Īsi sakot: Nedēļu pēc pirmā novērotā uzbrukuma mēģinājuma PHP2Shell aktuāli galvenokārt ir īstenošanas jautājums: ielāpi PHP 8.2 līdz 8.5 ir pieejami kopš 21. oktobra, lielie distributīvi ir sekojuši, BSI (Vācijas Federālais informācijas drošības birojs) brīdina ar oranžo līmeni. Uzbrukuma mēģinājumi tika novēroti, apstiprinātus veiksmīgus uzbrukumus plašā mērogā BSI sākotnēji nepaziņoja. Atklāti paliek vecās versijas, nepārstartēti serveri un jautājums, kas notika pirms ielāpa.
Situācija trīs teikumos
PHP2Shell ir divas kritiskas ievainojamības pašā PHP interpretatorā, CVE-2026-109618 un CVE-2026-109619, katra novērtēta ar CVSS v4.0 9.2. Tās ļauj izpildīt kodu no attāluma bez pieteikšanās, tātad gadījumu, no kura drošības speciālisti baidās visvairāk. Skarti ir PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed; augstāko risku PHP komanda saskata mod_php gadījumā.
Šis pārskats sakārto stāvokli 2026. gada 25. oktobrī pa dalībniekiem. Norisi dienu pa dienai atradīsiet PHP2Shell hronoloģijā, šeit runa ir par kopainu.
Kas pēc nedēļas ir pierādīts
Droši ir PHP projekta dati: 21. oktobra laidieni 8.5.12, 8.4.27, 8.3.36 un 8.2.35 aizver abas ievainojamības. PHP 7.4, 8.0 un 8.1 ir tikai minimāli pirmkoda backport labojumi, nav oficiālu laidienu. php.net uzsver, ka pilnīgu pagaidu pasākumu nav un atjauninājums ir vienīgais drošais ceļš.
- oktobrī pievienojās norāde par CVE-2026-115560. Tā skar tikai neparastu sesiju konfigurāciju; kā pagaidu risinājumu php.net min
session.upload_progress.enabled=0līdz nākamajam regulārajam kļūdu labošanas laidienam.
Arī lielie distributīvi ir ieņēmuši nostāju. Mēs pārbaudījām oficiālos ziņojumus:
| Piegādātājs | Stāvoklis saskaņā ar oficiālo ziņojumu |
|---|---|
| Ubuntu | USN-8948-1 versijām 22.04, 24.04, 26.04 un 26.10; USN-8948-2 versijām no 14.04 līdz 20.04 caur Ubuntu Pro |
| Debian | Laboti pakotņu laidieni bookworm (php8.2, DLA-4848-1) un trixie (php8.4, DSA-6574-1) |
| Red Hat | Biļetens RHSB-2026-013 RHEL 7 līdz 10; daži atjauninājumi pieejami, citi tiek izstrādāti |
Red Hat CVE-2026-109618 ar savu vērtējumu klasificē kā “Important” un pamato to ar augstāku uzbrukuma sarežģītību. Tā ir cita vērtēšanas metode nekā PHP projektam un nav iemesls atjauninājumu atlikt.
Kā iestādes vērtē situāciju
BSI ir izsludinājis brīdinājuma līmeni 3 / oranžs. Tas iesaka nekavējoties atjaunināt un, ja tas uzreiz nav iespējams, skartos tīmekļa serverus uz laiku atvienot no tīkla. BSI rēķinājās ar ātru, plašu izmantošanu. Ko vērtējums nozīmē, izskaidro lapa Ko BSI iesaka par PHP2Shell.
Saskaņā ar ziņojumiem CERT-EU uzskata par iespējamu, ka skartas ir versijas sākot ar PHP 5, un iesaka izolēt publiski sasniedzamas lietojumprogrammas, ja tās nevar ielāpot laikus. Arī CERT-Bund (Vācijas valdības CERT) un drošības uzņēmums Huntress ir brīdinājuši.
Ieteikums vajadzības gadījumā atslēgt tika redzami īstenots. Saskaņā ar mediju ziņojumiem Maincas pilsēta savu centrālo tīmekļa portālu piesardzības nolūkā atvienoja no tīkla; iestādes palika sasniedzamas pa tālruni un e-pastu. Hesenē saskaņā ar hessenschau uz laiku bezsaistē bija zemes valdības, BKA (Vācijas Federālā kriminālpolicijas biroja) un Kāseles un Vīsbādenes pilsētu vietnes. Valsts kanceleja neziņoja par uzbrukumu, vietnes vakarā atkal bija pieejamas. Citas pašvaldības, augstskolas un klīnikas saskaņā ar ziņojumiem rīkojās līdzīgi.
Kas zināms par uzbrukumiem
Šeit īpaši svarīgs ir nošķīrums starp novērojumu un apstiprinājumu.
- Novērots: Saskaņā ar mediju ziņojumiem 17. oktobrī bija pirmais uzbrukuma mēģinājums, ko novēroja Amazon. Cloudflare un Patchstack ziņoja par uzbrukuma mēģinājumiem; Cloudflare turklāt redzēja mainītus uzbrukuma paraugus.
- Atveidots: watchTowr saskaņā ar ziņojumiem pēc paša teiktā ir atveidojis CVE-2026-109618.
- Nav apstiprināts: BSI sākotnēji nepaziņoja apstiprinātu veiksmīgu izmantošanu plašā mērogā. Huntress sava ziņojuma laikā partneru vidēs uzbrukumus neredzēja.
- Nezināms: Publicētu, apstiprinātu kompromitācijas indikatoru (Indicators of Compromise) nav. Kas vēlas pārbaudīt, vai serveris ir skarts, tam jāpievērš uzmanība uzvedības paraugiem.
Par apjomu cirkulē divi skaitļi. Palo Alto Networks Unit 42 pētnieki nonāca pie vairāk nekā 22,6 miljoniem potenciāli ievainojamu instanču, kas ir sasniedzamas no tīkla. CybelAngel min aptuveni 2,24 miljonus sasniedzamu PHP hostu, no tiem saskaņā ar paša izvērtējumu 59 procenti versijās bez nākamā oficiālā labojuma. Abi mēra atšķirīgas lietas un nav tieši salīdzināmi. Vērtējumu sniedz raksts Pareizi izvērtēt skaitļus.
Kas paliek atklāts
Nākamās nedēļas nosaka trīs jautājumi:
- Vecās versijas: Liela daļa sasniedzamo PHP instalāciju saskaņā ar minētajiem izvērtējumiem darbojas atzaros bez oficiāla labojuma. Vai komerciāli ilgtermiņa piedāvājumi aptver PHP2Shell, katrreiz jāapstiprina rakstiski pie piegādātāja.
- Nepilnīgi atjauninājumi: Jaunas pakotnes darbojas tikai tad, kad visi PHP procesi ir pārstartēti. Red Hat tieši norāda, ka ar vienkāršu pārlādi nepietiek.
- Laiks pirms ielāpa: Starp 17. un 21. oktobri serveri bija ievainojami, kamēr jau norisinājās uzbrukuma mēģinājumi. Ielāps nepierāda, ka šajā laikā nekas nav noticis.
Saglabājiet tīmekļa servera un PHP žurnālus no 20. oktobra, kā iesaka speciālā prese. Bez žurnāliem svarīgāko atklāto jautājumu par jūsu serveri vēlāk vairs nevar atbildēt.
Ko operatoriem tagad pārbaudīt
Paša situācijas vērtējumam pietiek ar četriem pārbaudes punktiem katram serverim: Vai PHP ir labotā stāvoklī vai apstiprinātā backport? Vai visi procesi darbojas kopš atjauninājuma? Vai session.upload_progress.enabled ir izslēgts servera pusē, kamēr advisory par CVE-2026-115560 vēl nav publicēts? Vai kopš 17. oktobra ir novirzes?
Pēdējam punktam palīdz lapa Vai esmu jau kompromitēts?. Tīmekļa servera process, kas startē shell, jauni PHP faili augšupielādes mapēs, nezināmi cronjobs vai SSH atslēgas ir brīdinājuma signāli, kas attaisno rūpīgāku izmeklēšanu.
Kā PHP SOS palīdz konkrēti?
- Mēs vērtējam katra servera ielāpa stāvokli pēc pakotņu stāvokļa, changelog un procesu startēšanas laikiem.
- Kur ielāpa nav, mēs ieviešam php.net pagaidu pasākumus un noskaidrojam ceļu uz atbalstītu versiju.
- Mēs saglabājam žurnālus no 20. oktobra un meklējam pēdas no laika pirms ielāpa.
- Ar PHP2Shell tūlītējo palīdzību mēs šos soļus apvienojam uzņēmumiem, kam ātri vajadzīga skaidrība.
Biežāk uzdotie jautājumi
Vai PHP2Shell jau tiek aktīvi izmantota?
Cloudflare un Patchstack ziņoja par uzbrukuma mēģinājumiem. Apstiprinātus veiksmīgus uzbrukumus plašā mērogā BSI sākotnēji nepaziņoja. Huntress sava ziņojuma laikā partneru vidēs uzbrukumus neredzēja.
Vai pēc ielāpiem briesmas ir garām?
Nē. Ielāpi aizsargā tikai serverus, kas tos ir instalējuši un pārstartējuši visus PHP procesus. Sistēmas ar PHP 8.1 un vecāku bez apstiprināta backport paliek ievainojamas, un ielāps nenoņem iepriekš ievadītu ļaunprātīgu programmatūru.
Kāpēc iestāžu vietnes bija bezsaistē?
Saskaņā ar mediju ziņojumiem cita starpā Maincas pilsēta un vairākas Hesenes iestādes savas vietnes atslēdza piesardzības nolūkā. Tas atbilst BSI (Vācijas Federālais informācijas drošības birojs) ieteikumam serveriem, kurus nevar atjaunināt nekavējoties. Atslēgšana nenozīmē, ka uzbrukums ir noticis.
Vai ir PHP2Shell uzbrukuma atpazīšanas pazīmes?
Publicētu, apstiprinātu kompromitācijas indikatoru (Indicators of Compromise) līdz šim nav. Atpazīšana balstās uz uzvedības analīzi, piemēram, PHP procesiem, kas startē shell, vai jauniem PHP failiem augšupielādes mapēs.