Īsi sakot: Cik serveru PHP2Shell skar, var tikai novērtēt. Unit 42 saskaņā ar TechTarget saskaitīja vairāk nekā 22,6 miljonus eksponētu instanču, CybelAngel min aptuveni 2,24 miljonus PHP hostu, BleepingComputer, atsaucoties uz VirusTotal, ziņo par vairāk nekā 5,1 miljoniem. Skaitļi mēra atšķirīgas lietas un tāpēc viens otram nepretrunā. Jūsu uzņēmumam svarīgs ir cits skaitlis: cik jūsu pašu PHP sistēmu ir sasniedzamas un cik no tām ir pierādāmi ielāpotas.
Sākumpunkts: viens skaitlis rada virsrakstus
“22 miljoni serveru briesmās” 2026. gada 21. oktobrī bija daudzos virsrakstos. Skaitlis nāk no Unit 42, Palo Alto Networks pētniecības nodaļas, un par to cita starpā ziņoja TechTarget. Drīz pēc tam cirkulēja citi skaitļi, daļēji desmit reižu mazāki.
Lasītājiem rodas iespaids, ka neviens neko precīzi nezina. Patiesībā piegādātāji vienkārši skaita dažādas lietas ar dažādām metodēm. Kas to saprot, var skaitļus izmantot, nevis ļaut tiem sevi samulsināt.
Cik serveru PHP2Shell skar? Skaitļu pārskats
| Avots | Skaitlis | Kas tika skaitīts |
|---|---|---|
| Unit 42 (Palo Alto Networks), saskaņā ar TechTarget | vairāk nekā 22,6 milj. | eksponētas, potenciāli ievainojamas instances; metode ziņojumā nav izskaidrota |
| VirusTotal, saskaņā ar BleepingComputer | vairāk nekā 5,1 milj. | no interneta sasniedzami PHP hosti |
| CybelAngel, pamatojoties uz Shodan datiem | aptuveni 2,24 milj. | hosti, kas savos identifikatoros uzrāda PHP |
| CybelAngel | 59 % no aptuveni 1,5 milj. | hostu īpatsvars ar redzamu versiju atzaros bez oficiāla atjauninājuma |
| CybelAngel | aptuveni 740 000 | hosti, kas uzrāda PHP, bet slēpj savu versiju |
Visi skaitļi attiecas uz situāciju ap 20. un 21. oktobri. Tie ir momentuzņēmumi un mainās ar katru ieviesto atjauninājumu.
Kāpēc skaitījumi tik ļoti atšķiras
Lielāko daļu atšķirību izskaidro trīs efekti.
Instance, hosts, vietne. Hosts parasti ir IP adrese vai serveris. Instance var būt atsevišķs pakalpojums vai atsevišķa vietne. Serverī koplietošanas hostingā bieži darbojas simtiem vietņu. CybelAngel pats norāda: tiek skaitīti hosti, nevis organizācijas vai vietnes, un faktiskais sasniedzamo lietojumprogrammu skaits, iespējams, ir lielāks.
Slēptās versijas. Daudzi serveri savu PHP versiju neatklāj, piemēram, tāpēc, ka expose_php ir izslēgts. Tie trūkst uz versijām balstītā statistikā. Kāpēc slēpšana ir saprātīga, bet aizsardzību neaizstāj, izskaidro raksts par versiju norādēm un expose_php.
Backport labojumi. Distributīvi un hostinga sniedzēji labojumus dažkārt ievieš, nemainot versijas numuru. Serveris, kas uz āru rāda vecu numuru, tātad var būt ielāpots. Skaitījumi pēc rādītās versijas tāpēc pārvērtē neielāpoto sistēmu skaitu. Kā pie sevis pārbaudīt īsto stāvokli, lasāms sadaļā PHP versijas un ielāpa stāvokļa pārbaude.
Kā šādi skaitījumi rodas
Lielākā daļa skaitļu balstās uz meklēšanas pakalpojumiem, kas internetu nepārtraukti aptaujā un saglabā to, ko serveri paši par sevi paziņo. Tīmekļa serveris savās atbildēs bieži min programmatūru un versiju, piemēram, galvenē X-Powered-By. CybelAngel pēc paša apraksta balstās uz šādiem identifikatoriem no Shodan datiem. Pie tam nekas netiek uzbrukts, tiek tikai nolasīts tas, kas tāpat ir publiski redzams.
No tā izriet vienkāršs lasīšanas noteikums katram jaunam skaitlim medijos. Jautājiet: ko skaitīja, hostus, instances vai vietnes? Kad mērīja, pirms vai pēc 21. oktobra? Un kā noteica versiju, pēc rādītā numura vai ar īstu testu? Kas uz šiem trim jautājumiem nevar atbildēt, tam skaitlis jāuztver kā aptuvens apjoms, nevis mērījums.
“Eksponēts” nozīmē sasniedzams un pēc ārējām pazīmēm, iespējams, ievainojams. Tas nenozīmē uzbrukts un nenozīmē kompromitēts. BSI sākotnēji nezināja apstiprinātus veiksmīgus uzbrukumus plašā mērogā.
Ko skaitļi tomēr uzticami parāda
Kaut arī apjoms svārstās, skaitījumi dod trīs noturīgus apgalvojumus:
- Uzbrukuma virsma ir milzīga. Pat mazākais skaitlis nozīmē miljoniem sasniedzamu mērķu. Uzbrucējiem nav jāmeklē, viņi var pārbaudīt automatizēti.
- Vecas versijas ir plaši izplatītas. Saskaņā ar CybelAngel 59 procenti hostu ar redzamu versiju darbojās atzaros, kuriem PHP projekts oficiālu atjauninājumu nepublicē. Šīm sistēmām nepalīdz ātrs ielāps, bet tikai backport, trešās puses risinājums vai migrācija. Riskus apraksta ceļvedis PHP End of Life.
- Problēma saglabāsies ilgāk. Liela daļa sasniedzamo sistēmu netiek atjaunināta dienu laikā. Skenēšana un uzbrukuma mēģinājumi tāpēc, domājams, vēl ilgi turpināsies.
Noskaidrot savu skaitli
Pasaules skaitlis ir virsraksts. Jūsu pašu skaitlis ir uzdevums. Lūk, kā līdz tam nokļūt:
- Savākt domēnus un apakšdomēnus: no DNS zonām, sertifikātiem, līgumiem ar aģentūrām un hostinga sniedzējiem.
- Piesaistīt sasniedzamos pakalpojumus: Kurš serveris atrodas aiz kuras adreses, kas to uztur?
- Noskaidrot PHP stāvokli katrai sistēmai: versija, darbības režīms, pakotņu avots, backport apstiprinājums.
- Novērtēt rezultātu: ielāpots un pierādīts, ielāpots bez pierādījuma, neielāpots, nezināms.
- Aizvērt robus: nezināmo noskaidrot vispirms, neielāpotajam rīkoties vispirms.
Beigās ir īss saraksts, nevis liels skaitlis. Kā inventāru uzturēt pastāvīgi, apraksta raksts Visu vietņu un serveru inventārs.
Kā PHP SOS palīdz konkrēti?
- Ārējais skats: Mēs noskaidrojam, kuras jūsu sistēmas ir sasniedzamas no interneta un kuras no tām izmanto PHP.
- Iekšējais skats: Mēs pārbaudām ielāpa stāvokli un pārstartēšanu serveros, ne tikai rādīto versiju.
- Vērtējums: Jūs saņemat sarakstu ar statusu katrai sistēmai un skaidru secību.
- Pārbaude: Pēc pieprasījuma pēc ielāpa no ārpuses pārbaudām, vai situācija ir uzlabojusies, kā gaidīts.
Kā šāda pārbaude norit, apraksta drošības audits un penetrācijas tests.
Secinājums
22,6 miljoni, 5,1 miljoni, 2,24 miljoni: skaitļi šķiet pretrunīgi, bet mēra tikai dažādas lietas. Kopā tie rāda, ka PHP2Shell skar ļoti lielu uzbrukuma virsmu un tīklā atrodas daudz vecu versiju. Skaitli, kas nosaka jūsu risku, nepiegādā neviens pētījums. Tas rodas tikai, paskatoties uz savām sistēmām.
Biežāk uzdotie jautājumi
Cik serveru PHP2Shell skar?
Precīzi nezina neviens. Palo Alto Networks Unit 42 saskaņā ar TechTarget saskaitīja vairāk nekā 22,6 miljonus eksponētu, potenciāli ievainojamu instanču. CybelAngel min aptuveni 2,24 miljonus no interneta sasniedzamu hostu, kas uzrāda PHP. Skaitļi mēra atšķirīgas lietas un nav tieši salīdzināmi.
Kāpēc skaitļi tik ļoti atšķiras?
Jo tiek skaitītas dažādas lietas: instances, hosti, IP adreses vai pakalpojumi. Vienā koplietošanas hostinga hostā var atrasties simtiem vietņu. Turklāt daudzi serveri nerāda savu PHP versiju, citi rāda vecu numuru, kaut gan backport labojums ir ieviests.
Vai eksponēts nozīmē, ka serveris ir ticis uzbrukts?
Nē. Eksponēts nozīmē tikai to, ka PHP pakalpojums ir sasniedzams no interneta un pēc ārējām pazīmēm varētu būt ievainojams. Par faktiskiem uzbrukumiem šie skaitījumi neko neizsaka.
Kurš skaitlis ir svarīgs manam uzņēmumam?
Jūsu pašu publiski sasniedzamo PHP sistēmu skaits un tas, cik no tām ir pierādāmi ielāpotas. Pasaules skaitļi parāda mērogu, bet neaizstāj paša inventāru.