PHP2Shell uzlauzts? Zvaniet. Mēs palīdzam.

Īsi: ja jūs aizdomājaties, ka jūsu serveris ir uzlauzts, izmantojot PHP2Shell, sazinieties ar mums jau tagad. Vai esat skarti? Zvaniet. Mēs palīdzam. No pirmās ziņas mēs uzņemamies ierobežošanu, saglabājam pēdas, aizveram ievainojamību, noņemam ļaunprātīgo kodu un dokumentējam incidentu, līdz tas ir noslēgts.

Vai esat skarti? Pazīmes, ka PHP2Shell jau ir izmantota

PHP2Shell ir nosaukums divām kritiskām ievainojamībām pašā PHP, ar kurām uzbrucēji bez pieteikšanās var no attāluma izpildīt ļaunprātīgu kodu. Viennozīmīga pirkstu nospieduma pagaidām nav. Tāpēc svarīgi ir tas, ko dara serveris, nevis tas, ko atrod skeneris. Uz ielaušanos norāda:

• Tīmekļa servera vai PHP-FPM procesi, kas startē shell, piemēram, sh vai bash. Tā ir stipra brīdinājuma zīme.
• Jauni vai mainīti PHP faili augšupielāžu, kešatmiņas vai pagaidu mapēs, ko neviens nav izveidojis.
• Cron uzdevumi, pakalpojumi vai SSH atslēgas, kuras jūs nepazīstat.
• Izejoši savienojumi uz nezināmiem mērķiem, pēkšņi liela slodze vai neparasta datplūsma.
• Pieprasījumi žurnālos kopš 2026. gada 17. oktobra, īpaši aizdomīgas augšupielādes un sesiju pieprasījumi pirms ielāpa uzstādīšanas.
• Hostinga sniedzēja, pārlūkprogrammas vai meklētājprogrammas paziņojumi par surogātpastu, ļaunprogrammatūru vai pāradresācijām.

Vairāk atradīsiet lapā Vai mani jau ir uzlauzuši?. Ja nav nevienas pazīmes, tas nav pierādījums tīram serverim. Tas nozīmē tikai to, ka līdz šim nekas nav pamanīts.

Ko darīt tūlīt

1. Neko nemainīt. Neizdzēst failus, neatjaunot rezerves kopiju, neuzstādīt no jauna, pirms nav veikta saglabāšana.
2. Saglabāt žurnālus. Palūdziet savu hostinga sniedzēju vai IT nodaļu nepārrakstīt piekļuves, kļūdu un sistēmas žurnālus. Speciālistu prese iesaka saglabāt žurnālus no 2026. gada 20. oktobra.
3. Izlemt par pieejamību. Ja dati var aizplūst vai apmeklētāji var būt apdraudēti, atvienojiet vietni no tīkla vai pārslēdziet to uz apkopes režīmu.
4. Apkopot piekļuves. Pierakstiet, kam ir piekļuve serverim, panelim, CMS un datubāzei. Paroles mainiet tikai pēc saskaņošanas un no tīras ierīces.
5. Informēt cilvēkus. Vadību, datu aizsardzības speciālistu un, ja ir polise, apdrošinātāju.
6. Piezvanīt vai uzrakstīt mums. Jo agrāk mēs uzzinām situāciju, jo vairāk paliek pierādāms.

Kā PHP SOS palīdz konkrēti?

Mēs strādājam attālināti, bez ierašanās, visā Vācijā un Eiropā.

1. Situācijas attēls: Mēs noskaidrojam, kādas sistēmas darbojas, kāds PHP darbības režīms tiek izmantots, kas ir pamanīts un kādi dati varētu būt skarti.
2. Saglabāt un aizvērt: Mēs saglabājam failus, datubāzi un žurnālus un fiksējam stāvokli pirms jebkādām izmaiņām. Pēc tam aizveram ievainojamību ar ielāpu vai, ja tas vēl nav iespējams, ar pagaidu pasākumiem, un pārstartējam visus PHP procesus.
3. Pārbaudīt un attīrīt: Mēs meklējam webshell, slēptās piekļuves, cron uzdevumus un svešas piekļuves un noņemam tās vai atjaunojam stāvokli no uzticamiem avotiem. Rīcību apraksta lapa Ļaunprogrammatūras un webshell noņemšana.
4. Nostiprināt un ziņot: Mēs nomainām skartos noslēpumus, pastiprinām aizsardzību un sniedzam ziņojumu, kurā nošķirts, kas ir apliecināts, kas ir iespējams un kas nav zināms.

Ja incidents aug ārpus viena servera, pārejam uz strukturētu Incident Response. Ja vajadzīgi pierādījumi, kas turas tiesā, piesaistām IT forensiku.

Kāpēc ar ielāpu vien pēc uzbrukuma nepietiek

Ievainojamības ir PHP interpretatorā, nevis CMS. PHP projekts 2026. gada 21. oktobrī publicēja versijas 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Kas pēc tam ir atjauninājis un pārstartējis visus darbprocesus, ir aizsargāts pret jauniem uzbrukumiem šādā veidā. Tomēr tas, ko uzbrucējs ir novietojis iepriekš, paliek: webshell, papildu konts, ieplānots uzdevums. Tieši tāpēc dienas no 17. līdz 21. oktobrim ir īpaši svarīgas.

Ir vēl viens punkts: webshell bieži ir tikai pirmais solis. Kas varēja izpildīt kodu tīmekļa serverī, varēja arī nolasīt konfigurācijas failus un no tiem pārņemt datubāzes, pasta un API piekļuves. Šie noslēpumi jānomaina, citādi durvis paliek vaļā, kaut arī PHP ir ielāpots. Kā saprātīgi pārbaudīt failus un laikus, apraksta ceļvedis par webshell atpazīšanu.

Ziņošanas pienākums un dokumentācija

Ja varēja būt skarti personas dati, var būt nepieciešams ziņojums uzraudzības iestādei 72 stundu laikā. Skaitīšana sākas no brīža, kad uzzināts, nevis no izmeklēšanas beigām. Vai jūsu gadījumā ziņošana ir obligāta, izlemj datu aizsardzības speciālists vai advokāts; juridisko konsultāciju mēs nesniedzam. Mūsu dokumentācija nodrošina tam pamatu. Vairāk par termiņu ir lapā VDAR ziņošanas pienākums 72 stundu laikā, turpmākie soļi ir kontrolsarakstā pēc uzlaušanas.

Ko jums vajadzētu mums nosūtīt

• Apraksts, kas kopš kura laika ir pamanīts un kas to pamanīja
• Servera veids: pašu serveris, pārvaldīts serveris vai hostinga pakotne, kā arī hostinga sniedzējs
• Komandas php -v rezultāts un, ja zināms, darbības režīms (PHP-FPM, mod_php, LiteSpeed)
• PHP atjauninājuma laiks, ja tas jau ir uzstādīts
• Piekļuve serverim vai atļauja runāt ar jūsu hostinga sniedzēju
• Kontaktpersona ar tiesībām lemt par izslēgšanu un pārstartēšanu

Kāpēc PHP SOS

Mēs strādājam pēc principa Made in Germany, un kopā ar savu kiberspeciālistu partneru tīklu IT drošībā esam specializējušies vairāk nekā 25 gadus. Jums ir viena kontaktpersona, kas jūs pavada no pirmās ziņas līdz noslēgumam. Viss, ko darām, tiek dokumentēts, lai jūs to varētu pierādīt vadībai, apdrošinātājam un iestādēm. Mēs nesolām neko, ko neviens nevar izpildīt: ja trūkst žurnālu, mēs to sakām atklāti un nosaucam, kas ir apliecināts un kas paliek pieņēmums.

Vai esat skarti? Zvaniet. Mēs palīdzam.

Negaidiet, kamēr aizdomas kļūst par pārliecību. Zvaniet vai rakstiet WhatsApp. Mēs uzņemamies darbu no pirmās ziņas un paliekam līdz brīdim, kad incidents ir noslēgts un dokumentēts. Pieteikt ārkārtas gadījumu tagad.

Biežāk uzdotie jautājumi

Avoti

• BSI: Vācijas Federālais informācijas drošības birojs
• php.net: drošības paziņojumi
• VDAR 33. pants: ziņošana uzraudzības iestādei