# Kas yra PHP2Shell? Spraga paprastai paaiškinta

> PHP2Shell paprastai paaiškinta: kas slypi už dviejų kritinių PHP spragų, kurie serveriai paveikti ir kokių žingsnių turėtumėte imtis dabar.

Šaltinis: https://phpsos.de/lt/php2shell/was-ist-php2shell/  
Būsena: 2026-10-25  
Teikėjas: PHP SOS, PHP avarinė pagalba ir serverio sauga. Skubi pagalba per „WhatsApp“: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20reikia%20pagalbos%20su%20m%C5%ABs%C5%B3%20PHP%20serveriu.%20%C4%AEmon%C4%97%3A%20%E2%80%A6%20Svetain%C4%97%3A%20%E2%80%A6

**Trumpai:** PHP2Shell yra pavadinimas dviem kritinėms pačiame PHP esančioms saugumo spragoms, CVE-2026-109618 ir CVE-2026-109619. Per jas užpuolikai pažeidžiamuose žiniatinklio serveriuose be prisijungimo gali vykdyti kenkėjišką kodą. Padeda tik atnaujinimas iki ištaisytos PHP versijos ir vėliau visų PHP procesų paleidimas iš naujo.

## Kas yra PHP2Shell?

PHP yra programavimo kalba, kuria veikia didelė dalis visų svetainių: įmonių svetainės su WordPress ar TYPO3, internetinės parduotuvės su Shopware ar WooCommerce, vidiniai portalai ir nuosavi sprendimai. 2026 m. spalio 21 d. PHP projektas paskelbė saugumo atnaujinimus dviem spragoms, kurios išgarsėjo pavadinimu PHP2Shell.

Abi spragos pagal CVSS v4.0 įvertintos 9,2 balo, t. y. kaip kritinės. Pasekmė abiem atvejais ta pati: kenkėjiško kodo vykdymas nuotoliniu būdu, užpuolikui neprisijungiant. Specialistai kalba apie „unauthenticated Remote Code Execution“. Kas gali vykdyti kodą serveryje, blogiausiu atveju gali skaityti duomenis, įtaisyti užpakalines duris ar naudoti serverį tolesnėms atakoms.

Svarbu suprasti: spraga glūdi ne tam tikrame CMS ar įskiepyje, o PHP. Todėl WordPress, Shopware ar TYPO3 atnaujinimas jos neuždaro.

## Kodėl spraga tokia rimta?

Trys dalykai saugumo institucijų akimis PHP2Shell daro ypač jautrią:

- **Platumas:** Paveikti įprasti PHP veikimo režimai: PHP-FPM, Apache su mod_php, php-cgi, FrankenPHP ir LiteSpeed. Palo Alto Networks (Unit 42) suskaičiavo daugiau nei 22,6 milijono viešai pasiekiamų, potencialiai pažeidžiamų egzempliorių.
- **Prisijungimo nereikia:** Užpuolikui nereikia nei slaptažodžio, nei naudotojo paskyros.
- **Ankstyvas momentas:** Esant Apache su mod_php, pasak PHP komandos, išnaudojimas parodytas dar prieš pradedant vykdyti programos kodą. Tuomet svetainės viduje esančios apsaugos funkcijos neveikia.

BSI paskelbė 3 įspėjimo lygį (oranžinis). Ji rekomenduoja nedelsiant atnaujinti, o jei to iš karto neįmanoma, paveiktus žiniatinklio serverius laikinai atjungti nuo tinklo.

## Kurie serveriai paveikti PHP2Shell?

Spragos ištaisytos PHP 8.5.12, 8.4.27, 8.3.36 ir 8.2.35 versijose. Senesnės šių šakų versijos paveiktos. PHP 8.1 ir senesnėms versijoms oficialių atnaujinimų nebėra; pasak specializuotos spaudos, paveiktos beveik visos versijos iki pat PHP 5.4. Visą apžvalgą rasite puslapyje [Kurios PHP versijos paveiktos?](https://phpsos.de/lt/php2shell/betroffene-php-versionen/).

Ypatumas: Linux distribucijos ir talpintojai taisymus kartais įdiegia kaip atgalinį perkėlimą (backport). Tada, pavyzdžiui, Plesk toliau rodo 8.2.34, nors klaida ištaisyta. Lemia paketų būsena ir teikėjo patvirtinimas. Kaip tai patikrinti, paaiškiname puslapyje [Kaip teisingai patikrinti PHP versiją ir pataisų būseną](https://phpsos.de/lt/php2shell/php-version-pruefen/).

## Kas įrodyta, kas dar neaišku?

**Įrodyti** yra abu CVE numeriai, ištaisytos versijos ir pereinamosios priemonės, kurias paskelbė php.net. Spalio 23 d. pridėta pastaba apie dar vieną spragą, CVE-2026-115560, kuri veikia tik esant neįprastai konfigūracijai.

**Tikėtina**, kad užpuolikai toliau aktyviai ieško nepataisytų serverių. Pagal žiniasklaidos pranešimus pirmas atakos bandymas buvo pastebėtas jau spalio 17 d., t. y. prieš paskelbiant pataisas. Cloudflare pranešė apie atakos bandymus ir išleido apsaugos taisykles, bet atkreipia dėmesį, kad vien taisyklių pagal užklausos duomenis nepakanka.

**Neaišku**, kiek serverių jau sėkmingai užpulta. Patvirtintų sėkmingų plataus masto atakų, BSI duomenimis, iš pradžių nebuvo žinoma. Paskelbtų, patvirtintų kompromitavimo rodiklių (Indicators of Compromise) nėra. Ar serveris buvo paveiktas, todėl galima įvertinti tik elgsenos analize. Laiko eigą apibendrina [Chronologija nuo spalio 17 iki 25 d.](https://phpsos.de/lt/ratgeber/php2shell-chronologie/).

## Ką įmonės turėtų daryti dabar

1. **Išsiaiškinti, kas atsakingas:** nuosavas serveris, valdomas (managed) serveris ar talpintojas.
2. **Atnaujinti PHP** iki ištaisytos versijos arba patvirtinto atgalinio perkėlimo.
3. **Paleisti iš naujo visus PHP procesus.** Vien naujų failų nepakanka, kol seni procesai dar veikia atmintyje.
4. **Išsaugoti žurnalus** nuo spalio 20 d. Specializuota spauda pataria šiuos duomenis saugoti.
5. **Patikrinti dėl pėdsakų.** Pataisa nepašalina jau įterptos kenkėjiškos programinės įrangos ir neįrodo, kad anksčiau nieko neįvyko. Nuorodų pateikia puslapis [Ar jau esu kompromituotas?](https://phpsos.de/lt/php2shell/bin-ich-gehackt-anzeichen/).

> **Svarbu:**
> Atnaujinimas uždaro duris, bet netvarko. Jei jūsų serveris tarp spalio 17 d. ir pataisos buvo pasiekiamas, pėdsakų patikra yra pareiga, o ne pasirinkimas.

## Kaip PHP SOS padeda konkrečiai?

Per [PHP2Shell skubią pagalbą](https://phpsos.de/lt/leistungen/php2shell-soforthilfe/) perimame žingsnius, kurių daugelis įmonių viduje trumpam laikui padengti negali:

- **Inventorizacija:** Nustatome kiekvieno paveikto serverio PHP versiją, veikimo režimą ir paketų būseną.
- **Pataisa arba pereinamoji priemonė:** Įdiegiame atnaujinimą arba, kai dar neįmanoma, taikome php.net pereinamąsias priemones ir išsiaiškiname, ar serverį reikia laikinai atjungti nuo tinklo.
- **Paleidimas iš naujo ir įrodymas:** Paleidžiame iš naujo visus PHP procesus ir dokumentuojame būklę prieš ir po.
- **Pėdsakų patikra:** Saugome žurnalus nuo spalio 20 d. ir tikriname dėl neįprastumų, kol incidentas bus užbaigtas ir dokumentuotas.


## Dažni klausimai

**Ar PHP2Shell yra WordPress spraga?**  
Ne. Spragos glūdi PHP, t. y. programavimo kalboje, kuria veikia WordPress, Shopware, TYPO3 ir daugelis kitų sistemų. Todėl CMS atnaujinimas jų neuždaro. Lemia PHP būklė serveryje.

**Ar kaip talpintojo klientas turiu ką nors daryti pats?**  
Bendrame talpinime (shared hosting) PHP atnaujinimą dažniausiai įdiegia talpintojas. Vis dėlto reikėtų paprašyti raštiško patvirtinimo, kad jūsų naudojama PHP versija pataisyta ir paleista iš naujo. Ar prieš pataisą kas nors įvyko, atnaujinimas neatsako.

**Iš kur kilo pavadinimas PHP2Shell?**  
Pavadinimas apibūdina pasekmę: per PHP užpuolikas blogiausiu atveju gali gauti komandinę eilutę, t. y. apvalkalą (shell), serveryje. Oficialūs pavadinimai yra CVE numeriai CVE-2026-109618 ir CVE-2026-109619.

**Ar mano svetainė jau buvo užpulta, jei ji buvo atjungta nuo tinklo?**  
Nebūtinai. Kai kurie teikėjai svetaines atjungė iš atsargumo, kaip rekomenduoja BSI (Vokietijos federalinė informacijos saugumo tarnyba), kai atnaujinti iš karto neįmanoma. Tai apsaugos priemonė, o ne atakos įrodymas.

## Šaltiniai

- [php.net: saugumo pranešimai](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI (Vokietijos federalinė informacijos saugumo tarnyba)](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)