Pe scurt: Faptele dovedite despre PHP2Shell includ cele două numere CVE, evaluarea CVSS v4.0 9.2, versiunile PHP corectate și măsurile provizorii de pe php.net. Este dovedit și nivelul de alertă portocaliu al BSI (Oficiul Federal German pentru Securitatea Informațiilor). Nu sunt dovedite o evaluare CVSS 10, atacuri reușite pe scară largă și o listă de semne de recunoaștere. Cine separă aceste trei niveluri ia decizii mai bune.
De ce este necesară o verificare a faptelor despre PHP2Shell
Aproape nicio vulnerabilitate din ultimii ani nu a produs atât de repede atât de multe titluri. Încă înainte ca echipa PHP să publice actualizările pe 21 octombrie 2026, circulau, potrivit relatărilor, postări de forum, capturi de ecran și pretinse detalii. Au urmat avertismente ale autorităților, bloguri ale producătorilor, numărători ale serverelor expuse și o avalanșă de sfaturi.
Pentru operatori, asta înseamnă: nu orice cifră și nu orice sfat are aceeași calitate. O parte provine din surse primare, o parte din relatări serioase, o parte din speculații. Acest articol sortează ce puteți folosi ca sigur pentru deciziile dumneavoastră. Bazele vulnerabilității în sine le explică pagina Ce este PHP2Shell?.
Ce pondere are fiecare sursă
O ierarhie simplă ajută la citirea oricărui anunț:
- php.net: Proiectul PHP este sursa primară pentru numerele CVE, evaluări, modurile de operare afectate, versiunile corectate și măsurile provizorii. Cum tratează proiectul, în principiu, anunțurile de securitate descrie articolul nostru despre procesul de securitate PHP.
- Autorități: BSI oferă încadrarea situației în Germania și recomandări de acțiune; CERT-EU și CERT-Bund (CERT-ul guvernamental german) le completează.
- Distribuții și furnizori: Debian, Ubuntu, Red Hat, furnizorii de hosting și serviciile de platformă spun cu caracter obligatoriu ceva doar despre propriile pachete și servicii.
- Firme de securitate: Cloudflare, Unit 42, CybelAngel și altele relatează din propriile măsurători. Valoroase, dar fiecare cu metodă proprie.
- Presă și rețele sociale: Bune pentru viteză, slabe la detalii. Afirmațiile de acolo au nevoie de o confirmare de la un nivel superior.
Dovedit, relatat, nedovedit: tabloul de ansamblu
Tabelul următor încadrează cele mai frecvente afirmații. „Dovedit” înseamnă: sursă primară sau autoritate. „Relatat” înseamnă: din presă sau din declarații ale producătorilor, neconfirmat independent.
| Afirmație | Încadrare | Temei |
|---|---|---|
| Două vulnerabilități, CVE-2026-109618 și CVE-2026-109619 | dovedit | php.net |
| Evaluare CVSS v4.0 9.2, critic | dovedit | php.net |
| Evaluare CVSS 10 | nesusținută | potrivit relatărilor, dintr-o postare de forum dinaintea anunțului |
| Corectat în 8.5.12, 8.4.27, 8.3.36, 8.2.35 | dovedit | php.net |
| mod_php cu cel mai mare risc, exploit demonstrat înaintea codului aplicației | dovedit | php.net |
| Aproape toate versiunile până la PHP 5.4 sunt afectate | relatat | presa de specialitate |
| Prima încercare de atac pe 17.10. | relatat | relatări din presă, cu trimitere la Amazon |
| Peste 22,6 mil. instanțe expuse | relatat | Unit 42, potrivit TechTarget |
| Atacuri reușite pe scară largă | nedovedit | potrivit BSI, inițial necunoscute |
| Indicators of Compromise confirmați | nu există | nicio publicare |
| Măsurile provizorii protejează complet | fals | php.net le numește explicit incomplete |
Este izbitor cât de devreme se desprind cifrele de context. Evaluarea 10.0 din postarea de forum a apărut în articole și la zile după aceea, deși echipa PHP publicase de mult 9.2.
Unde se află cu adevărat incertitudinea
Cea mai mare întrebare deschisă nu este tehnică, ci temporală: ce s-a întâmplat între prima încercare de atac relatată și patchul pe fiecare server în parte? Nu există un răspuns general la aceasta. Cloudflare și Patchstack au relatat încercări de atac, watchTowr a reprodus CVE-2026-109618, după propriile declarații. Huntress, la rândul său, nu a observat atacuri în mediile partenerilor la momentul anunțului său.
Aceste afirmații nu se contrazic. Ele descriu fragmente diferite: un mare serviciu proxy, o firmă de securitate pentru pluginuri, o echipă de cercetare și o firmă cu propria bază de clienți. Din ele nu rezultă un tablou de ansamblu.
Similar în privința versiunilor afectate. Pentru 8.2 până la 8.5, situația este clară. Pentru ramurile mai vechi există backporturi minime de cod sursă pentru 7.4, 8.0 și 8.1, dar nu există versiuni oficiale. Ce se află înainte de acestea este, potrivit presei de specialitate, aproape fără excepție afectat. Pentru planificarea dumneavoastră, diferența este mică: un server cu PHP 8.1 sau mai vechi, fără backport confirmat, trebuie tratat ca fiind expus riscului.
Lipsa dovezilor de atac nu este o dovadă de securitate. Deoarece nu există semne de recunoaștere confirmate, un atac asupra unui server anume poate fi evaluat doar printr-o verificare a comportamentului, nu printr-o listă.
Ce deduceți de aici pentru serverele dumneavoastră
Din faptele dovedite rezultă câțiva pași clari. Din cele nedovedite rezultă mai ales prudență.
- Verificați nivelul de patch: versiune corectată sau backport confirmat de furnizor. Numărul de versiune afișat nu este suficient singur.
- Reporniți toate procesele PHP: Fișierele noi au efect abia când nu mai rulează procese vechi.
- Salvați logurile începând cu 20.10.: Presa de specialitate recomandă acest lucru, pentru ca o verificare ulterioară să rămână posibilă.
- Căutați urme: fișiere PHP noi în directoarele de upload, cronjoburi necunoscute, procese ale serverului web cu shell. Pagina Am fost deja compromis? vă ghidează prin verificare.
- Verificați sfaturile: Aplicați sfaturi din forumuri și rețele sociale doar dacă pot fi urmărite până la php.net sau o autoritate. Ce recomandări dăunează în prezent colectează articolul Sfaturi false periculoase despre PHP2Shell.
Pentru comunicarea internă ajută aceeași separare. Cine prezintă conducerii separat „dovedit”, „relatat” și „deschis” evită atât alarmismul, cât și o falsă relaxare.
Cum ajută PHP SOS concret?
- Situația pentru sistemele dumneavoastră: Transpunem faptele dovedite asupra serverelor dumneavoastră și separăm în documentație ce a fost măsurat, ce a fost relatat și ce este deschis.
- Patch și dovadă: Verificăm nivelul pachetelor și repornirea fiecărui serviciu PHP și le consemnăm în scris.
- Verificarea urmelor: Salvăm logurile începând cu 20 octombrie și căutăm comportamente neobișnuite, până când incidentul este încheiat și documentat.
- Încadrare continuă: Încadrăm pentru dumneavoastră anunțurile noi, înainte ca din ele să devină măsuri.
Desfășurarea o descrie asistența de urgență PHP2Shell.
Concluzie
PHP2Shell este serios, iar acest lucru este bine dovedit. Tocmai de aceea merită o privire sobră: sursele primare sunt suficiente pentru toate deciziile importante. Ce circulă dincolo de ele este adesea mai rapid decât exact. Actualizarea, repornirea, salvarea logurilor și căutarea urmelor rămân răspunsul, indiferent ce cifră circulă în acest moment.
Întrebări frecvente
Este PHP2Shell evaluat cu CVSS 10?
Nu. Cifra 10 provine, potrivit relatărilor, dintr-o postare de forum care circula înainte de anunțul oficial. Echipa PHP evaluează ambele vulnerabilități cu CVSS v4.0 9.2. Aceasta este totuși categoria critică.
Există o listă cu semne de recunoaștere pentru atacurile PHP2Shell?
Deocamdată nu. Nu există Indicators of Compromise publicați și confirmați. Cine vrea să verifice dacă un server a fost afectat trebuie să urmărească comportamente neobișnuite, de exemplu procese ale serverului web care pornesc un shell sau fișiere PHP noi în directoarele de upload.
Care este sursa cea mai fiabilă pentru PHP2Shell?
Pentru faptele tehnice, anunțurile de pe php.net; pentru evaluarea situației în Germania, BSI. Relatările din presă și blogurile producătorilor completează tabloul, dar ar trebui marcate ca relatări și citite în raport cu sursa primară.
Sunt cu adevărat afectate toate versiunile PHP începând cu PHP 5?
Situația este dovedită pentru ramurile 8.2 până la 8.5, pentru care există actualizări. Potrivit presei de specialitate, sunt afectate aproape toate versiunile până la PHP 5.4; CERT-EU a considerat, potrivit relatărilor, posibile versiunile începând cu PHP 5. Pentru versiunile mai vechi nu există actualizări oficiale, de aceea ar trebui să le tratați în orice caz ca fiind expuse riscului.