# PHP2Shell: slika stanja prvega tedna

> PHP2Shell aktualno: kaj je dokazano po enem tednu, kako stanje ocenjujejo BSI in CERT-i, kaj je znano o napadih in kaj naj upravljavci zdaj preverijo.

Vir: https://phpsos.de/sl/blog/lagebild-erste-woche/  
Stanje: 25.10.2026  
Ponudnik: PHP SOS, Nujna pomoč za PHP in varnost strežnikov. Takojšnja pomoč po WhatsAppu: https://wa.me/491736494914?text=Pozdravljeni%2C%20PHP%20SOS%2C%20potrebujemo%20pomo%C4%8D%20z%20na%C5%A1im%20stre%C5%BEnikom%20PHP.%20Podjetje%3A%20%E2%80%A6%20Spletna%20stran%3A%20%E2%80%A6

**Na kratko:** Teden dni po prvem opaženem poskusu napada je PHP2Shell aktualno predvsem vprašanje izvedbe: popravki za PHP 8.2 do 8.5 so na voljo od 21. oktobra, velike distribucije so sledile, BSI (nemški zvezni urad za informacijsko varnost) opozarja s stopnjo oranžno. Poskusi napadov so bili opaženi, potrjenih uspešnih napadov v širšem obsegu BSI sprva ni javil. Odprte ostajajo stare različice, strežniki brez ponovnega zagona in vprašanje, kaj se je zgodilo pred popravkom.

## Stanje v treh stavkih

PHP2Shell sta dve kritični ranljivosti v samem interpreterju PHP, CVE-2026-109618 in CVE-2026-109619, vsaka ocenjena s CVSS v4.0 9,2. Omogočata izvajanje kode od daleč brez prijave, torej primer, ki se ga varnostniki najbolj bojijo. Prizadeti so PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP in LiteSpeed; najvišje tveganje ekipa PHP vidi pri mod_php.

Ta pregled razvršča stanje na 25. oktober 2026 po akterjih. Potek dan za dnem najdete v [kronologiji PHP2Shell](https://phpsos.de/sl/ratgeber/php2shell-chronologie/), tukaj gre za celotno sliko.

## Kaj je po enem tednu dokazano

Zanesljive so navedbe projekta PHP: izdaje 8.5.12, 8.4.27, 8.3.36 in 8.2.35 z 21. oktobra zapirajo obe ranljivosti. Za PHP 7.4, 8.0 in 8.1 obstajajo samo minimalni backporti izvorne kode, ne uradne izdaje. php.net poudarja, da popolnih prehodnih ukrepov ni in da je posodobitev edina varna pot.

23. oktobra je prišlo obvestilo o CVE-2026-115560. Zadeva samo nenavadno konfiguracijo sej; kot pomoč php.net navaja `session.upload_progress.enabled=0` do naslednje redne izdaje s popravki napak.

Tudi velike distribucije so zavzele stališče. Uradna obvestila smo preverili:

| Ponudnik | Stanje po uradnem obvestilu |
|---|---|
| Ubuntu | USN-8948-1 za 22.04, 24.04, 26.04 in 26.10; USN-8948-2 za 14.04 do 20.04 prek Ubuntu Pro |
| Debian | Popravljeni paketi za bookworm (php8.2, DLA-4848-1) in trixie (php8.4, DSA-6574-1) |
| Red Hat | Bilten RHSB-2026-013 za RHEL 7 do 10; nekatere posodobitve na voljo, druge v delu |

Red Hat CVE-2026-109618 z lastno oceno uvršča kot „Important“ in to utemeljuje z višjo kompleksnostjo napada. To je drugačna metoda ocenjevanja kot pri projektu PHP in ni razlog za odlaganje posodobitve.

## Kako uradi ocenjujejo stanje

BSI je razglasil opozorilno stopnjo 3 / oranžna. Priporoča takojšnjo posodobitev in, če to ni takoj mogoče, začasen umik prizadetih spletnih strežnikov z omrežja. BSI je računal s hitrim obsežnim izkoriščanjem. Kaj uvrstitev pomeni, pojasnjuje stran [Kaj BSI priporoča glede PHP2Shell](https://phpsos.de/sl/compliance/bsi-empfehlungen/).

Po poročilih CERT-EU meni, da so lahko prizadete različice od PHP 5 naprej, in svetuje izolacijo javno dostopnih aplikacij, če jih ni mogoče posodobiti v kratkem. Opozorila sta objavila tudi CERT-Bund (nemški vladni CERT) in varnostno podjetje Huntress.

Priporočilo, da se po potrebi izklopi, je bilo vidno izvedeno. Po medijskih poročilih je mesto Mainz svoj osrednji spletni portal preventivno umaknilo z omrežja; uradi so ostali dosegljivi po telefonu in e-pošti. V Hessnu so bile po hessenschau začasno brez povezave strani deželne vlade, BKA (nemški zvezni kriminalistični urad) ter mest Kassel in Wiesbaden. Deželna kancelarija ni javila napada, strani so bile zvečer spet dosegljive. Tudi druge občine, visoke šole in klinike so po poročilih ravnale podobno.

## Kaj je znano o napadih

Tukaj je ločitev med opazovanjem in potrditvijo še posebej pomembna.

- **Opaženo:** Po medijskih poročilih je bil 17. oktobra prvi poskus napada, ki ga je opazil Amazon. Cloudflare in Patchstack sta poročala o poskusih napadov; Cloudflare je poleg tega videl spremenjene vzorce napadov.
- **Poustvarjeno:** watchTowr je CVE-2026-109618 po poročilih po lastnih navedbah poustvaril.
- **Nepotrjeno:** BSI sprva ni javil potrjenih uspešnih izkoriščanj v širšem obsegu. Huntress ob času svojega obvestila v partnerskih okoljih ni videl napadov.
- **Neznano:** Objavljenih in potrjenih indicators of compromise ni. Kdor želi preveriti, ali je strežnik prizadet, mora biti pozoren na vzorce vedenja.

O obsegu krožita dve števili. Raziskovalci Unit 42 pri Palo Alto Networks so prišli do več kot 22,6 milijona potencialno ranljivih primerkov, dosegljivih z omrežja. CybelAngel navaja okoli 2,24 milijona dosegljivih gostiteljev PHP, od teh po lastnem vrednotenju 59 odstotkov na različicah brez prihajajočega uradnega popravka. Obe merita različne stvari in nista neposredno primerljivi. Uvrstitev ponuja prispevek [Števila pravilno uvrstiti](https://phpsos.de/sl/blog/exponierte-instanzen-einordnen/).

## Kaj je odprto

Tri vprašanja določajo prihodnje tedne:

1. **Stare različice:** Velik del dosegljivih namestitev PHP po omenjenih vrednotenjih teče na vejah brez uradnega popravka. Ali komercialne ponudbe dolgoročne podpore pokrivajo PHP2Shell, je treba vsakokrat pisno potrditi pri ponudniku.
2. **Nepopolne posodobitve:** Novi paketi delujejo šele, ko so vsi procesi PHP znova zagnani. Red Hat izrecno opozarja, da zgolj ponovno nalaganje ne zadošča.
3. **Čas pred popravkom:** Med 17. in 21. oktobrom so bili strežniki ranljivi, medtem ko so poskusi napadov že tekli. Popravek ne dokazuje, da se v tem času ni zgodilo nič.

> **Pomembno:**
> Hranite loge spletnega strežnika in PHP od 20. oktobra, kot priporoča strokovni tisk. Brez logov na najpomembnejše odprto vprašanje za vaš strežnik pozneje ni več mogoče odgovoriti.

## Kaj naj upravljavci zdaj preverijo

Za lastno oceno stanja zadostujejo štiri kontrolne točke na strežnik: Ali je PHP na odpravljenem stanju ali potrjenem backportu? Ali vsi procesi tečejo od posodobitve? Ali je `session.upload_progress.enabled` na strežniku izklopljen, dokler advisory za CVE-2026-115560 manjka? Ali so od 17. oktobra kakšne nepravilnosti?

Za zadnjo točko pomaga stran [Ali sem že kompromitiran?](https://phpsos.de/sl/php2shell/bin-ich-gehackt-anzeichen/). Proces spletnega strežnika, ki zažene lupino, nove datoteke PHP v mapah za nalaganje, neznani cronjobi ali ključi SSH so opozorilni znaki, ki upravičujejo natančnejšo preiskavo.

## Kako konkretno pomaga PHP SOS?

- Stanje popravkov vsakega strežnika ocenimo na podlagi stanja paketa, changeloga in časov zagona procesov.
- Kjer popravka ni na voljo, uvedemo prehodne ukrepe s php.net in razjasnimo pot do podprte različice.
- Varnostno shranimo loge od 20. oktobra in iščemo sledi iz časa pred popravkom.
- S [takojšnjo pomočjo PHP2Shell](https://phpsos.de/sl/leistungen/php2shell-soforthilfe/) te korake združimo za podjetja, ki hitro potrebujejo jasnost.


## Pogosta vprašanja

**Ali se PHP2Shell že aktivno izkorišča?**  
Cloudflare in Patchstack sta poročala o poskusih napadov. Potrjenih uspešnih napadov v širšem obsegu BSI sprva ni javil. Huntress ob času svojega obvestila v partnerskih okoljih ni videl napadov.

**Ali je nevarnost po popravkih mimo?**  
Ne. Popravki ščitijo samo strežnike, ki so jih namestili in znova zagnali vse procese PHP. Sistemi na PHP 8.1 in starejšem ostanejo brez potrjenega backporta ranljivi, popravek pa ne odstrani predhodno vnesene škodljive programske opreme.

**Zakaj so bile spletne strani uradov brez povezave?**  
Po medijskih poročilih so med drugim mesto Mainz in več služb v Hessnu svoje spletne strani preventivno izklopili. To ustreza priporočilu BSI za strežnike, ki jih ni mogoče takoj posodobiti. Izklop ne pomeni, da je napad potekal.

**Ali obstajajo znaki za prepoznavanje napada PHP2Shell?**  
Objavljenih in potrjenih indicators of compromise doslej ni. Prepoznavanje temelji na analizi vedenja, na primer na procesih PHP, ki zaženejo lupino, ali na novih datotekah PHP v mapah za nalaganje.

## Viri

- [php.net: varnostna obvestila](https://www.php.net/)
- [BSI](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)
- [hessenschau: Behörden-Webseiten in Hessen abgeschaltet](https://www.hessenschau.de/panorama/sicherheitsluecke-zahlreiche-behoerden-webseiten-in-hessen-abgeschaltet-v2,sicherheitsprobleme-hacker-webseiten-100.html)
- [Ubuntu Security Notice USN-8948-1](https://ubuntu.com/security/notices/USN-8948-1)