Röviden: Egy héttel az első megfigyelt támadási kísérlet után a PHP2Shell aktuálisan főként a végrehajtás kérdése: a PHP 8.2-től 8.5-ig terjedő verziók javításai október 21. óta rendelkezésre állnak, a nagy disztribúciók felzárkóztak, a BSI (a német szövetségi információbiztonsági hivatal) narancs szinttel figyelmeztet. Támadási kísérleteket megfigyeltek, megerősített, széles körű sikeres támadásokról a BSI kezdetben nem számolt be. Nyitottak maradnak a régi verziók, az újra nem indított szerverek és az a kérdés, mi történt a javítás előtt.
A helyzet három mondatban
A PHP2Shell két kritikus rés magában a PHP-értelmezőben, a CVE-2026-109618 és a CVE-2026-109619, mindkettő CVSS v4.0 szerinti 9,2-es értékeléssel. Bejelentkezés nélküli távoli kódfuttatást tesznek lehetővé, vagyis azt az esetet, amelytől a biztonsági szakemberek a legjobban tartanak. Érintett a PHP-FPM, az Apache mod_php-vel, a php-cgi, a FrankenPHP és a LiteSpeed; a legmagasabb kockázatot a PHP-csapat a mod_php-nél látja.
Ez az áttekintés az október 25-i állapotot rendezi szereplők szerint. A napról napra való lefolyást a PHP2Shell kronológia tartalmazza, itt az összképről van szó.
Mi igazolt egy hét után
Biztos a PHP-projekt közlése: a október 21-i 8.5.12, 8.4.27, 8.3.36 és 8.2.35 kiadások mindkét rést bezárják. A PHP 7.4-hez, 8.0-hoz és 8.1-hez csak minimális forrásszintű backportok léteznek, hivatalos kiadások nem. A php.net hangsúlyozza, hogy nincsenek teljes körű átmeneti intézkedések, és a frissítés az egyetlen biztos út.
Október 23-án egy közlemény érkezett a CVE-2026-115560-ról. Ez csak egy szokatlan session-konfigurációt érint; megoldásként a php.net a session.upload_progress.enabled=0 beállítást nevezi meg a következő rendes hibajavító kiadásig.
A nagy disztribúciók is állást foglaltak. Megvizsgáltuk a hivatalos közleményeket:
| Szolgáltató | Állapot a hivatalos közlemény szerint |
|---|---|
| Ubuntu | USN-8948-1 a 22.04, 24.04, 26.04 és 26.10 verziókhoz; USN-8948-2 a 14.04-től 20.04-ig az Ubuntu Pro-n keresztül |
| Debian | Javított csomagok a bookworm (php8.2, DLA-4848-1) és a trixie (php8.4, DSA-6574-1) verziókhoz |
| Red Hat | RHSB-2026-013 bulletin a RHEL 7-től 10-ig; egyes frissítések elérhetők, továbbiak készülnek |
A Red Hat a CVE-2026-109618-at saját értékeléssel „Important” szintűnek minősíti, és ezt a magasabb támadási komplexitással indokolja. Ez más értékelési módszer, mint a PHP-projekté, és nem ok a frissítés halogatására.
Hogyan értékelik a hatóságok a helyzetet
A BSI a 3-as / narancs riasztási szintet hirdette ki. Az azonnali frissítést javasolja, és ha az nem megy azonnal, az érintett webszerverek átmeneti leválasztását a hálózatról. A BSI gyors, nagy léptékű kihasználással számolt. Hogy mit jelent a besorolás, azt a Mit javasol a BSI a PHP2Shellről oldal magyarázza.
Beszámolók szerint a CERT-EU lehetségesnek tartja, hogy a PHP 5-től felfelé érintettek a verziók, és azt javasolja, hogy a nyilvánosan elérhető alkalmazásokat izolálják, ha nem javíthatók időben. A CERT-Bund (a német kormányzati CERT) és a Huntress biztonsági vállalat szintén figyelmeztetett.
Az ajánlást, hogy szükség esetén le kell állítani, láthatóan végrehajtották. Médiabeszámolók szerint Mainz városa elővigyázatosságból levette központi webportálját a hálózatról; a hivatalok telefonon és e-mailben elérhetők maradtak. Hessenben a hessenschau szerint a tartományi kormány, a BKA (a német Szövetségi Bűnügyi Hivatal), valamint Kassel és Wiesbaden városának oldalai voltak átmenetileg offline. Az Államkancellária nem jelentett támadást, az oldalak este újra elérhetők voltak. További települések, főiskolák és klinikák beszámolók szerint hasonlóan jártak el.
Mit tudni a támadásokról
Itt különösen fontos a megfigyelés és a megerősítés szétválasztása.
- Megfigyelt: Médiabeszámolók szerint október 17-én volt egy első támadási kísérlet, amelyet az Amazon figyelt meg. A Cloudflare és a Patchstack támadási kísérletekről számolt be; a Cloudflare ezenkívül módosult támadási mintákat is látott.
- Reprodukált: A watchTowr beszámolók szerint saját közlése szerint reprodukálta a CVE-2026-109618-at.
- Nem megerősített: A BSI kezdetben nem jelentett megerősített, széles körű sikeres kihasználásokat. A Huntress a közleménye idején nem látott támadásokat a partnerkörnyezetekben.
- Ismeretlen: Nincsenek közzétett, megerősített Indicators of Compromise. Aki ellenőrizni szeretné, érintett volt-e egy szerver, a viselkedési mintákra kell figyelnie.
A kiterjedésről két szám kering. A Palo Alto Networks Unit 42 kutatói több mint 22,6 millió, a hálózatról elérhető, potenciálisan sebezhető példányra jutottak. A CybelAngel nagyjából 2,24 millió elérhető PHP-hostot említ, ebből saját kiértékelése szerint 59 százalék olyan verziókon, amelyekhez nem várható hivatalos javítás. Mindkettő különböző dolgot mér, és nem közvetlenül összehasonlítható. Besorolást a Így értelmezze helyesen a számokat írás nyújt.
Mi marad nyitott
Három kérdés határozza meg a következő heteket:
- Régi verziók: Az elérhető PHP-telepítések nagy része az említett kiértékelések szerint hivatalos javítás nélküli ágakon fut. Hogy a kereskedelmi hosszú távú ajánlatok lefedik-e a PHP2Shellt, azt mindig írásban kell megerősíttetni a szolgáltatóval.
- Hiányos frissítések: Az új csomagok csak akkor hatnak, ha az összes PHP-folyamat újraindult. A Red Hat kifejezetten rámutat, hogy a puszta újratöltés nem elég.
- A javítás előtti idő: Október 17. és 21. között a szerverek sebezhetők voltak, miközben már támadási kísérletek zajlottak. Egy javítás nem bizonyítja, hogy ez idő alatt nem történt semmi.
Őrizze meg a webszerver- és PHP-naplókat október 20-tól, ahogyan a szaksajtó javasolja. Naplók nélkül a szerverére nézve a legfontosabb nyitott kérdésre később már nem lehet válaszolni.
Mit ellenőrizzenek most az üzemeltetők
A saját helyzetértékeléshez szerverenként négy ellenőrzési pont elég: Javított állapotban vagy megerősített backportban van a PHP? Fut-e minden folyamat a frissítés óta? A session.upload_progress.enabled szerveroldalon ki van-e kapcsolva, amíg a CVE-2026-115560 advisoryja várat magára? Vannak-e feltűnő jelenségek október 17. óta?
Az utolsó ponthoz a Feltörték már a rendszeremet? oldal segít. Egy shellt indító webszerver-folyamat, új PHP-fájlok a feltöltési mappákban, ismeretlen cron-feladatok vagy SSH-kulcsok olyan figyelmeztető jelek, amelyek alaposabb vizsgálatot indokolnak.
Hogyan segít konkrétan a PHP SOS?
- Minden szerver javítási állapotát a csomagállapot, a changelog és a folyamatok indítási ideje alapján értékeljük.
- Ahol nincs elérhető javítás, a php.net átmeneti intézkedéseit alkalmazzuk, és tisztázzuk az utat a támogatott verzióig.
- Mentjük a naplókat október 20-tól, és a javítás előtti időből származó nyomokat keresünk.
- A PHP2Shell azonnali segítséggel összefogjuk ezeket a lépéseket azoknak a vállalatoknak, amelyeknek gyorsan tisztánlátásra van szükségük.
Gyakori kérdések
Aktívan kihasználják már a PHP2Shellt?
A Cloudflare és a Patchstack támadási kísérletekről számolt be. Megerősített, széles körű sikeres támadásokról a BSI kezdetben nem számolt be. A Huntress a közleménye idején nem látott támadásokat a partnerkörnyezetekben.
Vége a veszélynek a javítások után?
Nem. A javítások csak azokat a szervereket védik, amelyek telepítették őket, és az összes PHP-folyamatot újraindították. A PHP 8.1-es és régebbi rendszerek megerősített backport nélkül sebezhetők maradnak, és egy javítás nem távolítja el a korábban bejuttatott kártékony szoftvert.
Miért voltak offline a hatósági weboldalak?
Médiabeszámolók szerint egyebek mellett Mainz városa és több hesseni hivatal elővigyázatosságból leállította a weboldalát. Ez megfelel a BSI ajánlásának azokra a szerverekre, amelyek nem frissíthetők azonnal. A leállítás nem jelenti azt, hogy támadás történt.
Vannak felismerési jegyek egy PHP2Shell-támadásra?
Közzétett, megerősített Indicators of Compromise eddig nincsenek. A felismerés viselkedéselemzésen alapul, például shellt indító PHP-folyamatokon vagy új PHP-fájlokon a feltöltési mappákban.