Īsi: BSI (Vācijas Federālais informācijas drošības birojs) par PHP2Shell ir izsludinājis 3. brīdinājuma līmeni (oranžs). Ieteikums ir nepārprotams: PHP nekavējoties atjaunināt un, ja tas nav iespējams uzreiz, skartos tīmekļa serverus uz laiku atvienot no tīkla. BSI rēķinājās ar ātru plašu izmantošanu; apstiprināti veiksmīgi uzbrukumi plašā mērogā sākumā nebija zināmi.
BSI brīdinājums par PHP īsumā
Bundesamt für Sicherheit in der Informationstechnik (BSI) ir Vācijas centrālā speciālistu iestāde kiberdrošībai. Par PHP2Shell tā ir publicējusi 3. līmeņa brīdinājumu (oranžs). Iemesls ir divas kritiskas ievainojamības pašā PHP: CVE-2026-109618 un CVE-2026-109619, abas novērtētas ar CVSS v4.0 9.2. Tās ļauj uzbrucējiem bez autentifikācijas izpildīt ļaunprātīgu kodu serverī.
Brīdinājuma pamatpaziņojumus var apkopot šādi:
| Paziņojums | Nozīme operatoriem |
|---|---|
| 3. brīdinājuma līmenis / oranžs | nopietna situācija, nepieciešama rīcība |
| Ieteikts nekavējoties atjaunināt | ieinstalēt labotās PHP versijas |
| Citādi uz laiku atvienot no tīkla | pieejamību pakārtot aizsardzībai |
| Gaidāma ātra plaša izmantošana | negaidīt pirmos ziņojumus par zaudējumiem |
| Veiksmīgi uzbrukumi plašā mērogā sākumā nav apstiprināti | nav pamata atslābt |
Katrreizējo aktuālo redakciju atradīsiet BSI vietnē.
Ko „nekavējoties atjaunināt“ nozīmē praksē
PHP projekts 2026. gada 21. oktobrī plkst. 14:00 UTC (16:00 Vācijas laiks) publicēja labotās versijas: PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35. PHP 8.1 un vecākām versijām oficiālu atjauninājumu vairs nav, tikai minimāli pirmkoda backporti 7.4, 8.0 un 8.1.
Atjauninājums ir spēkā tikai tad, kad visi PHP procesi ir pārstartēti. Ar jauniem failiem vien nepietiek, kamēr atmiņā darbojas veci worker. Turklāt: distributīvi un hostinga sniedzēji labojumus daļēji ievieš kā backportu. Tad, piemēram, Plesk joprojām rāda 8.2.34, kaut gan ir ielāpots. Izšķirošs ir pakotņu stāvoklis un sniedzēja apstiprinājums. Un CMS atjauninājums, piemēram, WordPress, PHP ievainojamību neaizver.
Ja atjauninājumu nevar veikt uzreiz
Šādam gadījumam BSI iesaka tīmekļa serverus uz laiku atvienot no tīkla. Tas ir stingrs pasākums, bet skaidrs. Daudziem uzņēmumiem plānots dīkstāves periods dažu stundu garumā nodara mazāk kaitējuma nekā ielaušanās ar datu aizplūšanu.
php.net papildus min pagaidu pasākumus, kas samazina risku, bet skaidri nesniedz pilnīgu aizsardzību. Tie ietver session.upload_progress.enabled=0 servera konfigurācijā, ierobežotas post_max_size vērtības, atmiņas ierobežojumus ar konteineriem vai cgroups un PHP 8.5 fatal_error_backtraces=0, katrā gadījumā ar sekojošu visu worker pārstartēšanu. Sīkāk skatiet lapā Tūlītēji pasākumi bez ielāpa.
Ja publiski sasniedzams tīmekļa serveris vēl darbojas ar neielāpotu PHP un bez pagaidu pasākumiem, no BSI ieteikuma izriet: serveri atvienot no tīkla, līdz atjauninājums ir ieinstalēts un visi procesi pārstartēti.
Situācijas klasifikācija
BSI ar savu vērtējumu nav viens. Cloudflare ziņoja par novērotiem uzbrukuma mēģinājumiem un ieviesa aizsardzības noteikumus, taču brīdina, ka noteikumi tikai pēc pieprasījuma datiem nav pietiekami. Palo Alto Networks (Unit 42) saskaitīja vairāk nekā 22,6 miljonus pieejamu, potenciāli ievainojamu instanču. Saskaņā ar plašsaziņas līdzekļu ziņojumiem pirmais uzbrukuma mēģinājums novērots jau 2026. gada 17. oktobrī, tātad pirms ielāpu publicēšanas.
Operatoriem no tā izriet nopietns vērtējums: kas līdz šim nav ielāpojis, tam jāielāpo, bet arī jāpārbauda, vai kaut kas jau nav noticis. Ielāps nenoņem ievadītu ļaunprātīgu programmatūru. Publicētu, apstiprinātu Indicators of Compromise nav; atklāšanas pamatā ir uzvedības analīze. Speciālistu prese iesaka servera žurnālus glabāt no 2026. gada 20. oktobra. Norādes par meklēšanu atrodamas lapā Vai mani jau ir kompromitējuši?.
Ko ieteikums nozīmē atbildīgajiem
BSI brīdinājums nav likums. Taču tas ir kompetentās speciālistu iestādes vērtējums, un tam var būt nozīme lēmumu vēlākā novērtēšanā, piemēram, apdrošinātājiem vai revidentiem. Vadībai tāpēc jādokumentē, kad tā uzzinājusi par brīdinājumu, kā novērtējusi savas sistēmas un kādus pasākumus veikusi. Vispārīgas norādes par to atrodamas lapā Vadības atbildība; tā nav juridiska konsultācija.
Praksē ieteicams brīdinājumu izlasīt ne tikai vienreiz. BSI savus paziņojumus atjaunina, mainoties situācijai, piemēram, parādoties jaunām atziņām par izmantošanu vai citām ievainojamībām. Kopš 2026. gada 23. oktobra ir arī php.net norāde par CVE-2026-115560, kas skar tikai neparastas konfigurācijas un tāpat tiek mazināta ar session.upload_progress.enabled=0. Nozīmējiet personu, kas BSI un php.net līdz situācijas noslēgumam pārbauda katru dienu un izmaiņas nodod tehnikai un vadībai. Tā nerodas zināšanu atšķirība starp tiem, kas lemj, un tiem, kas īsteno.
Kā PHP SOS palīdz konkrēti?
- Mēs salīdzinām jūsu tīmekļa serverus ar BSI ieteikumu: versija, pakotņu stāvoklis, pārstartēšana, pieejamība.
- Savas PHP2Shell neatliekamās palīdzības ietvaros mēs ielāpojam, pārstartējam visus procesus un sniedzam pierādījumu.
- Kur atjauninājumu nevar veikt uzreiz, mēs iestatām pagaidu pasākumus un vajadzības gadījumā nodrošinām statisku aizstājējlapu.
- Mēs saglabājam žurnālus un meklējam pēdas, lai pēc ielāpa situāciju varētu novērtēt droši.
Biežāk uzdotie jautājumi
Ko BSI nozīmē 3. brīdinājuma līmenis (oranžs)?
Krāsa apraksta paaugstinātu, nopietnu apdraudējuma situāciju, kurā nepieciešama rīcība. PHP2Shell gadījumā BSI to pamato ar ievainojamību kritiskumu un gaidāmo ātro izmantošanu. Precīzu līmeņu definīciju atradīsiet BSI vietnē.
Vai man BSI ieteikums jāievēro?
BSI brīdinājums ir ieteikums, nevis likums. Taču tas ir nozīmīgs kompetentās speciālistu iestādes vērtējums, uz ko var orientēties apdrošinātāji, revidenti un tiesas. Kas novirzās, tam jādokumentē iemesli. Tā nav juridiska konsultācija.
Vai pēc BSI datiem jau bijuši veiksmīgi uzbrukumi?
Apstiprināti veiksmīgi uzbrukumi plašā mērogā pēc BSI datiem sākumā nebija zināmi. Taču BSI rēķinājās ar ātru plašu izmantošanu. Citas iestādes jau ziņoja par uzbrukuma mēģinājumiem.
Kur atrast brīdinājuma aktuālo redakciju?
BSI vietnē sadaļā par aktuālajiem drošības brīdinājumiem. Situācija var mainīties; regulāri pārbaudiet jaunāko stāvokli tur un vietnē php.net.