PHP2Shell: 5 jautājumi savam hostingam vai IT atbildīgajam

Kas notika un kāpēc tas skar arī jūs

21. oktobrī tika izlaisti ārkārtas PHP labojumi diviem kritiskiem trūkumiem (CVE-2026-109618 un CVE-2026-109619). Par tiem rakstīja Help Net Security un Malwarebytes. Šie trūkumi ļauj uzbrukt serverim bez pieslēgšanās, un ir ziņas par pirmajiem uzbrukumu mēģinājumiem.

Tas nav iemesls panikai, bet ir iemesls rīkoties šodien. Ja jūsu mājaslapa, interneta veikals vai uzņēmuma sistēma darbojas uz PHP, jums jāzina, vai serverī ir labotā versija. Šis raksts nav ziņu pārstāsts, bet pieci jautājumi, ko varat uzdot savam hostinga uzņēmumam vai IT atbildīgajam.

Labotās versijas ir šādas:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

PHP 8.1 un vecākas versijas vairs netiek atbalstītas, tāpēc tām labojumu nebūs.

Kā tas izskatās uzņēmumā

Tipiska situācija: mājaslapu pirms pāris gadiem izveidoja ārējs izstrādātājs, hostingu apmaksā grāmatvedība, bet par serveri nedomā neviens. WordPress spraudņi tiek atjaunināti, un šķiet, ka viss ir kārtībā.

Tieši te slēpjas pārpratums. WordPress vai spraudņu atjaunināšana PHP neatjaunina. PHP ir servera līmeņa komponente, un to atjaunina hostings vai servera administrators. Ja neviens to nav uzņēmies, versija var gadiem palikt nemainīga.

Tāpat bieži ir vecas vietnes: kampaņas lapa, testa vide, vecā mājaslapas versija. Tās vairs neviens neizmanto, bet tās joprojām darbojas un ir pieejamas internetā.

Risinājums: pieci jautājumi

1. Kāda PHP versija darbojas manā mājaslapā?

Tas ir pamats visam pārējam. Atbildi var iegūt no hostinga vadības paneļa vai no IT atbildīgā. Lūdziet precīzu versijas numuru, piemēram, 8.3.35, nevis vispārīgu atbildi “jaunākā”. Jo precīzāks numurs, jo vieglāk salīdzināt ar labotajām versijām.

2. Vai labojums jau ir uzstādīts (ne tikai ieplānots)?

Atšķirība ir būtiska. “Plānojam atjaunināt šonedēļ” nozīmē, ka labojuma vēl nav. Lūdziet apstiprinājumu, ka serverī jau darbojas labotā versija, un precīzu versijas numuru.

Ja hostings min Cloudflare WAF noteikumus, ņemiet vērā: tā ir tikai pagaidu aizsardzība, nevis labojums. Tā var samazināt risku, kamēr tiek gatavots atjauninājums, bet nevar to aizstāt.

3. Vai visām manām vietnēm, arī vecām un aizmirstām?

Uzrakstiet visu domēnu un apakšdomēnu sarakstu, kas jums pieder. Pajautājiet, vai labojums attiecas uz visiem. Ja uzņēmumam ir vairāki hostingi vai serveri, pārbaudiet katru atsevišķi. Vecās vietnes, kuras vairs nav vajadzīgas, ir labs brīdis izslēgt vai izdzēst.

4. Ja manā versijā labojuma nav - kāds ir plāns un termiņš?

Ja jums ir PHP 8.1 vai vecāka versija, atbilde būs nepatīkama: šai versijai labojuma nebūs. Tad jāpāriet uz atbalstītu versiju. Jāpārbauda arī, vai mājaslapa un spraudņi ar jauno versiju strādās, jo vecāks kods dažkārt prasa pielāgošanu.

Lūdziet konkrētu plānu: kurš to dara, kādā datumā, vai vispirms tiks pārbaudīta testa vidē un kas notiek, ja kaut kas pārstāj darboties. Atbilde “drīzumā” nav plāns.

5. Kurš atbild par PHP atjaunināšanu - jūs vai es?

Tas ir svarīgākais jautājums ilgtermiņā. Daļā hostinga pakalpojumu PHP atjaunina pakalpojuma sniedzējs, citos versiju jāizvēlas pašam klientam, bet serveros bez pārvaldības - administratoram. Pārbaudiet līgumu vai pakalpojuma aprakstu un panāciet skaidru atbildi rakstiski. Ja atbildību nevar nosaukt, tā visticamāk neatrodas nevienam.

Ko tas dod

Pēc šiem pieciem jautājumiem jums būs:

• zināma PHP versija katrai vietnei;
• apstiprinājums, vai labojums ir uzstādīts, vai tikai ieplānots;
• pilns vietņu saraksts, ieskaitot aizmirstās;
• plāns un termiņš tur, kur labojuma vēl nav;
• skaidri sadalīta atbildība turpmākajiem atjauninājumiem.

Pēdējais punkts ir vērtīgākais. Šis gadījums beigsies, bet nākamais kritiskais labojums agri vai vēlu parādīsies. Ja atbildība ir sadalīta jau tagad, nākamreiz jums nebūs jāmeklē vainīgais, bet tikai jāpārbauda izpilde.

Ar ko sākt

Izmantojiet šo īso secību:

• uzrakstiet e-pastu hostingam vai IT atbildīgajam ar šiem pieciem jautājumiem;
• sagatavojiet visu savu domēnu sarakstu, lai nekas netiktu aizmirsts;
• lūdziet atbildi rakstiski, ar versiju numuriem un datumiem;
• ja versija ir PHP 8.1 vai vecāka, uzreiz vienojieties par pārejas plānu;
• pēc tam fiksējiet, kurš turpmāk atbild par PHP atjaunināšanu.

Nav nepieciešams būt tehniskam speciālistam, lai uzdotu šos jautājumus. Pietiek ar to, ka jūs tos uzdodat un saņemat skaidras atbildes.

Nezināt, ko jautāt vai kā pārbaudīt? Palīdzēsim - pirmā saruna bez maksas.

Avoti: Help Net Security, Malwarebytes.