Na kratko: BSI (nemški zvezni urad za informacijsko varnost) je za PHP2Shell razglasil opozorilno stopnjo 3 (oranžna). Priporočilo je nedvoumno: PHP takoj posodobite in, če to ni takoj mogoče, prizadete spletne strežnike začasno odklopite z omrežja. BSI je računal na hitro obsežno izkoriščanje; potrjeni uspešni napadi v širini sprva niso bili znani.
Opozorilo BSI o PHP na kratko
Zvezni urad za informacijsko varnost (BSI) je osrednji strokovni organ za kibernetsko varnost v Nemčiji. Za PHP2Shell je objavil opozorilo stopnje 3 (oranžna). Povod sta dve kritični ranljivosti v samem PHP: CVE-2026-109618 in CVE-2026-109619, obe s CVSS v4.0 ocenjeni z 9,2. Napadalcem omogočata izvajanje škodljive kode na strežniku brez prijave.
Ključne izjave opozorila je mogoče povzeti takole:
| Izjava | Pomen za upravljavce |
|---|---|
| Opozorilna stopnja 3 / oranžna | resen položaj, ukrepanje potrebno |
| Priporočena takojšnja posodobitev | namestiti odpravljene različice PHP |
| Sicer začasno z omrežja | dosegljivost podrediti zaščiti |
| Pričakovano hitro obsežno izkoriščanje | ne čakati na prva poročila o škodi |
| Uspešni napadi v širini sprva niso potrjeni | ni razloga za pomirjanje |
Vsakokratno aktualno različico najdete na spletni strani BSI.
Kaj „takoj posodobiti“ praktično pomeni
Projekt PHP je 21. 10. 2026 ob 14:00 UTC (ob 16. uri po nemškem času) objavil odpravljene različice: PHP 8.5.12, 8.4.27, 8.3.36 in 8.2.35. Za PHP 8.1 in starejše uradnih posodobitev ni več, samo minimalni backporti izvorne kode za 7.4, 8.0 in 8.1.
Posodobitev je učinkovita šele, ko so vsi procesi PHP znova zagnani. Same nove datoteke ne zadoščajo, dokler v pomnilniku tečejo stari delavci. Poleg tega velja: distribucije in ponudniki gostovanja popravke deloma namestijo kot backport. Takrat Plesk na primer še naprej prikazuje 8.2.34, čeprav je popravljeno. Odločilna sta stanje paketov in potrditev ponudnika. In posodobitev CMS, na primer WordPress, ranljivosti PHP ne zapre.
Če posodobitev ni takoj mogoča
Za ta primer BSI priporoča, da spletne strežnike začasno odklopite z omrežja. To je ostrejši ukrep, a jasen. Za mnoga podjetja je načrtovan izpad nekaj ur manj škodljiv kot vlom z odtokom podatkov.
php.net dodatno navaja vmesne ukrepe, ki tveganje zmanjšajo, a izrecno ne nudijo popolne zaščite. Sem sodijo session.upload_progress.enabled=0 v konfiguraciji strežnika, omejene vrednosti post_max_size, omejitve pomnilnika prek vsebnikov ali cgroups in pri PHP 8.5 fatal_error_backtraces=0, vsakič z naknadnim ponovnim zagonom vseh delavcev. Podrobnosti so na strani Takojšnji ukrepi brez popravka.
Če javno dosegljiv spletni strežnik še teče z nepopravljenim PHP in brez vmesnih ukrepov, iz priporočila BSI sledi: strežnik odklopite z omrežja, dokler posodobitev ni nameščena in vsi procesi znova zagnani.
Umestitev položaja
BSI s svojo oceno ni sam. Cloudflare je poročal o opaženih poskusih napadov in uvedel zaščitna pravila, vendar opozarja, da pravila samo na podlagi podatkov zahteve ne zadoščajo. Palo Alto Networks (Unit 42) je naštel več kot 22,6 milijona izpostavljenih, potencialno ranljivih instanc. Po poročilih medijev je bil prvi poskus napada opažen že 17. 10. 2026, torej pred objavo popravkov.
Za upravljavce iz tega sledi treznost: kdor do danes ni popravil, naj ne samo popravi, temveč tudi preveri, ali se je že kaj zgodilo. Popravek ne odstrani vnesene škodljive programske opreme. Objavljenih, potrjenih indikatorjev ogroženosti (Indicators of Compromise) ni; zaznavanje temelji na analizi vedenja. Strokovni tisk svetuje hranjenje dnevnikov strežnika od 20. 10. 2026 naprej. Napotki za iskanje so na strani Ali so me že vdrli?.
Kaj priporočilo pomeni za odgovorne
Opozorilo BSI ni zakon. Je pa ocena pristojnega strokovnega organa in lahko pri poznejšem vrednotenju odločitev igra vlogo, na primer pri zavarovalnicah ali revizorjih. Poslovodstva naj zato dokumentirajo, kdaj so za opozorilo izvedela, kako so ocenila lastne sisteme in katere ukrepe so sprejela. Splošni napotki so na strani Odgovornost poslovodstva; to ni pravno svetovanje.
V praksi se opozorila ne splača prebrati samo enkrat. BSI svoja sporočila posodablja, ko se položaj spremeni, na primer ob novih spoznanjih o izkoriščanju ali o drugih ranljivostih. Od 23. 10. 2026 obstaja poleg tega opozorilo php.net o CVE-2026-115560, ki zadeva samo nenavadne konfiguracije in se prav tako omili z session.upload_progress.enabled=0. Imenujte osebo, ki do zaključka položaja vsak dan preverja BSI in php.net ter spremembe posreduje tehniki in vodstvu. Tako ne nastane razlika v znanju med tistimi, ki odločajo, in tistimi, ki izvajajo.
Kako PHP SOS konkretno pomaga?
- Vaše spletne strežnike uskladimo s priporočilom BSI: različica, stanje paketov, ponovni zagon, dosegljivost.
- V okviru nujne pomoči PHP2Shell popravimo, znova zaženemo vse procese in dostavimo dokazilo.
- Kjer posodobitev ni takoj mogoča, nastavimo vmesne ukrepe in po potrebi zagotovimo statično nadomestno stran.
- Dnevnike zavarujemo in preverimo sledi, da lahko po popravku zanesljivo ocenite stanje.
Pogosta vprašanja
Kaj pomeni opozorilna stopnja 3 (oranžna) pri BSI?
Barva opisuje povečano, resno grožnjo s potrebo po ukrepanju. Pri PHP2Shell BSI to utemeljuje s kritičnostjo ranljivosti in pričakovanim hitrim izkoriščanjem. Natančno opredelitev stopenj najdete na spletni strani BSI.
Ali moram upoštevati priporočilo BSI?
Opozorilo BSI je priporočilo, ne zakon. Je pa pomembna ocena pristojnega strokovnega organa, po kateri se lahko ravnajo zavarovalnice, revizorji in sodišča. Kdor odstopa, naj razloge dokumentira. To ni pravno svetovanje.
Ali je bilo po navedbah BSI že kaj uspešnih napadov?
Potrjeni uspešni napadi v širini po navedbah BSI sprva niso bili znani. BSI pa je računal na hitro obsežno izkoriščanje. Drugi viri so že poročali o poskusih napada.
Kje najdem aktualno različico opozorila?
Na spletni strani BSI med aktualnimi varnostnimi opozorili. Stanje se lahko spremeni; tam in na php.net redno preverjajte najnovejše stanje.