# Kas ir PHP2Shell? Ievainojamība vienkārši izskaidrota

> PHP2Shell vienkārši izskaidrots: kas slēpjas aiz divām kritiskajām PHP ievainojamībām, kuri serveri ir skarti un kādi soļi jums jāveic tagad.

Avots: https://phpsos.de/lv/php2shell/was-ist-php2shell/  
Aktuāls uz: 25.10.2026  
Pakalpojuma sniedzējs: PHP SOS, PHP ārkārtas palīdzība un serveru drošība. Tūlītēja palīdzība pa WhatsApp: https://wa.me/491736494914?text=Sveiki%2C%20PHP%20SOS%2C%20mums%20nepiecie%C5%A1ama%20pal%C4%ABdz%C4%ABba%20ar%20m%C5%ABsu%20PHP%20serveri.%20Uz%C5%86%C4%93mums%3A%20%E2%80%A6%20Vietne%3A%20%E2%80%A6

**Īsi:** PHP2Shell ir nosaukums divām kritiskām drošības ievainojamībām pašā PHP, CVE-2026-109618 un CVE-2026-109619. Ar tām uzbrucēji ievainojamos tīmekļa serveros var izpildīt ļaunprātīgu kodu bez pieteikšanās. Glābj tikai atjauninājums uz labotu PHP versiju ar sekojošu visu PHP procesu pārstartēšanu.

## Kas ir PHP2Shell?

PHP ir programmēšanas valoda, uz kuras darbojas liela daļa visu vietņu: uzņēmumu vietnes ar WordPress vai TYPO3, tiešsaistes veikali ar Shopware vai WooCommerce, iekšējie portāli un pašu izstrādāti risinājumi. 2026. gada 21. oktobrī PHP projekts publicēja drošības atjauninājumus divām ievainojamībām, kas kļuvušas zināmas ar nosaukumu PHP2Shell.

Abas ievainojamības novērtētas ar CVSS v4.0 9.2, tātad kā kritiskas. Sekas abos gadījumos ir tās pašas: ļaunprātīga koda izpilde no attāluma, uzbrucējam nepieteikoties. Speciālisti runā par „unauthenticated Remote Code Execution“. Kas var izpildīt kodu serverī, tas sliktākajā gadījumā var nolasīt datus, ievietot slēptās piekļuves vai izmantot serveri tālākiem uzbrukumiem.

Svarīgi izpratnei: ievainojamība nav konkrētā CMS vai spraudnī, bet PHP. WordPress, Shopware vai TYPO3 atjauninājums to tāpēc neaizver.

## Kāpēc ievainojamība ir tik nopietna?

Trīs punkti padara PHP2Shell drošības iestāžu skatījumā īpaši bīstamu:

- **Plašums:** Skarti ir ierastie PHP darbības režīmi, proti, PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed. Palo Alto Networks (Unit 42) saskaitīja vairāk nekā 22,6 miljonus publiski pieejamu, potenciāli ievainojamu instanču.
- **Pieteikšanās nav vajadzīga:** Uzbrucējam nav vajadzīga ne parole, ne lietotāja konts.
- **Agrs brīdis:** Apache ar mod_php gadījumā PHP komanda norāda, ka exploit tika demonstrēts, vēl pirms tiek izpildīts lietojumprogrammas kods. Vietnes iekšējie aizsardzības mehānismi tad nedarbojas.

BSI ir izsludinājis 3. brīdinājuma līmeni (oranžs). Tas iesaka atjaunināt nekavējoties un, ja tas nav iespējams uzreiz, skartos tīmekļa serverus uz laiku atvienot no tīkla.

## Kuri serveri ir PHP2Shell skarti?

Ievainojamības ir novērstas PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Vecākas šo atzaru versijas ir skartas. PHP 8.1 un vecākām versijām oficiālu atjauninājumu vairs nav; saskaņā ar speciālistu presi ir skartas gandrīz visas versijas līdz pat PHP 5.4. Pilnu pārskatu atradīsiet lapā [Kuras PHP versijas ir skartas?](https://phpsos.de/lv/php2shell/betroffene-php-versionen/).

Īpatnība: Linux distributīvi un hostinga sniedzēji labojumus dažkārt ievieš kā backport. Tad, piemēram, Plesk turpina rādīt 8.2.34, lai gan kļūda ir novērsta. Noteicošais ir pakotnes stāvoklis un sniedzēja apstiprinājums. Kā to pārbaudīt, izskaidrojam sadaļā [PHP versijas un ielāpa stāvokļa pareiza pārbaude](https://phpsos.de/lv/php2shell/php-version-pruefen/).

## Kas ir pierādīts un kas ir atklāts?

**Pierādīti** ir abi CVE numuri, labotās versijas un pagaidu pasākumi, ko publicējis php.net. 23. oktobrī pievienojās norāde par vēl vienu ievainojamību, CVE-2026-115560, kas darbojas tikai neparastā konfigurācijā.

**Iespējams** ir, ka uzbrucēji neielāpotus serverus turpina aktīvi meklēt. Saskaņā ar plašsaziņas līdzekļu ziņojumiem pirmais uzbrukuma mēģinājums tika novērots jau 17. oktobrī, tātad pirms ielāpu publicēšanas. Cloudflare ziņoja par uzbrukuma mēģinājumiem un ieviesa aizsardzības noteikumus, taču norāda, ka noteikumi, kas balstīti tikai uz pieprasījuma datiem, nepietiek.

**Atklāts** ir jautājums, cik serveru jau ir sekmīgi uzbrukti. Apstiprināti sekmīgi uzbrukumi plašā mērogā pēc BSI datiem sākumā nebija zināmi. Nav publicētu, apstiprinātu Indicators of Compromise. Vai serveris ir bijis skarts, tāpēc var novērtēt tikai ar uzvedības analīzi. Laika gaitu apkopo [hronoloģija no 17. līdz 25. oktobrim](https://phpsos.de/lv/ratgeber/php2shell-chronologie/).

## Kas uzņēmumiem jādara tagad

1. **Noskaidrot, kas ir atbildīgs:** savs serveris, pārvaldīts serveris vai hostinga sniedzējs.
2. **Atjaunināt PHP** uz labotu versiju vai apstiprinātu backport.
3. **Pārstartēt visus PHP procesus.** Ar jauniem failiem vien nepietiek, kamēr atmiņā darbojas veci procesi.
4. **Saglabāt žurnālus,** proti, no 20. oktobra. Speciālistu prese iesaka šos datus saglabāt.
5. **Pārbaudīt, vai nav pēdu.** Ielāps nenoņem jau ievadītu ļaunprogrammatūru un nepierāda, ka iepriekš nekas nav noticis. Norādes sniedz lapa [Vai mani jau ir uzlauzuši?](https://phpsos.de/lv/php2shell/bin-ich-gehackt-anzeichen/).

> **Svarīgi:**
> Atjauninājums aizver durvis, bet neaizvāc sekas. Ja jūsu serveris starp 17. oktobri un ielāpu bija sasniedzams, pēdu pārbaude ir pienākums, nevis pēc izvēles.

## Kā PHP SOS palīdz konkrēti?

Ar [PHP2Shell tūlītējo palīdzību](https://phpsos.de/lv/leistungen/php2shell-soforthilfe/) mēs uzņemamies soļus, ko daudzi uzņēmumi iekšēji īsā laikā nevar nosegt:

- **Uzskaite:** Mēs noskaidrojam katra skartā servera PHP versiju, darbības režīmu un pakotnes stāvokli.
- **Ielāps vai pārejas risinājums:** Mēs instalējam atjauninājumu vai, kur tas vēl nav iespējams, ieviešam php.net pagaidu pasākumus un noskaidrojam jautājumu, vai serveris uz laiku jāatvieno no tīkla.
- **Pārstartēšana un apliecinājums:** Mēs pārstartējam visus PHP procesus un dokumentējam stāvokli pirms un pēc.
- **Pēdu pārbaude:** Mēs saglabājam žurnālus no 20. oktobra un pārbaudām, vai nav neparastu pazīmju, līdz incidents ir slēgts un dokumentēts.


## Biežāk uzdotie jautājumi

**Vai PHP2Shell ir WordPress ievainojamība?**  
Nē. Ievainojamības ir PHP, tas ir, programmēšanas valodā, uz kuras darbojas WordPress, Shopware, TYPO3 un daudzas citas sistēmas. CMS atjauninājums tās tāpēc neaizver. Izšķirošs ir PHP stāvoklis serverī.

**Vai man kā hostinga sniedzēja klientam pašam kaut kas jādara?**  
Koplietošanas hostingā PHP atjauninājumu parasti instalē hostinga sniedzējs. Tomēr jums vajadzētu lūgt rakstisku apstiprinājumu, ka jūsu izmantotā PHP versija ir ielāpota un pārstartēta. Vai pirms ielāpa kaut kas ir noticis, atjauninājums neatbild.

**No kurienes nāk nosaukums PHP2Shell?**  
Nosaukums apraksta sekas: caur PHP uzbrucējs sliktākajā gadījumā var iegūt komandrindu, tas ir, shell, serverī. Oficiālie apzīmējumi ir CVE numuri CVE-2026-109618 un CVE-2026-109619.

**Vai mana vietne jau ir ticis uzbrukta, ja tā tika atvienota no tīkla?**  
Ne obligāti. Daži sniedzēji vietnes ir piesardzības nolūkos atvienojuši no tīkla, kā to iesaka BSI, ja atjaunināšana nav iespējama nekavējoties. Tas ir aizsardzības pasākums, nevis uzbrukuma pierādījums.

## Avoti

- [php.net: drošības paziņojumi](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: Vācijas Federālais informācijas drošības birojs](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)