Trumpai: Prie įrodytų PHP2Shell faktų priklauso abu CVE numeriai, įvertinimas pagal CVSS v4.0 9,2 balo, ištaisytos PHP versijos ir php.net pereinamosios priemonės. Įrodytas ir BSI oranžinis įspėjimo lygis. Neįrodytas nei įvertinimas 10 CVSS balų, nei patvirtintos sėkmingos plataus masto atakos, nei požymių sąrašas. Kas šiuos tris lygmenis skiria, sprendimus priima geriau.
Kodėl PHP2Shell faktų patikra reikalinga
Retai kuri pastarųjų metų saugumo spraga taip greitai sukėlė tiek antraščių. Dar prieš PHP komandai 2026 m. spalio 21 d. išleidžiant atnaujinimus, pasak pranešimų, plito forumų įrašai, ekrano nuotraukos ir tariamos detalės. Vėliau sekė institucijų įspėjimai, gamintojų tinklaraščiai, viešai pasiekiamų serverių skaičiavimai ir daugybė patarimų.
Operatoriams tai reiškia: ne kiekvienas skaičius ir ne kiekvienas patarimas yra vienodos kokybės. Dalis kyla iš pirminių šaltinių, dalis iš rimtos žurnalistikos, dalis iš spekuliacijų. Šiame straipsnyje išskirstoma, ką savo sprendimams galite laikyti patikimu pagrindu. Pačios spragos pagrindus paaiškina puslapis Kas yra PHP2Shell?.
Kurie šaltiniai kokį svorį turi
Skaitant bet kurį pranešimą padeda paprasta pirmenybių eilė:
- php.net: PHP projektas yra pirminis šaltinis CVE numeriams, įvertinimams, paveiktiems veikimo režimams, ištaisytoms versijoms ir pereinamosioms priemonėms. Kaip projektas iš esmės elgiasi su saugumo pranešimais, aprašo mūsų straipsnis apie PHP saugumo procesą.
- Institucijos: BSI pateikia padėties vertinimą Vokietijoje ir veiksmų rekomendacijas, CERT-EU ir CERT-Bund papildo.
- Distribucijos ir teikėjai: Debian, Ubuntu, Red Hat, talpintojai ir platformų paslaugų teikėjai įpareigojančiai pasako tik apie savo paketus ir paslaugas.
- Saugumo įmonės: Cloudflare, Unit 42, CybelAngel ir kiti pranešimus remia savo matavimais. Vertinga, bet kiekvienas taiko savo metodiką.
- Žiniasklaida ir socialiniai tinklai: Gerai dėl greičio, silpna dėl detalių. Iš ten kylantiems teiginiams reikia patvirtinimo aukščiau esančiame šaltinyje.
Įrodyta, pranešta, neįrodyta: apžvalga
Toliau pateiktoje lentelėje išrūšiuoti dažniausi teiginiai. „Įrodyta“ reiškia: pirminis šaltinis arba institucija. „Pranešta“ reiškia: iš žiniasklaidos ar gamintojų duomenų, nepriklausomai nepatvirtinta.
| Teiginys | Įvertinimas | Pagrindas |
|---|---|---|
| Dvi spragos, CVE-2026-109618 ir CVE-2026-109619 | įrodyta | php.net |
| Įvertinimas CVSS v4.0 9,2, kritinė | įrodyta | php.net |
| Įvertinimas 10 CVSS balų | nepagrįsta | pasak pranešimų, iš forumo įrašo prieš pranešimą |
| Ištaisyta 8.5.12, 8.4.27, 8.3.36, 8.2.35 | įrodyta | php.net |
| mod_php didžiausia rizika, išnaudojimas parodytas prieš programos kodą | įrodyta | php.net |
| Paveiktos beveik visos versijos iki PHP 5.4 | pranešta | specializuota spauda |
| Pirmas atakos bandymas spalio 17 d. | pranešta | žiniasklaidos pranešimai, remiantis Amazon |
| Daugiau nei 22,6 mln. viešai pasiekiamų egzempliorių | pranešta | Unit 42, pasak TechTarget |
| Sėkmingos plataus masto atakos | neįrodyta | pasak BSI, iš pradžių nebuvo žinoma |
| Patvirtinti kompromitavimo rodikliai (Indicators of Compromise) | nėra | nepaskelbta |
| Pereinamosios priemonės apsaugo visiškai | klaidinga | php.net jas aiškiai vadina nepilnomis |
Krinta į akis, kaip anksti skaičiai ima gyventi savo gyvenimą. Vertinimas 10,0 iš forumo įrašo dar po kelių dienų pasirodė straipsniuose, nors PHP komanda jau seniai buvo paskelbusi 9,2.
Kur tikrasis neapibrėžtumas
Didžiausias atviras klausimas yra ne techninis, o laiko: kas įvyko tarp pirmo pranešto atakos bandymo ir pataisos atskiruose serveriuose? Bendro atsakymo į tai nėra. Cloudflare ir Patchstack pranešė apie atakos bandymus, watchTowr, pasak jų pačių, CVE-2026-109618 atkūrė. Huntress savo pranešimo metu partnerių aplinkose atakų nematė.
Šie teiginiai vienas kitam neprieštarauja. Jie aprašo skirtingus pjūvius: didelę tarpinio serverio (proxy) paslaugą, įskiepių saugumo įmonę, tyrimų komandą ir įmonę su sava klientų baze. Bendras vaizdas iš to nesusidaro.
Panašiai su klausimu, kurios versijos paveiktos. Šakoms nuo 8.2 iki 8.5 padėtis aiški. Senesnėms šakoms yra minimalūs šaltinio atgaliniai perkėlimai (backport) versijoms 7.4, 8.0 ir 8.1, bet oficialių leidimų nėra. Kas yra dar senesnė, pasak specializuotos spaudos, beveik visada paveikta. Jūsų planavimui tai mažai ką keičia: serverį su PHP 8.1 ar senesne versija be patvirtinto atgalinio perkėlimo reikia laikyti pavojingu.
Atakų įrodymų nebuvimas nėra saugumo įrodymas. Kadangi patvirtintų atpažinimo požymių nėra, ataką atskirame serveryje galima įvertinti tik tikrinant elgseną, o ne pagal sąrašą.
Ką iš to išvesti savo serveriams
Iš įrodytų faktų išplaukia keli aiškūs žingsniai. Iš neįrodytų visų pirma išplaukia atsargumas.
- Patikrinti pataisų būseną: ištaisyta versija arba teikėjo patvirtintas atgalinis perkėlimas. Vien rodomo versijos numerio nepakanka.
- Iš naujo paleisti visus PHP procesus: nauji failai pradeda veikti tik tada, kai nebeveikia seni procesai.
- Išsaugoti žurnalus nuo spalio 20 d.: specializuota spauda to pataria, kad vėlesnė patikra liktų įmanoma.
- Tikrinti dėl pėdsakų: nauji PHP failai įkėlimo aplankuose, nežinomos cron užduotys, žiniatinklio serverio procesai su apvalkalu. Per patikrą veda puslapis Ar jau esu kompromituotas?.
- Patarimus tikrinti iš kitų šaltinių: patarimus iš forumų ir socialinių tinklų taikyti tik tada, kai juos galima atsekti iki php.net ar institucijos. Kurios rekomendacijos šiuo metu kenkia, renka straipsnis Pavojingi klaidingi patarimai dėl PHP2Shell.
Vidiniam bendravimui padeda tas pats skyrimas. Kas vadovybei atskirai pateikia „įrodyta“, „pranešta“ ir „atvira“, išvengia ir panikos kėlimo, ir klaidingo nuraminimo.
Kaip PHP SOS padeda konkrečiai?
- Padėtis jūsų sistemoms: Įrodytus faktus pritaikome jūsų serveriams ir dokumentacijoje atskiriame, kas išmatuota, kas pranešta ir kas dar atvira.
- Pataisa ir įrodymas: Tikriname paketų būseną ir kiekvienos PHP tarnybos paleidimą iš naujo bei tai užfiksuojame raštu.
- Pėdsakų patikra: Saugome žurnalus nuo spalio 20 d. ir ieškome elgsenos neįprastumų, kol incidentas bus užbaigtas ir dokumentuotas.
- Nuolatinis vertinimas: Naujus pranešimus įvertiname už jus, kol jie netapo priemonėmis.
Eigą aprašo PHP2Shell skubi pagalba.
Išvada
PHP2Shell yra rimta, ir tai gerai įrodyta. Būtent todėl verta žvelgti blaiviai: visiems svarbiems sprendimams pakanka pirminių šaltinių. Tai, kas plinta šalia jų, dažnai yra greitesnė nei tikslesnė. Atnaujinti, paleisti iš naujo, išsaugoti žurnalus ir tikrinti dėl pėdsakų išlieka atsakymu, nesvarbu, koks skaičius šiuo metu sklando.
Dažni klausimai
Ar PHP2Shell įvertinta CVSS 10 balų?
Ne. Skaičius 10, pasak pranešimų, kilo iš forumo įrašo, kuris plito prieš oficialų pranešimą. PHP komanda abi spragas vertina pagal CVSS v4.0 9,2 balo. Tai vis tiek kritinė kategorija.
Ar yra PHP2Shell atakų atpažinimo požymių sąrašas?
Kol kas ne. Paskelbtų, patvirtintų kompromitavimo rodiklių (Indicators of Compromise) nėra. Norint patikrinti, ar serveris buvo paveiktas, reikia stebėti elgsenos neįprastumus, pavyzdžiui, žiniatinklio serverio procesus, kurie paleidžia apvalkalą (shell), arba naujus PHP failus įkėlimo aplankuose.
Kuris šaltinis dėl PHP2Shell patikimiausias?
Techniniams faktams pranešimai php.net, padėties vertinimui Vokietijoje BSI (Vokietijos federalinė informacijos saugumo tarnyba). Žiniasklaidos pranešimai ir gamintojų tinklaraščiai papildo vaizdą, bet juos reikėtų žymėti kaip pranešimus ir skaityti lygindami su pirminiu šaltiniu.
Ar tikrai paveiktos visos PHP versijos nuo PHP 5?
Įrodyta padėtis šakoms nuo 8.2 iki 8.5, kurioms yra atnaujinimai. Pasak specializuotos spaudos, paveiktos beveik visos versijos iki PHP 5.4; CERT-EU, pasak pranešimų, laikė galimomis versijas nuo PHP 5. Senesnėms versijoms oficialių atnaujinimų nėra, todėl bet kuriuo atveju jas reikėtų laikyti pavojingomis.