Pe scurt: La o săptămână după prima încercare de atac observată, PHP2Shell este acum mai ales o chestiune de implementare: patchurile pentru PHP 8.2 până la 8.5 sunt disponibile din 21 octombrie, distribuțiile mari au urmat, iar BSI (Oficiul Federal German pentru Securitatea Informațiilor) avertizează cu nivelul portocaliu. Au fost observate încercări de atac, iar atacuri reușite confirmate pe scară largă nu a raportat inițial BSI. Rămân deschise versiunile vechi, serverele nerepornite și întrebarea ce s-a întâmplat înainte de patch.
Situația în trei propoziții
PHP2Shell sunt două vulnerabilități critice în interpretorul PHP însuși, CVE-2026-109618 și CVE-2026-109619, evaluate fiecare cu CVSS v4.0 9.2. Ele permit execuția de cod de la distanță fără autentificare, adică cazul de care se tem cel mai mult specialiștii în securitate. Sunt afectate PHP-FPM, Apache cu mod_php, php-cgi, FrankenPHP și LiteSpeed; cel mai mare risc îl vede echipa PHP la mod_php.
Această prezentare încadrează starea de la 25 octombrie 2026 pe actori. Desfășurarea zi cu zi o găsiți în cronologia PHP2Shell, aici este vorba despre imaginea de ansamblu.
Ce este dovedit după o săptămână
Sigure sunt informațiile proiectului PHP: versiunile 8.5.12, 8.4.27, 8.3.36 și 8.2.35 din 21 octombrie închid ambele vulnerabilități. Pentru PHP 7.4, 8.0 și 8.1 există doar backporturi minime de cod sursă, nu versiuni oficiale. php.net subliniază că nu există măsuri provizorii complete și că actualizarea este singura cale sigură.
Pe 23 octombrie s-a adăugat o indicație despre CVE-2026-115560. Ea privește doar o configurație neobișnuită a sesiunilor; ca remediu, php.net menționează session.upload_progress.enabled=0 până la următoarea versiune obișnuită de corectare a erorilor.
Și distribuțiile mari au luat poziție. Am verificat anunțurile oficiale:
| Furnizor | Starea conform anunțului oficial |
|---|---|
| Ubuntu | USN-8948-1 pentru 22.04, 24.04, 26.04 și 26.10; USN-8948-2 pentru 14.04 până la 20.04 prin Ubuntu Pro |
| Debian | Pachete corectate pentru bookworm (php8.2, DLA-4848-1) și trixie (php8.4, DSA-6574-1) |
| Red Hat | Buletinul RHSB-2026-013 pentru RHEL 7 până la 10; unele actualizări disponibile, altele în lucru |
Red Hat încadrează CVE-2026-109618 cu o evaluare proprie drept „Important” și motivează aceasta prin complexitate de atac mai mare. Aceasta este o altă metodă de evaluare decât cea a proiectului PHP și nu este un motiv pentru a amâna actualizarea.
Cum evaluează autoritățile situația
BSI a declarat nivelul de alertă 3 / portocaliu. Recomandă actualizarea imediată și, dacă aceasta nu este posibilă imediat, scoaterea temporară din rețea a serverelor web afectate. BSI a anticipat o exploatare rapidă pe scară largă. Ce înseamnă încadrarea explică pagina Ce recomandă BSI despre PHP2Shell.
Potrivit relatărilor, CERT-EU consideră posibil ca versiunile începând cu PHP 5 să fie afectate și recomandă izolarea aplicațiilor accesibile public dacă nu pot fi actualizate în timp util. CERT-Bund (CERT-ul guvernamental german) și compania de securitate Huntress au avertizat de asemenea.
Recomandarea de a opri la nevoie a fost pusă în aplicare vizibil. Potrivit relatărilor din presă, orașul Mainz și-a scos preventiv portalul web central din rețea; primăria a rămas accesibilă telefonic și prin e-mail. În Hessa, potrivit hessenschau, pagini ale guvernului landului, ale BKA (Oficiul Federal German de Poliție Criminală), precum și ale orașelor Kassel și Wiesbaden au fost temporar offline. Cancelaria de Stat nu a raportat niciun atac, iar paginile au fost din nou accesibile seara. Alte comune, universități și clinici au procedat, potrivit relatărilor, similar.
Ce se știe despre atacuri
Aici este deosebit de importantă separarea dintre observare și confirmare.
- Observat: Potrivit relatărilor din presă, a existat pe 17 octombrie o primă încercare de atac, observată de Amazon. Cloudflare și Patchstack au relatat încercări de atac; Cloudflare a observat, în plus, tipare de atac modificate.
- Reprodus: watchTowr a reprodus CVE-2026-109618, potrivit relatărilor, după propriile declarații.
- Neconfirmat: BSI nu a raportat inițial exploatări reușite confirmate pe scară largă. Huntress nu a observat atacuri în mediile partenerilor la momentul anunțului său.
- Necunoscut: Nu există Indicators of Compromise publicați și confirmați. Cine vrea să verifice dacă un server este afectat trebuie să urmărească tipare de comportament.
Despre amploare circulă două cifre. Cercetătorii Unit 42 de la Palo Alto Networks au ajuns la peste 22,6 milioane de instanțe potențial vulnerabile, accesibile din rețea. CybelAngel indică aproximativ 2,24 milioane de hosturi PHP accesibile, dintre care, potrivit propriei analize, 59 la sută pe versiuni fără o corecție oficială viitoare. Ambele măsoară lucruri diferite și nu sunt direct comparabile. O încadrare oferă articolul Încadrarea corectă a cifrelor.
Ce este deschis
Trei întrebări vor determina următoarele săptămâni:
- Versiunile vechi: O mare parte dintre instalările PHP accesibile rulează, potrivit analizelor menționate, pe ramuri fără corecție oficială. Dacă ofertele comerciale pe termen lung acoperă PHP2Shell trebuie confirmat în scris, de fiecare dată, de furnizor.
- Actualizările incomplete: Pachetele noi au efect abia când toate procesele PHP sunt repornite. Red Hat atrage explicit atenția că o simplă reîncărcare nu este suficientă.
- Timpul dinaintea patchului: Între 17 și 21 octombrie, serverele au fost vulnerabile, în timp ce încercările de atac erau deja în curs. Un patch nu dovedește că în acest interval nu s-a întâmplat nimic.
Păstrați logurile serverului web și ale PHP începând cu 20 octombrie, așa cum recomandă presa de specialitate. Fără loguri, cea mai importantă întrebare deschisă pentru serverul dumneavoastră nu mai poate fi clarificată ulterior.
Ce ar trebui să verifice acum operatorii
Pentru propria evaluare a situației sunt suficiente patru puncte de verificare pentru fiecare server: Este PHP într-o versiune corectată sau într-un backport confirmat? Rulează toate procesele de la actualizare? Este session.upload_progress.enabled dezactivat la nivel de server, cât timp advisory-ul pentru CVE-2026-115560 este în așteptare? Există lucruri neobișnuite din 17 octombrie?
Pentru ultimul punct ajută pagina Am fost deja compromis?. Un proces al serverului web care pornește un shell, fișiere PHP noi în directoarele de upload, cronjoburi sau chei SSH necunoscute sunt semnale de avertizare care justifică o investigație mai detaliată.
Cum ajută PHP SOS concret?
- Evaluăm nivelul de patch al fiecărui server pe baza nivelului pachetelor, a changelog-ului și a orelor de pornire a proceselor.
- Acolo unde nu este disponibil niciun patch, setăm măsurile provizorii de la php.net și clarificăm calea către versiunea suportată.
- Salvăm logurile începând cu 20 octombrie și căutăm urme din perioada dinaintea patchului.
- Cu asistența de urgență PHP2Shell reunim acești pași pentru companiile care au nevoie rapid de claritate.
Întrebări frecvente
Este PHP2Shell deja exploatat activ?
Cloudflare și Patchstack au relatat încercări de atac. Atacuri reușite confirmate pe scară largă nu a raportat inițial BSI. Huntress nu a observat atacuri în mediile partenerilor la momentul anunțului său.
Este pericolul trecut după patchuri?
Nu. Patchurile protejează doar serverele care le-au instalat și au repornit toate procesele PHP. Sistemele pe PHP 8.1 și mai vechi rămân vulnerabile fără un backport confirmat, iar un patch nu elimină software malițios introdus înainte.
De ce au fost offline site-urile autorităților?
Potrivit relatărilor din presă, printre altele orașul Mainz și mai multe instituții din Hessa și-au oprit preventiv site-urile. Aceasta corespunde recomandării BSI pentru servere care nu pot fi actualizate imediat. O oprire nu înseamnă că a avut loc un atac.
Există semne de recunoaștere pentru un atac PHP2Shell?
Indicators of Compromise publicați și confirmați nu există deocamdată. Detectarea se bazează pe analiza comportamentului, de exemplu pe procese PHP care pornesc un shell sau pe fișiere PHP noi în directoarele de upload.