Stručne: PHP nebeží len na webových serveroch, ale aj vo webových rozhraniach NAS, firewallov a odborných zariadení alebo v balíkoch webového servera, ktoré ste si na NAS nainštalovali. Či je zariadenie dotknuté PHP2Shell, môže povedať len výrobca; aktualizácia prichádza cez firmvér. Vašou úlohou je tieto zariadenia nájsť, ich webové rozhrania odstrániť z internetu a sledovať hlásenia výrobcov.
Prečo patria zariadenia s webovým rozhraním do otázky PHP
Keď sa hovorí o PHP2Shell, väčšina ľudí myslí na firemný web alebo internetový obchod. PHP je však aj v zariadeniach, ktoré nikto nepovažuje za webový server. Stoja v serverovni alebo v kancelárii, majú webové rozhranie na správu a často roky bežia bez pozornosti.
Zraniteľnosti CVE-2026-109618 a CVE-2026-109619 sa podľa php.net týkajú samotného PHP v spôsoboch prevádzky PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Ak webové rozhranie zariadenia používa jeden z týchto spôsobov so zraniteľnou verziou, platí tam rovnaké riziko. Rozdiel: PHP na zariadení spravidla nemôžete aktualizovať sami.
Že sa na takéto systémy zabúda, má pádne dôvody. Často ich zriadil dodávateľ, ktorý sa o ne už dávno nestará. Aktualizácie firmvéru neprebiehajú automaticky, ale vyžadujú kliknutie, ktoré nikto neurobí. A niektoré zariadenia prinášajú pohodlné funkcie vzdialeného prístupu, ktoré robia webové rozhranie dosiahnuteľným z internetu bez vedomia IT. Pri zraniteľnosti PHP ako PHP2Shell sa z tohto pohodlia stáva riziko.
Zraniteľnosť PHP na NAS a zariadeniach: ktoré systémy prichádzajú do úvahy
Uvádzame tu druhy zariadení, nie výroky o jednotlivých modeloch. Či je konkrétny firmvér dotknutý, uvádzajú výlučne hlásenia výrobcu.
| Druh zariadenia | Ako sa PHP dostáva do hry | Kto aktualizuje |
|---|---|---|
| NAS s balíkom webového servera | Prevádzkujete na NAS vlastné weby alebo aplikácie v PHP | Výrobca dodáva balík PHP, nasadzujete ho vy |
| Distribúcie firewallov a routerov | Časti správcovského rozhrania sú napísané v PHP | Výrobca cez firmvér |
| Odborné zariadenia s webovým rozhraním | napr. telefónne ústredne, evidencia dochádzky, technika budov, ak výrobca používa PHP | Výrobca alebo odborný predajca |
| Virtuálne appliance | predkonfigurované VM s vlastným webovým rozhraním | Výrobca cez aktualizačný obraz |
| Kontajnery na NAS | aplikácie PHP v kontajneroch Docker | vy, cez nový obraz |
Dva doložené príklady: Synology umožňuje vo Web Station prevádzkovať weby v PHP s voliteľnými profilmi PHP a ohlásilo koniec podpory pre PHP 7.3, 7.4 a 8.0 v DSM 7.3. Bezpečnostné hlásenia Netgate k pfSense opisujú súbory PHP a chybové hlásenia PHP webového rozhrania. To len ukazuje, že PHP sa tam vyskytuje, nie že tieto produkty sú PHP2Shell dotknuté.
Inventár: ako nájsť zabudnuté systémy
Najdôležitejším krokom je zoznam. Mnohé firmy presne vedia, ktoré weby prevádzkujú, ale nie, ktoré zariadenia majú webové rozhranie. Ako vyzerá trvalý inventár, opisuje článok Inventár všetkých webov a serverov.
- Zachytiť sieť: Zozbierať zariadenia zo zoznamu DHCP, prehľadu switchov alebo firewallu.
- Označiť webové rozhrania: U každého zariadenia si poznačiť, či sa spravuje cez HTTP alebo HTTPS.
- Skontrolovať sprístupnenia: Vypísať presmerovania portov a služby vzdialeného prístupu v routeri. Každé webové rozhranie dosiahnuteľné z internetu ide na vrch zoznamu.
- Priradiť výrobcu: Zaznamenať model, stav firmvéru a odkaz na bezpečnostné hlásenia výrobcu.
- Zachytiť vlastné služby: Balíky webového servera a kontajnery nainštalované na NAS uviesť osobitne.
Prvý náznak sa dá získať neškodným dopytom na hlavičky. Príkaz len načíta úvodnú stránku a nič nemení:
# Zobraziť hlavičky servera webového rozhrania (adresa ako príklad)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Ak sa tam objaví náznak PHP, je to záchytný bod. Ak chýba, nič to nedokazuje, pretože mnohé zariadenia tieto údaje zámerne potláčajú.
Čo môžete urobiť, ak nemôžete záplatovať sami
Pri zariadeniach je záplata na výrobcovi. Dostupnosť je na vás a práve tam je najväčšia páka. BSI (nemecký Spolkový úrad pre informačnú bezpečnosť) pri PHP2Shell odporúča webové servery bez aktualizácie dočasne odpojiť od siete; pre správcovské rozhrania zariadení to platí analogicky o to viac.
- Odstrániť z internetu: Odstráňte presmerovania portov na webové rozhrania a povoľte vzdialený prístup len cez VPN.
- Oddeliť správcovskú sieť: Sprístupnite webové rozhrania len zo samostatného sieťového segmentu pre administrátorov. Súvislosti v článku Odtienenie administračných oblastí.
- Vypnúť nepoužívané: Deaktivujte balíky webového servera alebo aplikácie na NAS, ktoré už nikto nepotrebuje.
- Sledovať hlásenia o firmvéri: Zapnite upozornenia na aktualizácie a nasaďte ich včas, hneď ako ich výrobca uvoľní.
- Vymeniť staré zariadenia: Zariadenia bez podpory výrobcu už neprevádzkujte tak, aby boli dosiahnuteľné z internetu, a naplánujte výmenu.
Ak na NAS prevádzkujete vlastné weby v PHP, platí pre ne to isté ako pre každý webový server: skontrolovať verziu, aktualizovať balík, reštartovať službu. Základy zraniteľnosti vysvetľuje Čo je PHP2Shell?.
Keď bolo zariadenie otvorene v sieti
Ak bolo webové rozhranie medzi 17. a 21. októbrom dosiahnuteľné z internetu a zariadenie je dotknuté, nestačí ho len aktualizovať. Skontrolujte, či sa nezmenili účty, zdieľané zložky alebo presmerovania, zabezpečte dostupné protokoly a zmeňte prístupové údaje. Zariadenie, ktoré bolo s útočníkom v sieti, môže slúžiť ako odrazový mostík k iným systémom.
Pri firewalloch a routeroch je to obzvlášť citlivé, pretože vidia všetku prevádzku. V pochybnostiach je obnovenie továrenských nastavení s čistou novou konfiguráciou spoľahlivejšie než hľadanie jednotlivých stôp; predtým by ste mali mať zabezpečené protokoly a konfiguráciu.
Pri NAS pribúda otázka dát. Často tam ležia zmluvy, personálne podklady alebo údaje zákazníkov. Ak mal útočník prístup k zariadeniu, musíte vyjasniť, či môže ísť o osobné údaje; vtedy môže existovať oznamovacia povinnosť podľa GDPR. Dohodnite to včas so svojím zodpovedným pracovníkom pre ochranu údajov, nejde o právne poradenstvo.
Ako konkrétne pomáha PHP SOS?
- Zaznamenať stav: Spolu s vami zachytíme všetky systémy s webovým rozhraním, aj NAS, appliance a virtuálne stroje.
- Skontrolovať dostupnosť: Zvonku preveríme, ktoré rozhrania sú dosiahnuteľné z internetu, a navrhneme odtienenie. Hlbšiu kontrolu ponúka bezpečnostný audit s penetračným testom.
- Sledovať situáciu u výrobcov: Priradíme bezpečnostné hlásenia výrobcov k vašim zariadeniam a naplánujeme aktualizácie.
- Objasniť podozrenie: Ak bolo dotknuté zariadenie otvorene v sieti, zabezpečíme protokoly a skontrolujeme stopy.
Časté otázky
Týka sa PHP2Shell môjho NAS?
Záväzne to môže povedať len výrobca pre váš model a váš firmvér. Skontrolujte jeho bezpečnostné hlásenia a to, či na samotnom NAS prevádzkujete weby v PHP, napríklad cez balík webového servera. Kým sa to nevyjasní, rozhranie by nemalo byť dosiahnuteľné z internetu.
Môžem PHP na NAS alebo firewalle aktualizovať sám?
Spravidla nie. PHP je tam súčasťou firmvéru alebo balíka od výrobcu. Aktualizácie prichádzajú cez funkciu aktualizácie zariadenia. Ručné zásahy do firmvéru môžu ohroziť záruku a stabilitu.
Stačí používať webové rozhranie len v lokálnej sieti?
Riziko to výrazne znižuje, ale neodstraňuje. Už kompromitovaný počítač v tej istej sieti sa k rozhraniu stále dostane. Lepšia je samostatná správcovská sieť alebo prístup len cez VPN.
Ako spoznám, že zariadenie používa PHP?
Niekedy to prezradí hlavička servera alebo koncovka .php v adresách rozhrania. Ak takéto náznaky chýbajú, nič to nedokazuje. Spoľahlivá je dokumentácia výrobcu a bezpečnostné hlásenia.