Na kratko: Ranljivost PHP preprosto razložena: PHP je programska oprema na spletnem strežniku, ki spletne strani sestavi v trenutku, ko jih nekdo odpre. Pri PHP2Shell PHP v določenih izjemnih primerih ne pospravi čisto, in to lahko napadalci izkoristijo, da brez gesla izvajajo lastne ukaze na strežniku. Pomaga posodobitev PHP s sledečim ponovnim zagonom, ki ju praviloma namesti vaš ponudnik gostovanja ali izvajalec.
Zakaj vsi govorijo ravno o PHP
V novicah je bilo govora o „kritični varnostni ranljivosti“, uradi so umikali spletne strani z omrežja, BSI (nemški zvezni urad za informacijsko varnost) je opozarjal s stopnjo oranžno. Mnogim lastnikom in zaposlenim to zveni grozeče in hkrati nerazumljivo. Kaj je PHP in zakaj zadeva ravno spletno stran lastnega podjetja?
Ta prispevek pojasnjuje stanje brez žargona. Kdor se želi potem poglobiti, najde tehnično uvrstitev pod Kaj je PHP2Shell?.
Kaj PHP pravzaprav počne: podoba iz vsakdana
Predstavljajte si svojo spletno stran kot restavracijo. Gost je obiskovalec, naročilo je odpiranje strani. PHP je kuhinja: sprejme vsako naročilo, vzame sestavine iz skladišča, torej iz podatkovne baze, in pripravi krožnik, torej končno stran.
Da gre hitro, ima kuhinja več kuharjev, ki zaporedoma obdelujejo veliko naročil. Strokovnjaki jim pravijo „workerji“. Po vsakem naročilu naj bo delovno mesto povsem pospravljeno, preden pride naslednje.
Na PHP teče zelo veliko znanih sistemov: WordPress, Shopware, TYPO3, Joomla, Nextcloud in nešteto lastnih razvojev. Kako PHP načeloma deluje, pojasnjuje prispevek Kaj je PHP?.
Ranljivost PHP preprosto razložena: kaj je pri PHP2Shell narobe
PHP2Shell je sestavljen iz dveh napak. Obe imata opraviti s pospravljanjem in obe se pojavita samo v izjemnih okoliščinah.
Prva napaka (CVE-2026-109618): Včasih kuhinji sredi priprave zmanjka prostora. Strokovnjaki pravijo „Out of Memory“, pomnilnik je poln. Delo se prekine, medtem ko je naročilo šele napol pripravljeno. Pri naknadnem pospravljanju PHP nedokončane stvari zmotno šteje za dokončane.
Druga napaka (CVE-2026-109619): Po naročilu na delovnem mestu ostane nekaj, kar bi moralo biti že pospravljeno. Naslednje naročilo pri istem kuharju lahko do tega dostopa, preden je odstranjeno.
V obeh primerih velja: kdor natančno ve, kako to izjemno okoliščino sproži, lahko kuhinjo prisili k početju stvari, ki jih nihče ni naročil. V najslabšem primeru prevzame nadzor nad strežnikom. Gesla za to ne potrebuje. Kako PHP korak za korakom obdela zahtevo, opisuje prispevek o življenjskem ciklu zahteve.
Tehnike vam ni treba razumeti, da ravnate pravilno. Odločilno je eno samo vprašanje za vašega ponudnika gostovanja ali izvajalca: Je PHP na našem strežniku posodobljen in znova zagnan in ali lahko to potrdite pisno?
Najpomembnejši izrazi na hitro
| Izraz | Preprosto razloženo |
|---|---|
| PHP | programska oprema na strežniku, ki spletne strani sestavi ob odpiranju |
| Varnostna ranljivost | napaka, ki jo lahko tujci izkoristijo |
| Številka CVE | po vsem svetu enolična identifikacijska številka varnostne ranljivosti |
| CVSS 9,2 | resnost na lestvici do 10; 9,2 velja za kritično |
| Remote Code Execution | tujci lahko od daleč izvajajo lastne ukaze na strežniku |
| Shell | ukazna vrstica, s katero je mogoče upravljati strežnik |
| Popravek (patch) | posodobitev, ki napako odpravi |
| Backport | popravek, vgrajen v starejšo različico, ne da bi se spremenila številka različice |
| Ponovni zagon | zaustavitev starih procesov PHP, da dejansko dela popravljena različica |
Zakaj posodobitev, ponovni zagon in pregled sodijo skupaj
Ostanimo pri restavraciji. Posodobitev je nov delovni predpis za kuhinjo: odslej se pospravlja tako. Toda kuharji, ki so trenutno v izmeni, delajo naprej po starem predpisu. Šele ko se izmena zamenja, velja novi. Prav to je ponovni zagon: vsi stari procesi PHP se zaustavijo, novi se zaženejo s popravljeno različico. Brez ponovnega zagona posodobitev na strežniku sicer leži, a ne deluje.
In še nekaj kaže ta podoba. Nov delovni predpis preprečuje prihodnje zagate, ne pove pa, ali je v dneh pred tem kdo neopazno bil v kuhinji in kaj skril. Zato po posodobitvi sodi pregled sledi, zlasti če je bil strežnik v času med 17. oktobrom in posodobitvijo dosegljiv.
Kaj naj zdaj storite: trije tipični izhodiščni položaji
Kaj je treba storiti, je odvisno od tega, kje je vaša spletna stran.
- Vaša spletna stran je pri ponudniku gostovanja (shared hosting). Ponudnik gostovanja posodobitev PHP praviloma namesti. Vaša naloga: pridobite pisno potrdilo in v meniju za stranke preverite, ali je nastavljena aktualna različica PHP. Kaj je še vaša naloga, je opisano pod Shared hosting: kaj naredi ponudnik gostovanja in kaj morate storiti vi.
- Vašo spletno stran vzdržuje agencija ali IT-izvajalec. Vprašajte tam, ali je bila posodobitev nameščena in PHP znova zagnan, ter prosite za kratek pregled nepravilnosti.
- Imate lasten strežnik. Potem ste odgovorni vi sami ali vaša IT: posodobiti PHP, znova zagnati vse procese PHP, varnostno shraniti loge od 20. oktobra in preveriti sledi.
V vseh treh primerih velja: posodobitev WordPressa ali drugega sistema na spletni strani ranljivosti ne zapre. In posodobitev ne dokazuje, da se prej ni zgodilo nič.
Kako konkretno pomaga PHP SOS?
- Razumljivo razložiti: V jasnih besedah vam povemo, ali in kako so vaši sistemi prizadeti.
- Pogovor s ponudnikom gostovanja: Na željo stanje popravkov razjasnimo neposredno z vašim ponudnikom gostovanja ali izvajalcem.
- Posodobiti in preveriti: Pri lastnih strežnikih namestimo posodobitev, znova zaženemo PHP in preverimo sledi.
- Zapisati: Dobite kratko dokumentacijo stanja.
Več pod takojšnja pomoč PHP2Shell.
Sklep
PHP2Shell zveni zapleteno, stanje v jedru ni: kuhinja vaše spletne strani v izjemnih primerih ne pospravi pravilno in to je mogoče izkoristiti. Posodobitev to popravi. Vaša naloga je zagotoviti, da je nameščena, aktivirana in dokazana, ter po potrebi dati preveriti, ali je bil prej kdo v kuhinji.
Pogosta vprašanja
Kaj je PHP v preprostih besedah?
PHP je programski jezik, ki dela na spletnem strežniku. Ko odprete stran, jo PHP sestavi prav v tistem trenutku, na primer z aktualnimi izdelki, cenami ali vašo košarico, in jo pošlje v vaš brskalnik.
Ali je moja spletna stran prizadeta, če uporabljam WordPress?
WordPress teče s PHP, zato je strežnik pod njim morda prizadet. Ali je vaša spletna stran ogrožena, je odvisno od stanja PHP na strežniku, ne od različice WordPressa. Vprašajte svojega ponudnika gostovanja ali izvajalca po posodobitvi PHP.
Ali sem lahko kot obiskovalec spletne strani ogrožen?
Ranljivost zadeva strežnike, ne računalnikov obiskovalcev. Če je strežnik prevzet, pa lahko napadalci na primer spremenijo vsebine ali obiskovalce preusmerijo na tuje strani. Zato je posodobitev za upravljavce pomembna.
Kaj pomeni ime PHP2Shell?
Opisuje možno posledico: prek PHP lahko napadalec v najslabšem primeru dobi lupino (shell), torej nekakšno daljinsko upravljanje strežnika. Uradni oznaki sta CVE-2026-109618 in CVE-2026-109619.