Īsi sakot: PHP darbojas ne tikai tīmekļa serveros, bet arī NAS sistēmu, ugunsmūru un speciālo ierīču tīmekļa saskarnēs vai tīmekļa servera pakotnēs, ko esat instalējuši NAS. Vai ierīce ir skarta ar PHP2Shell, var pateikt tikai ražotājs; atjauninājums nāk ar programmaparatūru. Jūsu uzdevums ir šīs ierīces atrast, to tīmekļa saskarnes izņemt no interneta un sekot ražotāja paziņojumiem.
Kāpēc ierīces ar tīmekļa saskarni pieder pie PHP jautājuma
Kad runā par PHP2Shell, lielākā daļa domā par uzņēmuma vietni vai tiešsaistes veikalu. Taču PHP ir arī ierīcēs, ko neviens neuzskata par tīmekļa serveri. Tās atrodas serveru telpā vai birojā, tām ir tīmekļa saskarne pārvaldībai, un tās bieži darbojas gadiem bez uzmanības.
Ievainojamības CVE-2026-109618 un CVE-2026-109619 saskaņā ar php.net skar pašu PHP darbības režīmos PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed. Ja ierīces tīmekļa saskarne izmanto vienu no šiem režīmiem ar ievainojamu versiju, risks tur ir tāds pats. Atšķirība: PHP ierīcē parasti pats atjaunināt nevarat.
Ka šādas sistēmas tiek aizmirstas, ir konkrēti iemesli. Bieži tās ir iestatījis pakalpojumu sniedzējs, kas jau sen vairs neapkalpo. Programmaparatūras atjauninājumi nenotiek automātiski, bet prasa klikšķi, ko neviens neveic. Un dažām ierīcēm ir ērtas attālinātās piekļuves funkcijas, kas tīmekļa saskarni dara sasniedzamu no interneta bez IT nodaļas ziņas. PHP ievainojamības, piemēram, PHP2Shell, gadījumā no šīs ērtības kļūst risks.
PHP ievainojamība NAS un iekārtās: kuras sistēmas ir jāņem vērā
Mēs minam ierīču veidus, nevis apgalvojumus par atsevišķiem modeļiem. Vai konkrēta programmaparatūra ir skarta, ir norādīts vienīgi ražotāja paziņojumos.
| Ierīces veids | Kā PHP nonāk spēlē | Kas atjaunina |
|---|---|---|
| NAS ar tīmekļa servera pakotni | Jūs darbinat savas PHP vietnes vai lietotnes NAS | Ražotājs piegādā PHP pakotni, jūs to ieviešat |
| Ugunsmūru un maršrutētāju distributīvi | Pārvaldības saskarnes daļas ir rakstītas PHP | Ražotājs ar programmaparatūru |
| Speciālās ierīces ar tīmekļa saskarni | piem., telefonu centrāles, darba laika uzskaite, ēku tehnika, ja ražotājs izmanto PHP | Ražotājs vai specializētais tirgotājs |
| Virtuālās iekārtas (appliance) | iepriekš konfigurētas VM ar savu tīmekļa saskarni | Ražotājs ar atjauninājuma attēlu |
| Konteineri NAS | PHP lietojumprogrammas Docker konteineros | Jūs, ar jaunu attēlu |
Divi apliecināti piemēri: Synology Web Station ļauj darbināt PHP vietnes ar izvēlamiem PHP profiliem un ir paziņojis par PHP 7.3, 7.4 un 8.0 atbalsta beigām DSM 7.3. Netgate drošības paziņojumi par pfSense apraksta tīmekļa saskarnes PHP failus un PHP kļūdu ziņojumus. Tas rāda tikai to, ka PHP tur sastopams, nevis to, ka šie produkti ir skarti ar PHP2Shell.
Inventārs: kā atrast aizmirstās sistēmas
Svarīgākais solis ir saraksts. Daudzi uzņēmumi precīzi zina, kādas vietnes tie darbina, bet ne to, kurām ierīcēm ir tīmekļa saskarne. Kā izskatās pastāvīgs inventārs, apraksta raksts Visu vietņu un serveru inventārs.
- Apzināt tīklu: apkopot ierīces no DHCP saraksta, slēdža vai ugunsmūra pārskata.
- Atzīmēt tīmekļa saskarnes: katrai ierīcei pierakstīt, vai tā tiek pārvaldīta caur HTTP vai HTTPS.
- Pārbaudīt atļaujas: uzskaitīt maršrutētājā portu pāradresācijas un attālinātās piekļuves pakalpojumus. Katra tīmekļa saskarne, kas ir sasniedzama no interneta, tiek izvirzīta augšā.
- Piesaistīt ražotāju: nofiksēt modeli, programmaparatūras stāvokli un saiti uz ražotāja drošības paziņojumiem.
- Apzināt pašu pakalpojumus: NAS sistēmās instalētās tīmekļa servera pakotnes un konteinerus uzskaitīt atsevišķi.
Pirmo norādi var iegūt ar nekaitīgu galvenes rindu pieprasījumu. Komanda tikai atver sākumlapu un neko nemaina:
# Parādīt tīmekļa saskarnes servera galvenes rindas (adrese kā piemērs)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Ja tur ir PHP norāde, tā ir atbalsta punkts. Ja tās nav, tas neko nepierāda, jo daudzas ierīces šādas ziņas apzināti nomāc.
Ko varat darīt, ja pats ielāpot nevarat
Ierīcēm ielāps ir ražotāja pusē. Sasniedzamība ir jūsu pusē, un tieši tur ir lielākais svira. BSI (Vācijas Federālais informācijas drošības birojs) PHP2Shell gadījumā iesaka tīmekļa serverus bez atjauninājuma uz laiku atvienot no tīkla; ierīču pārvaldības saskarnēm tas pēc jēgas attiecas jo vairāk.
- Izņemt no interneta: noņemt portu pāradresācijas uz tīmekļa saskarnēm un attālināto piekļuvi atļaut tikai caur VPN.
- Nodalīt pārvaldības tīklu: tīmekļa saskarnes padarīt sasniedzamas tikai no atsevišķa tīkla apgabala administratoriem. Fonu skatiet rakstā Administrēšanas sadaļu pasargāšana.
- Izslēgt neizmantoto: deaktivizēt tīmekļa servera pakotnes vai lietotnes NAS, ko neviens vairs neizmanto.
- Sekot programmaparatūras paziņojumiem: aktivizēt atjauninājumu paziņojumus un atjauninājumus ieviest savlaicīgi, tiklīdz ražotājs tos atbrīvo.
- Aizstāt vecās ierīces: ierīces bez ražotāja atbalsta vairs nedarbināt sasniedzamas no interneta un plānot to nomaiņu.
Ja NAS darbinat savas PHP vietnes, šīm vietnēm ir spēkā tas pats, kas katram tīmekļa serverim: pārbaudīt versiju, atjaunināt pakotni, pārstartēt pakalpojumu. Ievainojamības pamatus izskaidro Kas ir PHP2Shell?.
Ja ierīce bija atvērta tīklā
Ja tīmekļa saskarne laikā no 17. līdz 21. oktobrim bija sasniedzama no interneta un ierīce ir skarta, to nepietiek tikai atjaunināt. Pārbaudiet, vai nav mainīti konti, koplietojumi vai pāradresācijas, saglabājiet pieejamos protokolus un nomainiet piekļuves datus. Ierīce, kas tīklā bijusi kopā ar uzbrucēju, var kalpot kā atspēriena punkts uz citām sistēmām.
Ugunsmūriem un maršrutētājiem tas ir īpaši delikāti, jo tie redz visu datu plūsmu. Šaubu gadījumā atiestatīšana uz rūpnīcas iestatījumiem ar tīru jaunkonfigurāciju ir uzticamāka nekā atsevišķu pēdu meklēšana; iepriekš jābūt saglabātiem protokoliem un konfigurācijai.
NAS gadījumā klāt nāk jautājums par datiem. Tur bieži atrodas līgumi, personāla dokumenti vai klientu dati. Ja uzbrucējs varēja piekļūt ierīcei, jānoskaidro, vai var būt skarti personas dati; tad var pastāvēt ziņošanas pienākums saskaņā ar VDAR. Saskaņojiet to savlaicīgi ar savu datu aizsardzības speciālistu; šī nav juridiskā konsultācija.
Kā PHP SOS palīdz konkrēti?
- Uzņemt sarakstu: Mēs kopā ar jums apzinām visas sistēmas ar tīmekļa saskarni, arī NAS, iekārtas un virtuālās mašīnas.
- Pārbaudīt sasniedzamību: Mēs no ārpuses pārbaudām, kuras saskarnes ir sasniedzamas no interneta, un piedāvājam aizsegšanu. Dziļāku pārbaudi piedāvā drošības audits ar penetrācijas testu.
- Sekot ražotāju situācijai: Mēs ražotāju drošības paziņojumus piesaistām jūsu ierīcēm un plānojam atjauninājumus.
- Noskaidrot aizdomas: Ja skarta ierīce bijusi atvērta tīklā, mēs saglabājam protokolus un pārbaudām, vai nav pēdu.
Biežāk uzdotie jautājumi
Vai mans NAS ir skarts ar PHP2Shell?
Saistoši to var pateikt tikai ražotājs jūsu modelim un programmaparatūrai. Pārbaudiet tā drošības paziņojumus un to, vai pašā NAS darbinat PHP vietnes, piemēram, ar tīmekļa servera pakotni. Līdz noskaidrošanai saskarnei nevajadzētu būt sasniedzamai no interneta.
Vai PHP NAS vai ugunsmūrī varu atjaunināt pats?
Parasti nē. PHP tur ir programmaparatūras vai ražotāja pakotnes daļa. Atjauninājumi nāk ar ierīces atjaunināšanas funkciju. Manuāla iejaukšanās programmaparatūrā var apdraudēt garantiju un stabilitāti.
Vai pietiek ar to, ka tīmekļa saskarni izmanto tikai lokālajā tīklā?
Tas ievērojami samazina risku, bet to neizņem. Jau kompromitēts dators tajā pašā tīklā saskarni joprojām var sasniegt. Labāk ir atsevišķs pārvaldības tīkls vai piekļuve tikai caur VPN.
Kā atpazīt, ka ierīce izmanto PHP?
Dažkārt to atklāj servera galvene vai paplašinājums .php saskarnes adresēs. Ja šādu norāžu nav, tas neko nepierāda. Uzticami ir ražotāja dokumentācija un drošības paziņojumi.