenja ili preusmjeravanja, osigurajte dostupne zapisnike i promijenite pristupne podatke. Uređaj koji je bio u mreži s napadačem može poslužiti kao odskočna daska prema drugim sustavima.
Kod vatrozida i routera to je osobito osjetljivo jer vide sav promet. U slučaju sumnje vraćanje na tvorničke postavke uz čistu novu konfiguraciju pouzdanije je od traženja pojedinačnih tragova; prije toga zapisnici i konfiguracija trebaju biti sigurnosno kopirani.
Kod NAS-a dolazi pitanje podataka. Tamo često leže ugovori, osobna dokumentacija ili podaci o klijentima. Ako je napadač mogao pristupiti uređaju, morate razjasniti mogu li biti pogođeni osobni podaci; tada može postojati obveza prijave prema GDPR-u. Razgovarajte o tome rano sa svojim službenikom za zaštitu podataka, ovo nije pravni savjet.
Kako PHP SOS konkretno pomaže?
- Prikupiti popis: S Vama bilježimo sve sustave s web-sučeljem, i NAS, uređaje i virtualne strojeve.
- Provjeriti dostupnost: Izvana provjeravamo koja su sučelja dostupna s interneta i predlažemo zaštitu. Dublju provjeru nudi sigurnosni audit s penetracijskim testom.
- Pratiti stanje kod proizvođača: Sigurnosne objave proizvođača pridružujemo Vašim uređajima i planiramo ažuriranja.
- Razjasniti sumnju: Ako je pogođeni uređaj stajao otvoren u mreži, osiguravamo zapisnike i tražimo tragove.
Česta pitanja
Je li moj NAS pogođen PHP2Shellom?
To može obvezujuće reći samo proizvođač za Vaš model i Vaš firmware. Provjerite njegove sigurnosne objave i pokrećete li na samom NAS-u PHP web-stranice, primjerice putem paketa web-poslužitelja. Do razjašnjenja sučelje ne bi smjelo biti dostupno s interneta.
Mogu li PHP na NAS-u ili vatrozidu sam ažurirati?
U pravilu ne. PHP je tamo dio firmwarea ili paketa proizvođača. Ažuriranja stižu putem funkcije ažuriranja uređaja. Ručni zahvati u firmware mogu ugroziti jamstvo i stabilnost.
Je li dovoljno web-sučelje koristiti samo u lokalnoj mreži?
To rizik znatno smanjuje, ali ga ne uklanja. Već kompromitirano računalo u istoj mreži i dalje može doći do sučelja. Bolja je zasebna mreža za upravljanje ili pristup samo putem VPN-a.
Po čemu prepoznajem da uređaj koristi PHP?
Ponekad to otkriva zaglavlje poslužitelja ili nastavak .php u adresama sučelja. Ako takvih naznaka nema, to ništa ne dokazuje. Pouzdani su dokumentacija proizvođača i sigurnosne objave.