Īsi: PHP2Shell laika līnijā pagaidām ir četri apliecināti datumi: pirmais novērotais uzbrukuma mēģinājums 17.10., php.net iepriekšējais paziņojums 20.10., ielāpi 21.10. plkst. 16:00 pēc Vācijas laika un cits paziņojums par CVE-2026-115560 2026. gada 23. oktobrī. Operatoriem no tā izriet: uzstādīt ielāpu, pārstartēt visus PHP procesus un saglabāt žurnālus vēlākais no 20.10.
Kāpēc PHP2Shell laika līnija ir svarīga operatoriem
Šāda smaguma ievainojamības gadījumā nozīme ir ne tikai tam, vai jūsu serveris šodien ir ielāpots. Izšķiroša ir arī tā, cik ilgi tas pirms tam bija ievainojams. Šis laika logs nosaka, kurus žurnālus saglabāt, kurus failus pārbaudīt un vai kompromitāciju ar labu pamatojumu var izslēgt.
PHP2Shell skar pašu PHP, nevis kādu atsevišķu CMS. Divas kritiskas ievainojamības, CVE-2026-109618 un CVE-2026-109619, ļauj attālināti izpildīt ļaunprātīgu kodu bez pieteikšanās. Abām CVSS v4.0 vērtējums ir 9,2. Saprotamu ievadu atradīsiet rakstā Kas ir PHP2Shell?.
Turpmākajā hronoloģijā ir tikai tie dati, kas uz 25.10.2026 ir apliecināti. Ja kāds apgalvojums balstās uz plašsaziņas līdzekļu ziņojumiem, tas ir norādīts.
| Datums | Notikums | Pamats |
|---|---|---|
| 17.10.2026 | Pirmais novērotais uzbrukuma mēģinājums (Amazon) | plašsaziņas līdzekļu ziņojumi |
| 20.10.2026 | Iepriekšējais paziņojums no php.net | php.net |
| 21.10.2026, 14:00 UTC | Ielāpu publicēšana (plkst. 16:00 pēc Vācijas laika) | php.net |
| 23.10.2026 | Paziņojums par CVE-2026-115560 | php.net |
| 25.10.2026 | Šī pārskata stāvoklis | – |
17. oktobris: pirmais novērotais uzbrukuma mēģinājums
Saskaņā ar plašsaziņas līdzekļu ziņojumiem 2026. gada 17. oktobrī tika novērots pirmais uzbrukuma mēģinājums, par ko ziņoja Amazon. Tas bija četras dienas pirms ielāpiem. Tātad bija periods, kad uzbrukumi jau tika mēģināti, bet atjauninājuma vēl nebija.
Vai un cik uzbrukumu šajā posmā bija sekmīgi, nav apliecināts. Svarīga ir sekas jūsu pašu pārbaudei: serveris, kas šodien ir ielāpots, var būt kompromitēts jau agrāk. Ielāps neizņem ievadīto ļaunprogrammatūru un nepierāda, ka iepriekš nekas nav noticis.
20. un 21. oktobris: iepriekšējais paziņojums un ielāpi
- gada 20. oktobrī PHP projekts php.net paziņoja par drošības atjauninājumiem. 2026. gada 21. oktobrī plkst. 14:00 UTC, tātad plkst. 16:00 pēc Vācijas laika, sekoja izlabotās versijas.
| Atzars | Pēdējā ievainojamā versija | Izlabots versijā |
|---|---|---|
| PHP 8.5 | 8.5.11 | 8.5.12 |
| PHP 8.4 | 8.4.26 | 8.4.27 |
| PHP 8.3 | 8.3.35 | 8.3.36 |
| PHP 8.2 | 8.2.34 | 8.2.35 |
PHP 8.1 un vecākām versijām oficiālu atjauninājumu vairs nav, ir tikai minimāli pirmkoda backporti versijām 7.4, 8.0 un 8.1. Saskaņā ar speciālo presi skartas ir gandrīz visas versijas līdz pat PHP 5.4. Skarti ir darbības režīmi PHP-FPM, Apache ar mod_php, php-cgi, FrankenPHP un LiteSpeed. Augstāko risku PHP komanda saskata mod_php gadījumā, kur exploit tika demonstrēts, vēl pirms tiek izpildīts jebkāds lietojumprogrammas kods.
Distribūcijas un hostinga sniedzēji dažkārt ievieš backportus. Tad, piemēram, Plesk turpina rādīt 8.2.34, kaut gan serveris ir ielāpots. Noteicošais ir pakotnes stāvoklis un sniedzēja apstiprinājums, nevis redzamais versijas numurs. Kā to pārbaudīt pareizi, aprakstīts rakstā PHP versijas un ielāpa stāvokļa pareiza pārbaude.
23. oktobris: paziņojums par CVE-2026-115560
- gada 23. oktobrī PHP projekts publicēja vēl vienu paziņojumu, šoreiz par CVE-2026-115560. Saskaņā ar to izmantošana ir iespējama tikai neparastas konfigurācijas gadījumā: konfigurācijā ir serialize_handler
php_binaryvaiphp_serialize, lietojumprogramma pirmssession_start()arini_set()to pārslēdz uzphp, un ir aktīvs sesijas augšupielādes progress (Session Upload Progress).
Atvieglojums ir vienkāršs, un tas jāiestata neatkarīgi no tā, vai zināt, ka jums ir šāda konstelācija:
; php.ini failā, FPM pūlā vai servera konfigurācijā
; nevis ar ini_set() vai .user.ini
session.upload_progress.enabled = 0
Pēc tam pārstartējiet visus PHP darbprocesus. Pilnais advisory paredzēts kopā ar nākamo regulāro kļūdu labojumu laidienu. Līdz tam šis iestatījums ir ieteicamais pagaidu risinājums.
Stāvoklis 25. oktobrī: situācija un neatbildētie jautājumi
BSI (Vācijas Federālais informācijas drošības birojs) ir izsludinājis brīdinājuma līmeni 3 / oranžs. Tas iesaka nekavējoties atjaunināt un, ja tas nav iespējams, tīmekļa serverus uz laiku atvienot no tīkla. BSI paredzēja ātru plašu izmantošanu; apstiprināti plaši sekmīgi uzbrukumi sākotnēji BSI nebija zināmi. BSI vērtējumu apkopo lapa Ko BSI iesaka par PHP2Shell.
Cloudflare ziņoja par novērotiem uzbrukuma mēģinājumiem un ieviesa aizsardzības noteikumus, taču brīdina, ka noteikumi, kas balstās tikai uz pieprasījuma datiem, nav pietiekami. Palo Alto Networks (Unit 42) saskaitīja vairāk nekā 22,6 miljonus publiski pieejamu, potenciāli ievainojamu instanču. Apstiprināti Indicators of Compromise nav publicēti; atklāšana balstās uz uzvedības analīzi.
Daži pakalpojumu sniedzēji piesardzības nolūkā atslēdza vietnes. Tas automātiski nenozīmē, ka šīs vietnes ir uzlauztas. Šī pārskata sagatavošanas brīdī galvenokārt nav skaidrs, cik serveru pirms ielāpa patiešām tika kompromitēti.
Ko laika līnija nozīmē jūsu žurnāliem un pārbaudēm
No datiem izriet trīs laika posmi: pirms 17.10., laikā no 17.10. līdz jūsu pašu ielāpa uzstādīšanas un pārstartēšanas brīdim un pēc tam. Vidējais posms ir kritiskais. Jo ilgāk tas jums ilga, jo rūpīgākai jābūt pārbaudei.
Speciālā prese iesaka glabāt servera žurnālus no 20.10.2026. Saglabājiet arī esošos vecākos žurnālus, pirms automātiskā rotācija tos izdzēš.
Vienkāršs veids, kā nemainītus saglabāt žurnālus un fiksēt stāvokli:
# Žurnālu kopīga saglabāšana (ceļus pielāgojiet savai sistēmai)
sudo tar czf /root/logs-sicherung-$(date +%F).tar.gz /var/log/apache2 /var/log/nginx /var/log/php*
# Kontrolsumma vēlākam pierādījumam
sha256sum /root/logs-sicherung-*.tar.gz
# Cik ilgi sistēma glabā žurnālus?
grep -R "rotate" /etc/logrotate.d/
Pierakstiet arī, kad tieši atjauninājums tika uzstādīts un kad PHP procesi tika pārstartēti. Jauni faili vien neaizsargā, kamēr atmiņā darbojas veci procesi. Kā izvērtēt saglabātos žurnālus, aprakstīts ceļvedī Tīmekļa servera žurnālu izvērtēšana pēc uzbrukuma.
Kā PHP SOS palīdz konkrēti?
- Kopā ar jums nosakām sava servera faktisko ievainojamības laika logu: pakotnes stāvokli, ielāpa uzstādīšanas laiku, visu darbprocesu pārstartēšanu.
- Saglabājam žurnālus un sistēmas stāvokli izsekojami, pirms kaut kas tiek mainīts.
- Pārbaudām uzvedības novirzes, piemēram, jaunus PHP failus, svešus procesus un neparastus izejošos savienojumus.
- Rezultātu dokumentējam tā, lai ar to varētu strādāt vadība, datu aizsardzības speciālisti un apdrošinātāji.
Procesu sīkāk apraksta mūsu PHP2Shell tūlītējā palīdzība.
Biežāk uzdotie jautājumi
Kad tika publicēti PHP2Shell ielāpi?
PHP projekts izlaboto versiju publicēja 2026. gada 21. oktobrī plkst. 14:00 UTC, tātad plkst. 16:00 pēc Vācijas laika. Izlabotas ir PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35.
No kura datuma man jāglabā servera žurnāli?
Speciālā prese iesaka glabāt žurnālus no 20.10.2026. Tā kā saskaņā ar plašsaziņas līdzekļu ziņojumiem pirmais uzbrukuma mēģinājums novērots jau 17.10., ir vērts saglabāt arī esošos vecākos žurnālus, pirms rotācija tos izdzēš.
Vai CVE-2026-115560 ir tikpat bīstama kā abas pirmās ievainojamības?
Saskaņā ar 23.10.2026 paziņojumu izmantošana ir iespējama tikai neparastas sesiju konfigurācijas gadījumā. Kā atvieglojums ieteicams session.upload_progress.enabled=0, līdz parādīsies nākamais regulārais kļūdu labojumu laidiens.
Vai par PHP2Shell ir apstiprināti Indicators of Compromise?
Nē, uz 25.10.2026 nav publicēti apstiprināti Indicators of Compromise. Atklāšana balstās uz uzvedības analīzi, piemēram, neparastiem procesiem, jauniem failiem un aizdomīgiem savienojumiem.