PHP2Shell skubi pagalba: pagalba dėl PHP saugumo spragos

Trumpai: PHP2Shell yra dvi kritinės pačiame PHP esančios spragos, per kurias užpuolikai be prisijungimo gali vykdyti kenkėjišką kodą. Jei dėl šios PHP saugumo spragos greitai reikia pagalbos, nuotoliniu būdu atliekame inventorizaciją, pataisų diegimą arba pereinamąją priemonę, visų PHP procesų paleidimą iš naujo ir pirminę pėdsakų paiešką. Pabaigoje gaunate rašytinį būklės įrodymą.

Pagalba dėl PHP saugumo spragos: kodėl reikia veikti dabar

2026 m. spalio 21 d. 16 val. Vokietijos laiku PHP projektas paskelbė pataisas, skirtas CVE-2026-109618 ir CVE-2026-109619. Abi spragos pagal CVSS v4.0 įvertintos 9,2 balo ir leidžia vykdyti kenkėjišką kodą nuotoliniu būdu, nereikalaujant jokio prisijungimo. Paveikti įprasti veikimo režimai: PHP-FPM, Apache su mod_php, php-cgi, FrankenPHP ir LiteSpeed.

BSI paskelbė 3 įspėjimo lygį (oranžinis). Ji rekomenduoja nedelsiant atnaujinti, o jei to padaryti iš karto neįmanoma, laikinai atjungti žiniatinklio serverius nuo tinklo. Palo Alto Networks (Unit 42) suskaičiavo daugiau nei 22,6 milijono viešai pasiekiamų, potencialiai pažeidžiamų egzempliorių. Patvirtintų sėkmingų plataus masto atakų, BSI duomenimis, iš pradžių nebuvo žinoma, tačiau Cloudflare jau pranešė apie bandymus pulti.

Vadovybei ir savininkams tai reiškia: kiekvienas viešai pasiekiamas PHP serveris laikomas kandidatu, kol įrodoma priešingai. Suprantamą spragos paaiškinimą rasite puslapyje Kas yra PHP2Shell?.

Kam skirta PHP2Shell skubi pagalba?

Įmonėms, agentūroms ir viešosioms įstaigoms, kurios eksploatuoja PHP programas ir negali ar nenori pačios reikiamu gyliu tvarkyti situacijos. Tai taikoma ir nuosavų root serverių bei vServer savininkams, ir serveriams su Plesk ar cPanel, konteinerių aplinkoms ir valdomiems (managed) serveriams, kuriuose atsakomybė neaiški.

Pagalbos dažnai reikia ir tiems, kas turi talpintoją. Daug teikėjų įdiegia atgalinius perkėlimus (backports); tada, pavyzdžiui, Plesk toliau rodo 8.2.34, nors paketų būsena jau pataisyta. Ir atvirkščiai: gali būti rodomas naujas versijos numeris, nors seni PHP procesai dar veikia atmintyje. Kurios būsenos laikomos ištaisytomis, rasite puslapyje Kurios PHP versijos paveiktos?.

Kaip PHP SOS padeda konkrečiai?

1. Inventorizacija: Surašome visus jūsų serveriuose esančius PHP diegimus, veikimo režimus ir versijas, įskaitant paketų būseną ir veikiančius procesus. Rezultatas yra sąrašas, kurios sistemos paveiktos, ištaisytos ar neaiškios.
2. Pataisa arba pereinamoji priemonė: Kur įmanoma, įdiegiame ištaisytas versijas (8.5.12, 8.4.27, 8.3.36, 8.2.35) arba jūsų distribucijos paketus. Jei iš karto neįmanoma, taikome pereinamąsias priemones pagal php.net ir atvirai sakome, kad jos visiškos apsaugos nesuteikia.
3. Paleidimas iš naujo ir kontrolė: Paleidžiame iš naujo visus PHP darbinius procesus (worker) ir procesus, o paskui tikriname, kad nebeveikia joks senas procesas. Vien nauji failai spragos neuždaro.
4. Pirminė pėdsakų paieška: Saugome serverio žurnalus nuo spalio 20 d. ir ieškome neįprastų požymių, pavyzdžiui, naujų PHP failų, nežinomų cron užduočių ar neįprastų procesų. Kadangi nėra paskelbtų, patvirtintų kompromitavimo rodiklių (Indicators of Compromise), ši patikra grindžiama elgsenos analize.
5. Įrodymas ir tolesni žingsniai: Gaunate rašytinę ataskaitą. Įtarus kompromitavimą rekomenduojame tinkamus tolesnius žingsnius, pavyzdžiui, kenkėjiškos programinės įrangos šalinimą ar kriminalistinį tyrimą.

Ką iš mūsų gausite

• visų patikrintų serverių apžvalgą su PHP versija, paketų būsena, veikimo režimu ir pataisos statusu
• įdiegtų atnaujinimų arba nustatytų pereinamųjų priemonių dokumentaciją
• įrodymą, kad visi PHP procesai paleisti iš naujo
• pėdsakų paieškos vertinimą, atskirtą į įrodytą, tikėtiną ir nežinomą
• atvirų klausimų sąrašą, pavyzdžiui, sistemas su PHP 8.1 ar senesne versija

Šią ataskaitą galite perduoti vadovybei, duomenų apsaugos pareigūnams ar draudikui. Teisinio vertinimo ji neatlieka.

Ko mums reikia iš jūsų

• Prieiga: SSH ar valdymo skydelio prieiga su pakankamomis teisėmis, arba leidimas jūsų talpintojui mums teikti informaciją
• Kontaktinis asmuo: žmogus, galintis priimti sprendimus, pavyzdžiui, dėl trumpo darbo be tinklo ar paleidimo iš naujo
• Apžvalga: kurios svetainės, parduotuvės ir programos kuriuose serveriuose veikia
• Priežiūros langas: jūsų nurodymai, kada leidžiama paleisti iš naujo
• Atsarginės kopijos: informacija, kur saugomos naujausios kopijos

Administratoriams, kurie nori pirmiausia pasitikrinti patys, dažnai pakanka šio nepavojingo žvilgsnio į būklę:

php -v
# Debian/Ubuntu: įdiegti PHP paketai su versija
dpkg -l | grep -i php
# veikiantys PHP procesai ir jų paleidimo laikas
ps -eo pid,lstart,cmd | grep -i php

Ko neapsiimame

Neapsiimame užtikrinti absoliutaus saugumo ir nesakome, kad jūsų serveris niekada nebuvo užpultas, jei įrodymai to neleidžia teigti. Su incidentu dirbame tol, kol jis užbaigtas ir dokumentuotas. Ar egzistuoja pareiga pranešti pagal BDAR ir ar reikia informuoti draudiką, išsiaiškinkite su duomenų apsaugos pareigūnu, teisininku ar draudiku. Tam pateikiame techninius faktus.

Jei jums reikia tik atnaujinimo su įrodymu, tinka mūsų PHP pataisų paslauga. Jei jau yra atakos požymių, tinkamiausias pradžios taškas yra skubi pagalba nulaužus svetainę.

Dažni klausimai

Šaltiniai

• php.net: saugumo pranešimai
• PHP 8 ChangeLog
• BSI (Vokietijos federalinė informacijos saugumo tarnyba)
• TechTarget: PHP2Shell, 22M exposed servers at risk