Pe scurt: Câte servere sunt afectate de PHP2Shell se poate doar estima. Unit 42 a numărat, potrivit TechTarget, peste 22,6 milioane de instanțe expuse, CybelAngel indică aproximativ 2,24 milioane de hosturi PHP, iar BleepingComputer relatează, cu trimitere la VirusTotal, peste 5,1 milioane. Cifrele măsoară lucruri diferite și de aceea nu se contrazic. Pentru compania dumneavoastră contează o altă cifră: câte sisteme PHP proprii sunt accesibile și câte dintre ele sunt dovedit actualizate.
Punctul de plecare: o cifră face titluri
„22 de milioane de servere în pericol” a apărut pe 21 octombrie 2026 în multe titluri. Cifra provine de la Unit 42, departamentul de cercetare al Palo Alto Networks, și a fost relatată, printre altele, de TechTarget. La scurt timp au circulat alte cifre, uneori de zece ori mai mici.
Cititorii capătă impresia că nimeni nu știe nimic. În realitate, furnizorii numără pur și simplu lucruri diferite cu metode diferite. Cine înțelege acest lucru poate folosi cifrele în loc să se lase derutat de ele.
Câte servere sunt afectate de PHP2Shell? Cifrele pe scurt
| Sursă | Cifră | Ce a fost numărat |
|---|---|---|
| Unit 42 (Palo Alto Networks), potrivit TechTarget | peste 22,6 mil. | instanțe expuse, potențial vulnerabile; metoda nu este explicată în raport |
| VirusTotal, potrivit BleepingComputer | peste 5,1 mil. | hosturi PHP accesibile din internet |
| CybelAngel, pe baza datelor Shodan | aproximativ 2,24 mil. | hosturi care declară PHP în identificatorii lor |
| CybelAngel | 59 % din aproximativ 1,5 mil. | ponderea hosturilor cu versiune vizibilă pe ramuri fără actualizare oficială |
| CybelAngel | aproximativ 740.000 | hosturi care declară PHP, dar își ascund versiunea |
Toate cifrele se referă la situația din jurul datelor de 20 și 21 octombrie. Sunt instantanee și se schimbă cu fiecare actualizare instalată.
De ce numărătorile sunt atât de departe una de alta
Trei efecte explică cea mai mare parte a diferențelor.
Instanță, host, site. Un host este de obicei o adresă IP sau un server. O instanță poate fi un singur serviciu sau un singur site. Pe un server de shared hosting rulează adesea sute de site-uri. CybelAngel însuși atrage atenția: se numără hosturi, nu organizații sau site-uri, iar numărul real de aplicații accesibile este probabil mai mare.
Versiuni ascunse. Multe servere nu dezvăluie versiunea lor PHP, de exemplu pentru că expose_php este dezactivat. Ele lipsesc din statisticile bazate pe versiune. De ce ascunderea este utilă, dar nu înlocuiește protecția, explică articolul despre indicarea versiunii și expose_php.
Backporturi. Distribuțiile și furnizorii de hosting instalează uneori corecții fără a schimba numărul versiunii. Un server care arată în exterior un număr vechi poate fi deci actualizat. Numărătorile pe baza versiunii afișate supraestimează de aceea numărul sistemelor neactualizate. Cum verificați starea reală la dumneavoastră se află la Verificarea versiunii PHP și a nivelului de patch.
Cum apar astfel de numărători
Majoritatea cifrelor se bazează pe servicii de căutare care interoghează continuu internetul și stochează ce comunică serverele despre ele însele. Un server web indică adesea în răspunsurile sale software-ul și versiunea, de exemplu în antetul X-Powered-By. CybelAngel se bazează, potrivit propriei prezentări, pe astfel de identificatori din datele Shodan. Nimic nu este atacat, se citește doar ceea ce este oricum vizibil public.
De aici rezultă o regulă simplă de citire pentru orice cifră nouă din presă. Întrebați: ce a fost numărat, hosturi, instanțe sau site-uri? Când s-a măsurat, înainte sau după 21 octombrie? Și cum a fost determinată versiunea, prin numărul afișat sau printr-un test real? Cine nu poate răspunde la aceste trei întrebări ar trebui să trateze cifra ca pe un ordin de mărime aproximativ, nu ca pe o valoare măsurată.
„Expus” înseamnă accesibil și, după trăsături externe, posibil vulnerabil. Nu înseamnă atacat și nici compromis. BSI nu cunoștea inițial atacuri reușite confirmate pe scară largă.
Ce arată totuși fiabil cifrele
Chiar dacă mărimea variază, numărătorile susțin trei afirmații solide:
- Suprafața de atac este uriașă. Chiar și cea mai mică cifră înseamnă milioane de ținte accesibile. Atacatorii nu trebuie să caute, pot verifica automatizat.
- Versiunile vechi sunt răspândite. Potrivit CybelAngel, 59 la sută dintre hosturile cu versiune vizibilă rulau pe ramuri pentru care proiectul PHP nu publică nicio actualizare oficială. Pentru aceste sisteme nu ajută un patch rapid, ci doar un backport, un terț sau o migrare. Riscurile le descrie ghidul PHP End of Life.
- Problema rămâne mai mult timp. O mare parte dintre sistemele accesibile nu va fi actualizată în câteva zile. Scanările și încercările de atac vor continua de aceea probabil multă vreme.
Stabiliți-vă propria cifră
Cifra mondială este un titlu. A dumneavoastră este o sarcină. Iată cum ajungeți la ea:
- Adunați domenii și subdomenii: din zone DNS, certificate, contracte cu agenții și furnizori de hosting.
- Atribuiți serviciile accesibile: Ce server se află în spatele cărei adrese, cine îl operează?
- Stabiliți starea PHP pentru fiecare sistem: versiune, mod de operare, sursa pachetelor, confirmarea backportului.
- Evaluați rezultatul: actualizat și dovedit, actualizat fără dovadă, neactualizat, necunoscut.
- Închideți golurile: clarificați mai întâi ce este necunoscut, acționați mai întâi asupra a ce este neactualizat.
La final rezultă o listă scurtă în loc de o cifră mare. Cum mențineți inventarul pe termen lung descrie articolul Inventarul tuturor site-urilor și serverelor.
Cum ajută PHP SOS concret?
- Vedere din exterior: Stabilim care dintre sistemele dumneavoastră sunt accesibile din internet și care dintre ele folosesc PHP.
- Vedere din interior: Verificăm nivelul de patch și repornirea pe servere, nu doar versiunea afișată.
- Evaluare: Primiți o listă cu starea fiecărui sistem și o ordine clară.
- Reverificare: La cerere, testăm din exterior după patch dacă situația s-a îmbunătățit conform așteptărilor.
Cum decurge o astfel de verificare descrie Audit de securitate și test de penetrare.
Concluzie
22,6 milioane, 5,1 milioane, 2,24 milioane: cifrele par contradictorii, dar măsoară doar lucruri diferite. Împreună arată că PHP2Shell afectează o suprafață de atac foarte mare și că multe versiuni vechi se află în rețea. Cifra care decide asupra riscului dumneavoastră nu o livrează niciun studiu. Ea rezultă doar din privirea asupra propriilor sisteme.
Întrebări frecvente
Câte servere sunt afectate de PHP2Shell?
Nimeni nu știe exact. Unit 42 de la Palo Alto Networks a numărat, potrivit TechTarget, peste 22,6 milioane de instanțe expuse, potențial vulnerabile. CybelAngel indică aproximativ 2,24 milioane de hosturi accesibile din internet care declară PHP. Cifrele măsoară lucruri diferite și nu sunt direct comparabile.
De ce diferă atât de mult cifrele între ele?
Pentru că sunt numărate lucruri diferite: instanțe, hosturi, adrese IP sau servicii. Pe un host de shared hosting pot exista sute de site-uri. În plus, multe servere nu afișează versiunea PHP, iar altele afișează un număr vechi, deși un backport este instalat.
Înseamnă expus că un server a fost atacat?
Nu. Expus înseamnă doar că un serviciu PHP este accesibil din internet și, după trăsături externe, ar putea fi vulnerabil. Despre atacuri reale, aceste numărători nu spun nimic.
Ce cifră este importantă pentru compania mea?
Numărul propriilor dumneavoastră sisteme PHP accesibile public și câte dintre ele sunt dovedit actualizate. Cifrele mondiale arată amploarea, dar nu înlocuiesc propriul inventar.