Īsi sakot: Vai vietni PHP nepilnības dēļ atslēgt, ir atkarīgs no viena jautājuma: vai PHP šajā serverī pierādāmi darbojas ar labotu versiju un vai visi procesi ir pārstartēti? Ja jā, atslēgšana nav vajadzīga. Ja atjauninājumu nevar uzstādīt uzreiz, BSI (Vācijas Federālais informācijas drošības birojs) iesaka tīmekļa serveri īslaicīgi atslēgt no tīkla. Gaidīšana ir pieļaujama tikai tad, ja sistēma neizmanto PHP, nav publiski sasniedzama vai pakalpojumu sniedzējs ielāpu ir apstiprinājis rakstveidā.
Situācija, kurā jums jālemj
PHP2Shell ietver divas pašā PHP esošas nepilnības, CVE-2026-109618 un CVE-2026-109619, abas ar CVSS v4.0 novērtējumu 9,2. Tās ļauj attālināti izpildīt ļaunprātīgu kodu bez pieteikšanās. Labotas versijas ir pieejamas kopš 2026. gada 21. oktobra: 8.5.12, 8.4.27, 8.3.36 un 8.2.35. PHP 8.1 un vecākām versijām oficiālu atjauninājumu vairs nav.
BSI ir izsludinājis oranžo brīdinājuma līmeni un iesaka nekavējoties atjaunināt, aizstājot ar īslaicīgu atslēgšanu. Saskaņā ar plašsaziņas līdzekļu ziņām Maincas (Mainz) pilsēta, Hesenes zemes valdības struktūras un citas publiskas iestādes ir piesardzības nolūkā atslēgušas vietnes no tīkla; Hesenes Valsts kanceleja ziņoja par to, ka uzbrukuma nebija. Ko uzņēmumi no tā var secināt, lasiet sadaļā Iestādes atslēdz vietnes no tīkla.
Uzņēmumu atbildīgajiem jautājums ir praktiskāks: ko mēs šodien darām ar savu veikalu, savu portālu, savu uzņēmuma vietni?
Atslēgt vietni, ielāpot vai gaidīt: trīs varianti salīdzinājumā
Turpmākā tabula izliek variantus blakus. Tā neaizstāj jūsu konkrētā gadījuma novērtējumu, bet padara svēršanu redzamu.
| Kritērijs | Ielāpot nekavējoties | Īslaicīgi atslēgt | Gaidīt |
|---|---|---|---|
| Aizsardzība pret PHP2Shell | Augsta, ja ielāps un pārstartēšana ir pierādīti | Augsta atslēgšanas laikā | Nekāda, kamēr nav ielāpots |
| Darbības pārtraukums | Īss, atjauninājumam un pārstartēšanai | Stundas līdz dienas | Nav |
| Priekšnosacījums | Atbalstīta PHP versija, piekļuve, apkopes logs | Vadības lēmums, statiska aizstājējlapa | Pierādīts iemesls, kāpēc riska nav |
| Pūles | Zemas līdz vidējas | Tehniski zemas, organizatoriski augstas | Zemas, bet pārbaudes darbs pierādījumam |
| Tipisks gadījums | Serveris ar PHP 8.2 līdz 8.5 | Vecā sistēma ar PHP 8.1 vai vecāku, neskaidrs stāvoklis | Sistēma bez PHP vai sasniedzama tikai iekšēji |
| Atlikušais risks | Iepriekšēja ielaušanās joprojām iespējama | Iepriekšēja ielaušanās joprojām iespējama | Pilnā apmērā |
Viena rinda pelna uzmanību: ne ielāps, ne atslēgšana neizskaidro, vai kaut kas nav noticis jau iepriekš. Saskaņā ar plašsaziņas līdzekļu ziņām pirmais novērotais uzbrukuma mēģinājums bija 2026. gada 17. oktobrī, tātad pirms ielāpa. Skatiens uz iespējamām pēdām tāpēc pieder pie katra varianta.
Piecos jautājumos līdz lēmumam
Izejiet cauri jautājumiem pēc kārtas. Pirmā skaidrā atbilde parasti noved pie lēmuma.
- Vai sistēmā vispār darbojas PHP un vai tā ir sasniedzama no interneta? Ja nē, sistēmu PHP2Shell tieši neskar. Dokumentējiet, kā to konstatējāt.
- Vai ielāpa stāvoklis ir pierādīts? Pierādīts nozīmē: laboto versiju vai atpakaļportējumu (backport) ar CVE numuriem pakotnes izmaiņu žurnālā un visu PHP procesu pārstartēšanu. Ar versijas rādījumu panelī nepietiek. Kā to pārbaudīt, lasiet sadaļā PHP versijas un ielāpa stāvokļa pareiza pārbaude.
- Vai atjauninājumu var uzstādīt nākamo stundu laikā? Ja jā: ielāpot, pārstartēt, pārbaudīt. Līdz tam var palīdzēt pagaidu pasākumi.
- Vai tas nav iespējams, piemēram, PHP 8.1 vai trūkstošas piekļuves dēļ? Tad saskaņā ar BSI īslaicīga atslēgšana ir ceļš. Pagaidu pasākumi pēc php.net samazina risku, bet pilnībā neaizsargā; detaļas ir sadaļā Tūlītēji pasākumi, ja vēl nevarat ielāpot.
- Vai ir kompromitācijas pazīmes? Tad jautājums vairs nav „ielāpot vai atslēgt”, bet „apstrādāt incidentu”. Atslēgt, nodrošināt pierādījumus, nedzēst pārsteidzīgi.
Ja atslēdzat: atslēdziet pareizi
Atslēgšanai jānoņem uzbrukuma virsma, nevis tikai jāpaslēpj sākumlapa. Apkopes lapa, kas joprojām tiek ģenerēta ar PHP, šo mērķi nepilda. Labāka ir statiska HTML lapa, ko tīmekļa serveris piegādā bez PHP, vai pāradresācija uz citu serveri.
Padomājiet par visu, kas ir saistīts ar to pašu PHP: apakšlapas, saskarnes lietotnēm vai preču uzskaitei, administrēšanas apgabali, maksājumu atzvani. Ja skarts veikals, iepriekš sarunājiet ar maksājumu pakalpojumu sniedzēju un loģistiku. Un informējiet darbiniekus un klientus skaidrā valodā: lapa piesardzības nolūkā ir bezsaistē, kontakts notiek pa tālruni un e-pastu. Tas ir labāk nekā klusēšana, kas baro spekulācijas.
Svarīgas ir arī atslēgšanas beigas. Nosakiet, ar kādu nosacījumu lapa atkal ies tiešsaistē, piemēram, „PHP labotā stāvoklī, pārstartēšana pārbaudīta, pirmā pēdu pārbaude bez konstatējumiem”. Tā avārijas bremze kļūst par sakārtotu norisi.
Atslēgšana nav sakāve. Vairākas publiskas struktūras saskaņā ar plašsaziņas līdzekļu ziņām to ir izdarījušas tieši tā, bez uzbrukuma. Piesardzības atslēgšana automātiski nenozīmē, ka vietne ir uzlauzta.
Kad pakalpojumu sniedzējs nav vajadzīgs
Ne katram lēmumam vajadzīga ārēja palīdzība. Ja jūsu vietne atrodas pie hostinga pakalpojumu sniedzēja, kas ielāpa stāvokli un pārstartēšanu apstiprina rakstveidā, un nav nekādu nepilnību, ar īsu dokumentāciju esat labi nostādīts. Tas pats attiecas, ja jūsu pašu IT serveri ar atbalstītu PHP versiju spēj ielāpot pats un pārzina kontroli.
Palīdzība atmaksājas, ja darbojas sistēmas ar veco PHP versiju, stāvoklis ir neskaidrs, skarti vairāki serveri vai ir ielaušanās pazīmes.
Kā PHP SOS palīdz konkrēti?
- Mēs ar jums īsā laikā noskaidrojam, kuras sistēmas ir skartas un kāds ielāpa stāvoklis ir pierādīts.
- Mēs sniedzam vadībai lēmuma pamatu uz vienas lapas: varianti, riski, ieteicamais ceļš.
- Mēs īstenojam izvēlēto ceļu, tātad ielāpu ar pārstartēšanu, pagaidu pasākumus vai tīru atslēgšanu ar statisku aizstājējlapu, kā daļu no mūsu PHP2Shell tūlītējās palīdzības.
- Mēs pārbaudām pēdas kopš 2026. gada 17. oktobra un dokumentējam rezultātu.
Secinājums
Ielāpošana ir normālais gadījums, atslēgšana ir pareizā avārijas bremze, gaidīšana pieļaujama tikai ar pierādījumu. Kas piecus jautājumus atbild godīgi un lēmumu fiksē rakstveidā, rīkojas saskaņā ar BSI ieteikumu un vēlāk var parādīt, kāpēc.
Biežāk uzdotie jautājumi
Vai man PHP2Shell dēļ jāatslēdz sava vietne?
Nē, ja PHP jau darbojas ar labotu versiju un visi procesi ir pārstartēti. BSI iesaka īslaicīgu atslēgšanu gadījumam, ja tūlītējs atjauninājums nav iespējams.
Kas atslēgšanā izmaksā vairāk: apgrozījums vai risks?
Uz to var atbildēt tikai konkrētā gadījumā. Dīkstāve stundām parasti ir labāk plānojama nekā ielaušanās, kuras sekas un ilgumu nezina neviens. Svēršanu fiksējiet rakstveidā neatkarīgi no tā, kā tā beidzas.
Vai apkopes lapa drīkst darboties tajā pašā serverī?
Jā, ja tā tiek piegādāta kā statisks fails bez PHP. Ja apkopes lapa joprojām tiek ģenerēta ar PHP, uzbrukuma virsma saglabājas.
Vai gaidīšana kādreiz ir pareizā izvēle?
Jā, skaidri norobežotos gadījumos: ja sistēmā PHP nedarbojas, ja tā nav sasniedzama no interneta vai ja pakalpojumu sniedzējs ielāpu un pārstartēšanu ir apstiprinājis rakstveidā. Gaidīšana bez šādiem pierādījumiem nav variants, bet risks.
Kam būtu jāpieņem lēmums?
Personai, kas atbild par uzņēmējdarbības risku, parasti vadībai vai īpašniekam. IT sniedz faktus. Kurš lemj, būtu jānorāda iepriekš ārkārtas rīcības plānā.