PHP2Shell: ārkārtas drošības ielāps jūsu mājaslapai šodien

Kas notika

2026. gada 21. oktobrī PHP komanda izlaida ārkārtas drošības atjauninājumus: PHP 8.5.12, 8.4.27, 8.3.36 un 8.2.35. Tie novērš divas kritiskas ievainojamības ar kopējo nosaukumu "PHP2Shell" - CVE-2026-109618 un CVE-2026-109619. Par tām brīdina gan PHP drošības ziņojums, gan CERT-EU Security Advisory 2026-018, un to apstiprina arī Rapid7, Tenable un Help Net Security.

Abām ievainojamībām ir CVSS v4.0 vērtējums 9.2 no 10, un abas ļauj uzbrucējam attālināti izpildīt kodu bez autorizācijas. Pirmā ir atmiņas bojājums, kad PHP apstrādā atmiņas izsīkumu (memory_limit), piemēram, ar speciāli veidotiem formu vai failu augšupielādes pieprasījumiem. Otrā ir novecojis iekšējais stāvoklis, kas paliek starp pieprasījumiem un var tikt izmantots nākamajā pieprasījumā. Drošības pētnieki jau ziņo par novērotiem uzbrukumu mēģinājumiem.

Ko tas nozīmē Latvijas uzņēmumiem

Apdraudētas visas PHP instalācijas, kas apkalpo tīmekļa pieprasījumus: PHP-FPM, Apache mod_php, php-cgi, FrankenPHP un LiteSpeed. Ievainojamais kods eksistē kopš PHP 5.4, tātad kopš 2012. gada.

Praksē tas attiecas uz ļoti daudziem uzņēmumiem, jo uz PHP balstās:

• WordPress un WooCommerce mājaslapas un e-veikali;
• Joomla, Drupal un Magento risinājumi;
• Laravel un citi uz pasūtījumu veidoti uzņēmumu portāli, pieteikumu formas un klientu zonas.

Ja jūsu mājaslapa darbojas kā pasūtījumu, pieteikumu vai klientu datu uzkrāšanas vieta, tā ir daļa no uzņēmuma darbības. Veiksmīgs uzbrukums var nozīmēt ne tikai izkropļotu lapu, bet arī piekļuvi datiem un serverim.

Ja jūsu mājaslapa šodien ir lēna vai uz brīdi pazudusi, visticamāk, tas nav jūsu vainas dēļ. Hostingi šobrīd masveidā instalē ielāpus. IONOS savā statusa lapā paziņoja, ka drošības atjauninājumu instalē visās sistēmās, plāno to pabeigt 24 stundu laikā un šajā laikā dažas mājaslapas var būt lēnas vai īslaicīgi nepieejamas. IONOS kā piesardzības soli uz laiku atslēdza arī Nextcloud instances. Tas ir normāls "ugunsdzēšanas" darbs, un labāk to pieņemt mierīgi nekā gaidīt, ka nekas nav jādara.

Kā rīkoties praksē

Atkarībā no tā, kur atrodas jūsu mājaslapa, rīcība atšķiras.

Koplietotais hostings (jūs paši serveri neadministrējat):

• uzrakstiet hostinga atbalstam un pajautājiet, vai ielāps jau uzlikts un uz kādu PHP versiju jūsu konts ir pārslēgts;
• ja atbilde ir "vēl nē", pajautājiet, kad tas tiks izdarīts;
• īsu lēnumu vai nepieejamību šodien nepārprotiet kā savu kļūdu.

VPS vai savs serveris:

• atjauniniet PHP uz 8.5.12, 8.4.27, 8.3.36 vai 8.2.35, atkarībā no tā, kuru atzaru izmantojat;
• pēc atjaunināšanas restartējiet PHP-FPM vai Apache, citādi darbosies vecais process;
• pārbaudiet versiju ar komandu php -v un arī pašā mājaslapas vidē;
• IONOS klientiem ar VPS vai saviem serveriem lūdz atjaunināt PHP pašiem, hostings to jūsu vietā neizdarīs.

Ja esat uz PHP 8.1 vai vecākas versijas:

• šīm versijām oficiāla laidiena nebūs; PHP komanda ir publicējusi tikai minimālus pirmkoda ielāpus versijām 7.4-8.1, un tie paredzēti tiem, kas PHP kompilē paši;
• praktiski tas nozīmē, ka jāpāriet uz PHP 8.2 vai jaunāku;
• pāreju plānojiet nekavējoties, jo vecāka versija vairs nesaņems normālu aizsardzību.

Pirms lielākas versijas maiņas izveidojiet pilnu rezerves kopiju un, ja iespējams, vispirms pārbaudiet to testa vidē. WordPress spraudņi, vecas tēmas un individuāli rakstīts kods var nesaderēt ar jaunāku PHP, tāpēc e-veikalam to nedrīkst darīt pēdējā brīdī un bez plāna.

Ar ko sākt

Sākumā pietiek ar dažiem soļiem, ko var izdarīt šodien:

1. Noskaidrojiet, kur dzīvo jūsu mājaslapa un kurš par to atbild: hostings, izstrādātājs vai jūsu IT.
2. Pārbaudiet PHP versiju hostinga vadības panelī (parasti sadaļā PHP vai Domains/Web).
3. Salīdziniet to ar ielāpotajām versijām: 8.5.12, 8.4.27, 8.3.36, 8.2.35.
4. Ja versija ir vecāka vai neskaidra, sazinieties ar hostingu vai izstrādātāju un prasiet rakstisku apstiprinājumu.
5. Izveidojiet rezerves kopiju, ja tuvākajā laikā būs versijas maiņa.
6. Sastādiet sarakstu ar visām PHP sistēmām uzņēmumā: galvenā mājaslapa, e-veikals, intranets, vecas kampaņu lapas, testa vides. Aizmirstās vietnes bieži ir visneaizsargātākās.

Vidējam termiņam šis gadījums parāda, ka vērts sakārtot arī procesu: kurš seko drošības paziņojumiem, kurš atbild par atjauninājumiem un kā uzņēmums uzzina, ka hostings ir kaut ko mainījis. Tas nav sarežģīti: viens atbildīgais cilvēks, īss pārbaužu saraksts un regulāri atjauninājumu logi. Šādas lietas var arī daļēji automatizēt, piemēram, ar paziņojumiem par versiju neatbilstību.

Svarīgākais šodien: nepanikojiet, bet nekavējieties. Pārbaudiet versiju, pajautājiet hostingam un, ja nepieciešams, ieplānojiet pāreju uz atbalstītu PHP versiju. Ja jums vajag palīdzību sakārtot mājaslapas un uzņēmuma sistēmu uzturēšanu, AI-Lab Space var palīdzēt izveidot skaidru procesu.