Trumpai: Savaitė po pirmo pastebėto atakos bandymo PHP2Shell aktualiai pirmiausia yra įgyvendinimo klausimas: pataisos PHP 8.2–8.5 prieinamos nuo spalio 21 d., didžiosios distribucijos pasivijo, BSI įspėja oranžiniu lygiu. Atakos bandymų pastebėta, patvirtintų sėkmingų plataus masto atakų BSI iš pradžių nepranešė. Atviri lieka senos versijos, iš naujo nepaleisti serveriai ir klausimas, kas įvyko prieš pataisą.
Padėtis trimis sakiniais
PHP2Shell yra dvi kritinės pačiame PHP interpretatoriuje esančios spragos, CVE-2026-109618 ir CVE-2026-109619, kiekviena įvertinta pagal CVSS v4.0 9,2 balo. Jos leidžia vykdyti kodą nuotoliniu būdu be prisijungimo, t. y. atvejį, kurio saugumo specialistai bijo labiausiai. Paveikti PHP-FPM, Apache su mod_php, php-cgi, FrankenPHP ir LiteSpeed; didžiausią riziką PHP komanda mato esant mod_php.
Ši apžvalga išskirsto 2026 m. spalio 25 d. būseną pagal dalyvius. Eigą diena po dienos rasite PHP2Shell chronologijoje, čia kalbama apie bendrą vaizdą.
Kas po savaitės įrodyta
Patikimi yra PHP projekto duomenys: spalio 21 d. leidimai 8.5.12, 8.4.27, 8.3.36 ir 8.2.35 uždaro abi spragas. PHP 7.4, 8.0 ir 8.1 yra tik minimalūs šaltinio atgaliniai perkėlimai, o ne oficialūs leidimai. php.net pabrėžia, kad pilnų pereinamųjų priemonių nėra, o atnaujinimas yra vienintelis saugus kelias.
Spalio 23 d. pridėtas pranešimas apie CVE-2026-115560. Jis liečia tik neįprastą sesijos konfigūraciją; kaip priemonę iki kito įprasto klaidų taisymo leidimo php.net nurodo session.upload_progress.enabled=0.
Ir didžiosios distribucijos išreiškė poziciją. Oficialius pranešimus patikrinome:
| Teikėjas | Būsena pagal oficialų pranešimą |
|---|---|
| Ubuntu | USN-8948-1 versijoms 22.04, 24.04, 26.04 ir 26.10; USN-8948-2 versijoms 14.04–20.04 per Ubuntu Pro |
| Debian | Ištaisyti paketai bookworm (php8.2, DLA-4848-1) ir trixie (php8.4, DSA-6574-1) |
| Red Hat | Biuletenis RHSB-2026-013 RHEL 7–10; dalis atnaujinimų prieinama, kiti rengiami |
Red Hat CVE-2026-109618 pagal savo vertinimą priskiria „Important“ ir tai grindžia didesniu atakos sudėtingumu. Tai kitas vertinimo metodas nei PHP projekto ir ne priežastis atidėti atnaujinimą.
Kaip institucijos vertina padėtį
BSI paskelbė 3 įspėjimo lygį (oranžinis). Ji rekomenduoja nedelsiant atnaujinti, o jei to iš karto neįmanoma, paveiktus žiniatinklio serverius laikinai atjungti nuo tinklo. BSI tikėjosi greito plataus masto išnaudojimo. Ką vertinimas reiškia, paaiškina puslapis Ką BSI rekomenduoja dėl PHP2Shell.
Pasak pranešimų, CERT-EU laiko galimu, kad paveiktos versijos nuo PHP 5, ir pataria viešai pasiekiamas programas izoliuoti, jei jų nepavyksta pataisyti netrukus. CERT-Bund ir saugumo įmonė Huntress taip pat įspėjo.
Rekomendacija prireikus išjungti buvo matomai įgyvendinta. Pasak žiniasklaidos pranešimų, Mainco miestas savo centrinį interneto portalą atsargumo sumetimais atjungė nuo tinklo; institucijos liko pasiekiamos telefonu ir el. paštu. Hesene, pasak hessenschau, laikinai neveikė žemės vyriausybės, BKA bei Kaselio ir Vysbadeno miestų svetainės. Valstybės kanceliarija apie ataką nepranešė, svetainės vakare vėl buvo pasiekiamos. Kitos savivaldybės, aukštosios mokyklos ir klinikos, pasak pranešimų, elgėsi panašiai.
Kas žinoma apie atakas
Čia ypač svarbus skirtumas tarp stebėjimo ir patvirtinimo.
- Pastebėta: Pasak žiniasklaidos pranešimų, spalio 17 d. buvo pirmas atakos bandymas, kurį pastebėjo Amazon. Cloudflare ir Patchstack pranešė apie atakos bandymus; Cloudflare dar pastebėjo pakitusius atakos šablonus.
- Atkurta: watchTowr, pasak pranešimų, pagal jų pačių duomenis CVE-2026-109618 atkūrė.
- Nepatvirtinta: BSI iš pradžių nepranešė apie patvirtintus sėkmingus plataus masto išnaudojimus. Huntress savo pranešimo metu partnerių aplinkose atakų nematė.
- Nežinoma: Paskelbtų, patvirtintų kompromitavimo rodiklių (Indicators of Compromise) nėra. Kas nori patikrinti, ar serveris paveiktas, turi stebėti elgsenos šablonus.
Dėl masto plinta du skaičiai. Palo Alto Networks Unit 42 tyrėjai priskaičiavo daugiau nei 22,6 milijono potencialiai pažeidžiamų egzempliorių, pasiekiamų iš tinklo. CybelAngel nurodo apie 2,24 milijono pasiekiamų PHP serverių, iš jų, pasak jų pačių vertinimo, 59 procentai versijose be būsimo oficialaus taisymo. Abu matuoja skirtingus dalykus ir tiesiogiai nelyginami. Įvertinimą pateikia straipsnis Kaip teisingai vertinti skaičius.
Kas dar atvira
Tris klausimai lems artimiausias savaites:
- Senos versijos: Didelė pasiekiamų PHP diegimų dalis, pasak minėtų vertinimų, veikia šakose be oficialaus taisymo. Ar komerciniai ilgalaikės priežiūros pasiūlymai apima PHP2Shell, kiekvienu atveju reikia raštu patvirtinti pas teikėją.
- Neišsamūs atnaujinimai: Nauji paketai pradeda veikti tik tada, kai visi PHP procesai paleisti iš naujo. Red Hat aiškiai nurodo, kad vien perkrauti konfigūraciją nepakanka.
- Laikas prieš pataisą: Tarp spalio 17 ir 21 d. serveriai buvo pažeidžiami, kai atakos bandymai jau vyko. Pataisa neįrodo, kad tuo laikotarpiu nieko neįvyko.
Saugokite žiniatinklio serverio ir PHP žurnalus nuo spalio 20 d., kaip rekomenduoja specializuota spauda. Be žurnalų svarbiausio atviro jūsų serverio klausimo vėliau nebegalima išsiaiškinti.
Ką operatoriai dabar turėtų tikrinti
Savo padėčiai įvertinti pakanka keturių tikrinimo punktų kiekvienam serveriui: ar PHP ištaisytoje būsenoje arba su patvirtintu atgaliniu perkėlimu? Ar visi procesai veikia nuo atnaujinimo? Ar session.upload_progress.enabled išjungtas serverio pusėje, kol laukiamas CVE-2026-115560 saugumo pranešimas (advisory)? Ar yra neįprastumų nuo spalio 17 d.?
Paskutiniam punktui padeda puslapis Ar jau esu kompromituotas?. Žiniatinklio serverio procesas, paleidžiantis apvalkalą (shell), nauji PHP failai įkėlimo aplankuose, nežinomos cron užduotys ar SSH raktai yra įspėjamieji ženklai, pateisinantys nuodugnesnį tyrimą.
Kaip PHP SOS padeda konkrečiai?
- Kiekvieno serverio pataisų būseną vertiname pagal paketų būseną, pakeitimų žurnalą ir procesų paleidimo laiką.
- Kur pataisos nėra, taikome php.net pereinamąsias priemones ir išsiaiškiname kelią į palaikomą versiją.
- Saugome žurnalus nuo spalio 20 d. ir ieškome pėdsakų iš laiko prieš pataisą.
- Su PHP2Shell skubia pagalba šiuos žingsnius sujungiame įmonėms, kurioms greitai reikia aiškumo.
Dažni klausimai
Ar PHP2Shell jau aktyviai išnaudojama?
Cloudflare ir Patchstack pranešė apie atakos bandymus. Patvirtintų sėkmingų plataus masto atakų BSI iš pradžių nepranešė. Huntress savo pranešimo metu partnerių aplinkose atakų nematė.
Ar po pataisų pavojus praėjo?
Ne. Pataisos saugo tik serverius, kurie jas įdiegė ir paleido iš naujo visus PHP procesus. Sistemos su PHP 8.1 ir senesne versija be patvirtinto atgalinio perkėlimo (backport) lieka pažeidžiamos, o pataisa nepašalina anksčiau įterptos kenkėjiškos programinės įrangos.
Kodėl institucijų svetainės buvo išjungtos?
Pasak žiniasklaidos pranešimų, Mainco miestas ir kelios Heseno institucijos savo svetaines išjungė atsargumo sumetimais. Tai atitinka BSI rekomendaciją serveriams, kurių negalima iš karto atnaujinti. Išjungimas nereiškia, kad įvyko ataka.
Ar yra PHP2Shell atakos atpažinimo požymių?
Paskelbtų, patvirtintų kompromitavimo rodiklių (Indicators of Compromise) kol kas nėra. Aptikimas remiasi elgsenos analize, pavyzdžiui, PHP procesais, kurie paleidžia apvalkalą (shell), arba naujais PHP failais įkėlimo aplankuose.