Fil-qosor: Ġimgħa wara l-ewwel tentattiv ta' attakk osservat, PHP2Shell bħalissa hija l-aktar mistoqsija ta' implimentazzjoni: Il-patches għal PHP 8.2 sa 8.5 jinsabu mill-21 ta' Ottubru, id-distribuzzjonijiet il-kbar ġabu l-ħin, il-BSI iwissi bil-livell oranġjo. Tentattivi ta' attakk ġew osservati, attakki b'suċċess ikkonfermati fuq skala wiesgħa il-BSI għall-ewwel ma rrapportax. Jibqgħu miftuħa l-verżjonijiet qodma, servers mhux imqabbdin mill-ġdid u l-mistoqsija x'ġara qabel il-patch.
Is-sitwazzjoni fi tliet sentenzi
PHP2Shell huma żewġ vulnerabbiltajiet kritiċi fl-interpretatur ta' PHP innifsu, CVE-2026-109618 u CVE-2026-109619, kull waħda ivvalutata b'CVSS v4.0 9,2. Jippermettu eżekuzzjoni ta' kodiċi mill-bogħod mingħajr login, jiġifieri l-każ li l-esperti tas-sigurtà jibżgħu l-aktar minnu. Affettwati huma PHP-FPM, Apache b'mod_php, php-cgi, FrankenPHP u LiteSpeed; l-ogħla riskju it-tim ta' PHP jarah f'mod_php.
Din il-ħarsa ġenerali tikklassifika l-istat tal-25 ta' Ottubru 2026 skont l-atturi. Il-kors jum b'jum issibu fil-kronoloġija ta' PHP2Shell, hawn tidher l-istampa ġenerali.
X'inhu ppruvat wara ġimgħa
Ippruvati huma d-dikjarazzjonijiet tal-proġett PHP: Ir-releases 8.5.12, 8.4.27, 8.3.36 u 8.2.35 tal-21 ta' Ottubru jagħlqu ż-żewġ vulnerabbiltajiet. Għal PHP 7.4, 8.0 u 8.1 hemm biss backports minimi tas-sors, l-ebda releases uffiċjali. php.net jenfasizza li ma hemmx miżuri temporanji kompluti u li l-aġġornament huwa l-unika triq sigura.
Fit-23 ta' Ottubru żdied avviż dwar CVE-2026-115560. Jikkonċerna biss konfigurazzjoni mhux tas-soltu tas-session; bħala rimedju php.net isemmi session.upload_progress.enabled=0 sar-release li jmiss tal-bugfix.
Id-distribuzzjonijiet il-kbar ukoll ħadu pożizzjoni. Ivverifikajna r-rapporti uffiċjali:
| Fornitur | Stat skont ir-rapport uffiċjali |
|---|---|
| Ubuntu | USN-8948-1 għal 22.04, 24.04, 26.04 u 26.10; USN-8948-2 għal 14.04 sa 20.04 permezz ta' Ubuntu Pro |
| Debian | Pakketti rranġati għal bookworm (php8.2, DLA-4848-1) u trixie (php8.4, DSA-6574-1) |
| Red Hat | Bulletin RHSB-2026-013 għal RHEL 7 sa 10; xi aġġornamenti disponibbli, oħrajn għaddejjin |
Red Hat jikklassifika CVE-2026-109618 b'valutazzjoni proprja bħala “Important” u jiġġustifika dan b'kumplessità ogħla tal-attakk. Din hija metodu ta' valutazzjoni differenti minn dak tal-proġett PHP u mhix raġuni biex l-aġġornament jiġi pospost.
Kif l-awtoritajiet jivvalutaw is-sitwazzjoni
Il-BSI ħabbar il-livell ta' twissija 3 / oranġjo. Jirrakkomanda aġġornament immedjat u, jekk dan ma jkunx possibbli minnufih, li s-servers tal-web affettwati jitneħħew temporanjament min-netwerk. Il-BSI kien jistenna sfruttament mgħaġġel u fuq skala kbira. X'tfisser il-klassifikazzjoni tispjegah il-paġna X'jirrakkomanda l-BSI dwar PHP2Shell.
Skont rapporti, CERT-EU iqis possibbli li huma affettwati l-verżjonijiet minn PHP 5, u jirrakkomanda li applikazzjonijiet aċċessibbli pubblikament jiġu iżolati jekk ma jistgħux jiġu ppatchjati fi żmien qasir. CERT-Bund u l-kumpanija tas-sigurtà Huntress ukoll wissew.
Ir-rakkomandazzjoni li fl-emerġenza jsir għeluq ġiet implimentata b'mod viżibbli. Skont rapporti tal-midja, il-belt ta' Mainz neħħiet il-portal ċentrali tal-web tagħha min-netwerk b'mod prekawzjonarju; l-uffiċċji baqgħu jintlaħqu bit-telefon u bl-email. Fil-Hessen, skont hessenschau, paġni tal-gvern tal-Istat, tal-BKA kif ukoll tal-bliet ta' Kassel u Wiesbaden kienu temporanjament offline. Il-Kanċellerija tal-Istat ma rrapportat l-ebda attakk, il-paġni reġgħu kienu aċċessibbli l-għaxija. Komuni oħra, universitajiet u kliniki, skont rapporti, aġixxew bl-istess mod.
X'inhu magħruf dwar l-attakki
Hawnhekk id-distinzjoni bejn osservazzjoni u konferma hija partikolarment importanti.
- Osservat: Skont rapporti tal-midja, fis-17 ta' Ottubru kien hemm l-ewwel tentattiv ta' attakk, li osservah Amazon. Cloudflare u Patchstack irrappurtaw tentattivi ta' attakk; Cloudflare ra wkoll mudelli ta' attakk mibdula.
- Irriprodott: watchTowr irriproduċa CVE-2026-109618, skont rapporti, skont dak li ddikjara hu stess.
- Mhux ikkonfermat: Il-BSI għall-ewwel ma rrapportax sfruttament b'suċċess ikkonfermat fuq skala wiesgħa. Huntress ma ra l-ebda attakk fl-ambjenti tal-imsieħba fil-mument tar-rapport tiegħu.
- Mhux magħruf: Ma hemm l-ebda Indicators of Compromise ippubblikati u kkonfermati. Min irid jivverifika jekk server huwiex affettwat irid jagħti kas ta' mudelli ta' mġiba.
Dwar id-daqs ċirkolaw żewġ numri. Ir-riċerkaturi ta' Unit 42 f'Palo Alto Networks waslu għal aktar minn 22,6 miljun istanza potenzjalment vulnerabbli li huma aċċessibbli min-netwerk. CybelAngel isemmi madwar 2,24 miljun host ta' PHP aċċessibbli, li minnhom, skont l-evalwazzjoni tiegħu stess, 59 fil-mija fuq verżjonijiet mingħajr fix uffiċjali li ġej. It-tnejn jkejlu affarijiet differenti u ma jistgħux jitqabblu direttament. Klassifikazzjoni toffri l-artikolu Kif jinftiehmu n-numri sew.
X'inhu miftuħ
Tliet mistoqsijiet jiddeterminaw il-ġimgħat li ġejjin:
- Verżjonijiet qodma: Parti kbira mill-installazzjonijiet ta' PHP aċċessibbli taħdem, skont l-evalwazzjonijiet imsemmija, fuq fergħat mingħajr fix uffiċjali. Jekk l-offerti kummerċjali fit-tul jgħattux PHP2Shell, irid jiġi kkonfermat bil-miktub mill-fornitur kull darba.
- Aġġornamenti mhux kompluti: Pakketti ġodda jaħdmu biss meta l-proċessi kollha ta' PHP ikunu tqabbdu mill-ġdid. Red Hat jindika espliċitament li reload sempliċi mhuwiex biżżejjed.
- Iż-żmien qabel il-patch: Bejn is-17 u l-21 ta' Ottubru s-servers kienu vulnerabbli waqt li diġà kienu għaddejjin tentattivi ta' attakk. Patch ma jipprovax li f'dan iż-żmien ma ġara xejn.
Żommu l-logs tas-server tal-web u ta' PHP mill-20 ta' Ottubru, kif jirrakkomanda l-istampa tekniċa. Mingħajr logs il-mistoqsija miftuħa l-aktar importanti għas-server tagħkom aktar tard ma tistax tiġi mwieġba.
X'għandhom jivverifikaw l-operaturi issa
Għall-valutazzjoni proprja tas-sitwazzjoni huma biżżejjed erba' punti ta' verifika għal kull server: PHP huwa fi stat irranġat jew backport ikkonfermat? Il-proċessi kollha jaħdmu mill-aġġornament 'l hawn? session.upload_progress.enabled huwa diżattivat min-naħa tas-server, sakemm l-advisory dwar CVE-2026-115560 ma jkunx ħareġ? Hemm anomaliji mis-17 ta' Ottubru?
Għall-aħħar punt tgħin il-paġna Diġà ġejt kompromess?. Proċess tas-server tal-web li jibda shell, fajls ġodda ta' PHP f'folders tal-upload, cronjobs jew ċwievet SSH mhux magħrufa huma sinjali ta' twissija li jiġġustifikaw investigazzjoni eżatta.
Kif tgħin PHP SOS b'mod konkret?
- Nivvalutaw l-istat tal-patch ta' kull server abbażi tal-istat tal-pakkett, tal-changelog u tal-ħinijiet tat-tluq tal-proċessi.
- Fejn ma hemm l-ebda patch disponibbli, napplikaw il-miżuri temporanji ta' php.net u niċċaraw it-triq lejn il-verżjoni appoġġata.
- Nissalvaw il-logs mill-20 ta' Ottubru u nfittxu traċċi minn qabel il-patch.
- Bl-għajnuna immedjata għal PHP2Shell niġbru dawn il-passi għal negozji li jeħtieġu ċarezza malajr.
Mistoqsijiet frekwenti
PHP2Shell diġà qed tiġi sfruttata b'mod attiv?
Cloudflare u Patchstack irrappurtaw tentattivi ta' attakk. Attakki b'suċċess ikkonfermati fuq skala wiesgħa il-BSI għall-ewwel ma rrapportax. Huntress ma ra l-ebda attakk fl-ambjenti tal-imsieħba fil-mument tar-rapport tiegħu.
Il-periklu għadda wara l-patches?
Le. Il-patches jipproteġu biss servers li installawhom u reġgħu bdew il-proċessi kollha ta' PHP. Sistemi fuq PHP 8.1 u eqdem jibqgħu vulnerabbli mingħajr backport ikkonfermat, u patch ma jneħħix softwer malizzjuż introdott qabel.
Għaliex il-websajts tal-awtoritajiet kienu offline?
Skont rapporti tal-midja, fost l-oħrajn il-belt ta' Mainz u diversi entitajiet fil-Hessen għalqu l-websajts tagħhom b'mod prekawzjonarju. Dan jikkorrispondi mar-rakkomandazzjoni tal-BSI għal servers li ma jistgħux jiġu aġġornati minnufih. Għeluq ma jfissirx li seħħ attakk.
Hemm sinjali ta' rikonoxximent għal attakk ta' PHP2Shell?
Indicators of Compromise ippubblikati u kkonfermati s'issa ma hemmx. Ir-rikonoxximent jistrieħ fuq analiżi tal-imġiba, pereżempju fuq proċessi ta' PHP li jibdew shell jew fuq fajls ġodda ta' PHP f'folders tal-upload.