Kort sagt: CERT-EU rekommenderar enligt rapporter att kartlägga PHP-installationer, patcha direkt och isolera publikt nåbara applikationer om de inte kan patchas i närtid. CERT-Bund och BSI (den tyska federala myndigheten för informationssäkerhet) rekommenderar i sin varning omedelbar uppdatering och, om det inte går, att tillfälligt ta berörda webbservrar offline. Rekommendationerna sammanfaller i kärnan: uppdatering först, isolering som nödlösning, tillfälliga åtgärder bara som komplement.
Vem varnar, och för vem?
Vid PHP2Shell har flera officiella instanser reagerat inom några timmar. För företag i Europa är BSI med sitt datorberedskapsteam CERT-Bund en första adress. CERT-EU är cybersäkerhetstjänsten för EU:s institutioner; dess anvisningar riktar sig först till dem men läses i hela Europa. Enligt BleepingComputer har även det brittiska National Cyber Security Centre varnat. Från näringslivet hörde bland andra Huntress och Cloudflare av sig.
För er som driftansvariga är ursprunget mindre viktigt än överensstämmelsen. När flera oberoende instanser rekommenderar samma sak är det en stark signal.
CERT-Bund, CERT-EU och fler: PHP-varningarna i jämförelse
| Instans | Kärnrekommendation | Särdrag |
|---|---|---|
| BSI / CERT-Bund | uppdatera direkt, annars ta webbservern tillfälligt offline | varningsnivå 3 / orange |
| CERT-EU | kartlägga PHP-installationer, patcha direkt, annars isolera publika applikationer | ansåg enligt rapporter att versioner från PHP 5 kan vara berörda |
| UK NCSC | uppdatera direkt eller ta berörda system offline till patchen | enligt BleepingComputer |
| php.net | uppdatera till 8.5.12, 8.4.27, 8.3.36 eller 8.2.35, tillfälliga åtgärder bara som delskydd | primärkälla för versioner och inställningar |
Ingen av instanserna rekommenderar att enbart förlita sig på en Web Application Firewall eller på inställningar i php.ini. Alla nämner uppdateringen som den egentliga lösningen. Vad BSI därutöver rekommenderar i detalj står på sidan Vad BSI rekommenderar om PHP2Shell.
Versionsfrågan: vad ”från PHP 5” betyder
CERT-EU ansåg enligt rapporter att versioner från PHP 5 kan vara berörda. Instansen stödde sig då enligt facktidningarna på information som cirkulerade före den officiella anmälan. Facktidningarna talar om nästan alla versioner ända tillbaka till PHP 5.4.
I praktiken ändrar den exakta gränsen lite. För PHP 8.1 och äldre levererar PHP-projektet inga officiella uppdateringar längre. Det finns minimala backports i källkoden för 7.4, 8.0 och 8.1, men inga releaser. Den som fortfarande kör PHP 5 eller 7 är hänvisad till distributioner, tredjepartsleverantörer eller en migrering. Om er distribution har levererat en rättning visar deras egna säkerhetssidor, till exempel Debian Security Tracker, Ubuntu Security Notices eller Red Hats anvisningar. Kommersiella långtidserbjudanden för gamla PHP-versioner finns också; om de täcker PHP2Shell bör ni låta leverantören bekräfta skriftligt. Detaljer om grenarna finns under Vilka PHP-versioner berörs? och PHP 8.1 och äldre.
Isolera: så genomför ni rekommendationen
”Isolera” låter abstrakt. Det som menas är att förfrågningar från internet inte längre når den sårbara PHP-applikationen. Beroende på applikation finns flera steg:
- Stänga av helt: Webbplatsen ersätts av en statisk nödsida utan PHP. Det är det säkraste alternativet.
- Begränsa åtkomsten: Applikationen förblir i drift men är bara nåbar via VPN eller för fastställda IP-adresser, till exempel för interna portaler.
- Förkopplad inloggning: En inloggning på webbserver- eller proxynivå framför applikationen. Observera: vid mod_php har en exploit visats innan applikationskod körs. Inloggningen måste därför gälla före PHP, inte i applikationen.
- Spärra direktåtkomst till ursprungsservern: Den som använder en proxy- eller CDN-tjänst bör säkerställa att servern inte dessutom är direkt nåbar.
En begränsning i webbservern kan se ut så här, som ofarlig konfiguration för Apache:
# Tillåt åtkomst bara från det interna nätet (anpassa exempelintervallet)
<Location "/">
Require ip 192.0.2.0/24
</Location>
Testa effekten utifrån, till exempel via en mobilanslutning. En isolering som bara kontrollerats i kontorsnätet är ingen kontrollerad isolering.
Isolering är en överbryggning. Fastställ redan när ni isolerar fram till när uppdateringen kommer och vem som installerar den. Annars blir nödlösningen ett permanent tillstånd.
Vad rekommendationerna gemensamt kräver: en inventering
Alla officiella instanser förutsätter att ni vet var PHP körs. Det är just det som fallerar i många företag: mikrosajter från gamla kampanjer, ett bortglömt kundportal, ett testsystem med publik adress, en applikation på en NAS. CERT-EU nämner uttryckligen kartläggningen av PHP-installationerna som första steg.
Bortglömda system hittar ni lättast på tre sätt: era domäners DNS-zoner, listan över utfärdade TLS-certifikat och avtalen med byråer, webbhotell och programvaruleverantörer. Varje post där ingen genast kan säga vad som körs bakom hör hemma på kontrolllistan. Just sådana system är farliga i ett läge som PHP2Shell, eftersom ingen patchar dem och ingen saknar dem om de komprometteras.
En användbar inventering innehåller per system: adress, ändamål, driftansvarig, PHP-version och driftläge, paketens källa och kontaktperson för uppdateringar. Hur ni bygger upp den och håller den aktuell visar inlägget Inventering av alla webbplatser och servrar.
Hur hjälper PHP SOS konkret?
- Kartläggning: Vi tar reda på era publikt nåbara PHP-system och ordnar dem efter risk.
- Patch eller isolering: Vi installerar uppdateringar eller isolerar applikationer som inte kan patchas direkt, och kontrollerar effekten utifrån.
- Gamla versioner: För system med PHP 8.1 och äldre planerar vi tillsammans med er vägen till en nivå med support.
- Bevis: Ni får en dokumentation av de genomförda rekommendationerna per system.
Hur vi för gamla applikationer till versioner med support beskriver tjänsten PHP-migrering för legacy-system.
Slutsats
CERT-EU, CERT-Bund, BSI och PHP-projektet talar med en röst: uppdatera, och där det inte går direkt, isolera. Skillnaderna ligger i detaljer som versionsgränsen. För er praktik räknas det första steget som alla förutsätter: att veta var PHP överallt körs.
Vanliga frågor
Vad är skillnaden mellan CERT-Bund och CERT-EU?
CERT-Bund är datorberedskapsteamet vid BSI (den tyska federala myndigheten för informationssäkerhet) och varnar i Tyskland för sårbarheter. CERT-EU är cybersäkerhetstjänsten för Europeiska unionens institutioner och organ. Båda ger ut rekommendationer som också är användbara för företag.
Vad betyder det att isolera en PHP-applikation?
Applikationen är därefter inte längre fritt nåbar från internet. Det går med en nödsida, med åtkomst bara via VPN eller bestämda IP-adresser eller med fullständig avstängning. Avgörande är att förfrågningar utifrån inte längre når den sårbara PHP-processen.
Berörs enligt CERT-EU även PHP 5-versioner?
CERT-EU ansåg enligt rapporter att versioner från PHP 5 kan vara berörda och stödde sig på information som cirkulerade före den officiella anmälan. Facktidningarna nämner nästan alla versioner ända tillbaka till PHP 5.4. För så gamla versioner finns inga officiella uppdateringar.
Finns det officiella kännetecken för angrepp?
Nej. Hittills finns inga publicerade, bekräftade Indicators of Compromise för PHP2Shell. Upptäckten bygger på beteendeanalys, till exempel webbserverprocesser som startar skal eller nya PHP-filer i uppladdningsmappar.