Na kratko: PHP ne teče samo na spletnih strežnikih, ampak tudi v spletnih vmesnikih sistemov NAS, požarnih zidov in strokovnih naprav ali v paketih spletnega strežnika, ki ste jih namestili na NAS. Ali je naprava prizadeta zaradi PHP2Shell, lahko pove samo proizvajalec; posodobitev pride prek strojne programske opreme. Vaša naloga je najti te naprave, njihove spletne vmesnike umakniti z interneta in spremljati obvestila proizvajalca.
Zakaj naprave s spletnim vmesnikom sodijo k vprašanju PHP
Ko se govori o PHP2Shell, večina pomisli na spletno stran podjetja ali spletno trgovino. PHP pa je tudi v napravah, ki jih nihče ne dojema kot spletni strežnik. Stojijo v strežniški sobi ali pisarni, imajo spletni vmesnik za upravljanje in pogosto leta delujejo brez pozornosti.
Ranljivosti CVE-2026-109618 in CVE-2026-109619 po php.net zadevata PHP samega v načinih delovanja PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP in LiteSpeed. Če spletni vmesnik naprave uporablja enega od teh načinov z ranljivo različico, tveganje velja tam enako. Razlika: PHP na napravi praviloma ne morete posodobiti sami.
Da se takšni sistemi pozabijo, ima otipljive razloge. Pogosto jih je postavil izvajalec, ki jih že zdavnaj ne oskrbuje več. Posodobitve strojne programske opreme ne tečejo samodejno, ampak zahtevajo klik, ki ga nihče ne naredi. Nekatere naprave pa prinašajo udobne funkcije oddaljenega dostopa, zaradi katerih je spletni vmesnik brez vednosti IT dosegljiv z interneta. Pri varnostni ranljivosti PHP, kot je PHP2Shell, to udobje postane tveganje.
Varnostna ranljivost PHP na NAS in napravah: kateri sistemi pridejo v poštev
Tu navajamo vrste naprav, ne izjav o posameznih modelih. Ali je določena strojna programska oprema prizadeta, piše izključno v obvestilih proizvajalca.
| Vrsta naprave | Kako PHP pride v igro | Kdo posodablja |
|---|---|---|
| NAS s paketom spletnega strežnika | Na NAS upravljate lastne spletne strani ali aplikacije PHP | Proizvajalec dobavi paket PHP, vi ga namestite |
| Distribucije za požarne zidove in usmerjevalnike | Deli upravljavskega vmesnika so napisani v PHP | Proizvajalec prek strojne programske opreme |
| Strokovne naprave s spletnim vmesnikom | npr. telefonske centrale, beleženje delovnega časa, stavbna tehnika, če proizvajalec uporablja PHP | Proizvajalec ali strokovni trgovec |
| Virtualne naprave (appliance) | Prednastavljeni VM z lastnim spletnim vmesnikom | Proizvajalec prek posodobitvene slike |
| Vsebniki na NAS | Aplikacije PHP v vsebnikih Docker | Vi, z novo sliko |
Dva dokazana primera: Synology v Web Station omogoča upravljanje spletnih strani PHP z izbirnimi profili PHP in je napovedal konec podpore za PHP 7.3, 7.4 in 8.0 pod DSM 7.3. Varnostna obvestila družbe Netgate o pfSense opisujejo datoteke PHP in sporočila o napakah PHP v spletnem vmesniku. To kaže samo, da se PHP tam pojavlja, ne da so ti izdelki prizadeti zaradi PHP2Shell.
Inventar: kako najti pozabljene sisteme
Najpomembnejši korak je seznam. Mnoga podjetja natanko vedo, katere spletne strani upravljajo, ne vedo pa, katere naprave imajo spletni vmesnik. Kako je videti trajen inventar, opisuje prispevek Inventar vseh spletnih strani in strežnikov.
- Zajemite omrežje: Združite naprave iz seznama DHCP, pregleda stikal ali požarnega zidu.
- Označite spletne vmesnike: Pri vsaki napravi zapišite, ali se upravlja prek HTTP ali HTTPS.
- Preverite odprta vrata: Naštejte posredovanja vrat in storitve oddaljenega dostopa v usmerjevalniku. Vsak spletni vmesnik, ki je dosegljiv z interneta, gre na vrh.
- Dodelite proizvajalca: Zabeležite model, stanje strojne programske opreme in povezavo do varnostnih obvestil proizvajalca.
- Zajemite lastne storitve: Pakete spletnega strežnika in vsebnike, nameščene na sistemih NAS, navedite posebej.
Prvi namig je mogoče dobiti z neškodljivo poizvedbo po glavah. Ukaz prikliče samo začetno stran in ničesar ne spremeni:
# Prikaz glav strežnika spletnega vmesnika (naslov kot primer)
curl -skI https://nas.intern.example/ | grep -iE "^(server|x-powered-by):"
Če je tam namig na PHP, je to oprijemališče. Če ga ni, to ničesar ne dokazuje, saj številne naprave take podatke namerno skrivajo.
Kaj lahko storite, če sami ne morete popraviti
Pri napravah je popravek pri proizvajalcu. Dosegljivost je pri vas in prav tu je največji vzvod. BSI pri PHP2Shell priporoča, da se spletni strežniki brez posodobitve začasno odklopijo z omrežja; za upravljavske vmesnike naprav to smiselno velja še toliko bolj.
- Umaknite z interneta: Odstranite posredovanja vrat na spletne vmesnike in oddaljeni dostop dovolite samo prek VPN.
- Ločite upravljavsko omrežje: Spletne vmesnike naredite dosegljive samo iz lastnega omrežnega območja za skrbnike. Ozadje v prispevku Zaščita skrbniških območij.
- Izklopite neuporabljeno: Deaktivirajte pakete spletnega strežnika ali aplikacije na NAS, ki jih nihče več ne potrebuje.
- Spremljajte obvestila o strojni programski opremi: Vklopite obvestila o posodobitvah in jih nameščajte hitro, ko jih proizvajalec sprosti.
- Zamenjajte stare naprave: Naprav brez podpore proizvajalca ne uporabljajte več tako, da so dosegljive z interneta, in načrtujte zamenjavo.
Če na NAS upravljate lastne spletne strani PHP, zanje velja enako kot za vsak spletni strežnik: preverite različico, posodobite paket, znova zaženite storitev. Osnove o ranljivosti pojasnjuje stran Kaj je PHP2Shell?.
Če je bila naprava odprta v omrežju
Če je bil spletni vmesnik med 17. in 21. oktobrom dosegljiv z interneta in je naprava prizadeta, je ne smete samo posodobiti. Preverite, ali so bili spremenjeni računi, deljene mape ali preusmeritve, zavarujte razpoložljive dnevnike in spremenite dostopna gesla. Naprava, ki je bila z napadalcem v omrežju, lahko služi kot odskočna deska do drugih sistemov.
Pri požarnih zidovih in usmerjevalnikih je to posebej občutljivo, ker vidijo ves promet. Ob dvomu je ponastavitev na tovarniške nastavitve s čisto novo konfiguracijo zanesljivejša od iskanja posameznih sledi; prej je treba zavarovati dnevnike in konfiguracijo.
Pri NAS se doda vprašanje podatkov. Tam so pogosto pogodbe, kadrovske dokumentacije ali podatki o strankah. Če je napadalec lahko dostopal do naprave, morate razjasniti, ali bi bili lahko prizadeti osebni podatki; tedaj lahko obstaja obveznost prijave po GDPR. To zgodaj uskladite s pooblaščencem za varstvo podatkov, to ni pravno svetovanje.
Kako PHP SOS pomaga konkretno?
- Popis stanja: Z vami zajamemo vse sisteme s spletnim vmesnikom, tudi NAS, naprave in virtualne stroje.
- Preverjanje dosegljivosti: Od zunaj preverimo, kateri vmesniki so dosegljivi z interneta, in predlagamo zaščite. Globlje preverjanje ponuja varnostna revizija s penetracijskim testom.
- Spremljanje stanja pri proizvajalcih: Varnostna obvestila proizvajalcev priredimo vašim napravam in načrtujemo posodobitve.
- Razjasnitev suma: Če je prizadeta naprava stala odprta v omrežju, zavarujemo dnevnike in preverimo sledi.
Pogosta vprašanja
Ali je moj NAS prizadet zaradi PHP2Shell?
To lahko zavezujoče pove samo proizvajalec za vaš model in vašo strojno programsko opremo. Preverite njegova varnostna obvestila in ali na samem NAS upravljate spletne strani PHP, na primer prek paketa spletnega strežnika. Do razjasnitve vmesnik ne sme biti dosegljiv z interneta.
Ali lahko PHP na NAS ali požarnem zidu posodobim sam?
Praviloma ne. PHP je tam del strojne programske opreme ali paketa proizvajalca. Posodobitve prihajajo prek funkcije posodabljanja naprave. Ročni posegi v strojno programsko opremo lahko ogrozijo garancijo in stabilnost.
Ali zadošča, da spletni vmesnik uporabljam samo v lokalnem omrežju?
Tveganje se bistveno zmanjša, a ne odpravi. Računalnik v istem omrežju, ki je že ogrožen, lahko vmesnik še vedno doseže. Bolje je lastno upravljavsko omrežje ali dostop samo prek VPN.
Po čem prepoznam, da naprava uporablja PHP?
Včasih to izdata glava strežnika ali končnica .php v naslovih vmesnika. Če takih namigov ni, to ničesar ne dokazuje. Zanesljivi sta dokumentacija proizvajalca in varnostna obvestila.