Если у вас есть деньги на хорошего специалиста по безопасности, то скорее всего вы уже работаете со мной … закройте эту статью или pažiūrėkite, kaip prie savo svetainės galite prijungti tikrą DI talismaną. Jei pinigų nėra, skaitykite toliau.
Trumpai tariant, PHP aptikta kritinių pažeidžiamumų. Pagal CVSS 4.0 skalę jie įvertinti 9,2 balo iš 10, o tai atitinka kritinį pavojingumo lygį. Tam tikromis sąlygomis jie gali leisti piktavaliams vykdyti komandas serveryje be išankstinio autorizavimo. Apie grėsmę pranešėagentūra Reuters spalio 21 d. Jos duomenimis, problema paveikė infrastruktūrą keliose Europos šalyse, o kai kurios organizacijos nusprendė laikinai išjungti savo svetaines, kad sumažintų galimų kibernetinių atakų riziką.
Problema pavadinta PHP2Shell ir yra susijusi su pažeidžiamumais CVE-2026-109618 bei CVE-2026-109619, kurie gali leisti piktavaliams vykdyti kodą serveryje be autorizavimo. Savo ruožtu Cloudflare įdiegė papildomas apsaugos taisykles. Tačiau ne visi svetainių savininkai gali nedelsdami atnaujinti serverio programinę įrangą.
Tokioje situacijoje svarbu neapsiriboti viena nuostata, o nuosekliai stiprinti apsaugą PHP, prieglobos ir Cloudflare lygmenimis.
1. Pirmiausia atnaujinkite PHP
Patikimiausias būdas išspręsti problemą – įdiegti pataisytą PHP versiją. Remiantis oficialiu kūrėjų pranešimu, pataisos išleistos šioms šakoms:
- PHP 8.5.12;
- PHP 8.4.27;
- PHP 8.3.36;
- PHP 8.2.35.
Jei naudojama ankstesnė kurios nors iš šių šakų laida, būtina atnaujinti į pataisytą versiją arba naujesnę laidą, kurioje yra reikiamos pataisos.
Naujausias rekomendacijas galima rasti oficialioje PHP svetainėje.
Jei prieglobos paslaugų teikėjas nesiūlo išvardytų versijų, nereikėtų tiesiog pereiti prie dar senesnės PHP versijos. Jei naudojama PHP 8.1 ar ankstesnė šaka, būtina pasiteirauti paslaugų teikėjo, ar galima naudoti pataisytas versijas su į jas perkeltomis saugumo pataisomis. Jei tokių versijų nėra, reikėtų planuoti perėjimą prie palaikomos versijos.
Svarbu: WordPress, jo temos ir įskiepių atnaujinimas savaime nepašalina PHP pažeidžiamumų. Pataisa turi būti įdiegta būtent serverio aplinkoje.
2. Jei kol kas neįmanoma atnaujinti PHP
Ne visi svetainių savininkai gali savarankiškai keisti serverio nuostatas. Įprastame virtualiajame priegloboje PHP versiją ir jos veikimo parametrus gali kontroliuoti paslaugų teikėjas.
Tokiu atveju būtina kuo greičiau kreiptis į pagalbos tarnybą ir išsiaiškinti:
- kuri PHP versija naudojama svetainėje;
- ar įdiegtos CVE-2026-109618 ir CVE-2026-109619 pataisos;
- ar dabartiniam planui prieinama pataisyta versija;
- kokias laikinas apsaugos priemones galima taikyti iki atnaujinimo.
Jei paslaugų teikėjas negali pateikti pataisytos versijos, reikėtų paprašyti, kad jis pasiūlytų saugų perkėlimo variantą. Nereikėtų savarankiškai keisti kritinių PHP parametrų, nesuprantant jų įtakos svetainės veikimui.
Serverių administratoriams PHP kūrėjai taip pat aprašė laikinas priemones, mažinančias tam tikrų pažeidžiamumo išnaudojimo scenarijų riziką. Tarp jų – HTTP užklausų ir įkėlimų dydžio ribojimas, mechanizmo išjungimas session.upload_progress ir kai kurios papildomos klaidų apdorojimo nuostatos.
Šiuos parametrus reikia keisti atsargiai. Pavyzdžiui, pakeitus memory_limit arba apribojus įkėlimą gali sutrikti svetainės veikimas. Juos reikėtų taikyti atsižvelgiant į oficialias PHP rekomendacijas ir serverio konfigūraciją.
Nė viena iš išvardytų priemonių neužtikrina visiško pažeidžiamumų pašalinimo. Išsamios rekomendacijos paskelbtos svetainėje php.net.
3. Patikrinkite Cloudflare apsaugą
Cloudflare pranešė įdiegusi specialias žiniatinklio programų užkardos (WAF) taisykles, skirtas apsaugoti nuo PHP2Shell. Bendrovės teigimu, dar prieš viešai paskelbiant informaciją apie pažeidžiamumus ši apsauga tapo prieinama klientams, turintiems aktyvią WAF, įskaitant nemokamo plano naudotojus.
Tai reiškia, kad Cloudflare naudojančių svetainių savininkai pirmiausia turėtų patikrinti esamus nustatymus, o ne savarankiškai kurti atsitiktines taisykles.
Rekomenduojama atlikti šiuos veiksmus:
1 veiksmas. Įsitikinkite, kad svetainės srautas perduodamas per Cloudflare tarpinį serverį.
DNS skiltyje patikrinkite domeno ir padomenio įrašus www. Žiniatinklio įrašams, kurių srautas turi būti nukreipiamas per Cloudflare, turi būti įjungtas tarpinis serveris, žymimas oranžiniu debesėliu.
Tai padeda nukreipti atitinkamą HTTP ir HTTPS srautą per Cloudflare apsaugos infrastruktūrą. Tačiau būtina atskirai įsitikinti, kad tiesioginė prieiga prie serverio neleidžia apeiti šios apsaugos.
2 veiksmas. Patikrinkite WAF taisykles.
Atidarykite Cloudflare valdymo skydelį, pasirinkite domeną ir eikite į Security, tada į Security rules arba Managed rules.
Patikrinkite, ar įjungtas prieinamas Cloudflare valdomų taisyklių rinkinys. Bendrovė pranešė, kad nemokamam planui taisyklės įtrauktos į Cloudflare Managed Free Ruleset.
Neišjunkite galiojančių saugos taisyklių ir be reikalo nekeiskite jų veiksmų. Jei jūsų svetainei prieinamos specialios taisyklės, įsitikinkite, kad jos įjungtos.
3 veiksmas. Stebėkite saugos įvykius.
Skiltyje Security Events arba Security Analytics tikrinkite užblokuotas užklausas, WAF suveikimus ir neįprastą veiklą.
Tačiau nereikėtų kiekvienos užblokuotos užklausos laikyti sėkmingos atakos įrodymu. Žurnalai padeda aptikti įtartinas užklausas, tačiau savaime nepatvirtina, kad serveris buvo nulaužtas.
Daugiau apie apsaugos priemones galite perskaityti oficialiame Cloudflare pranešime apie PHP2Shell.
4. Apribokite galimybę apeiti Cloudflare
Net jei svetainė naudoja Cloudflare, serveris vis tiek gali būti tiesiogiai pasiekiamas pagal IP adresą. Tokiu atveju užklausos gali apeiti WAF ir kitas Cloudflare nustatytas taisykles.
Jei prieglobos paslauga leidžia valdyti prieigą prie serverio, verta apriboti įeinančius HTTP ir HTTPS ryšius, kad į žiniatinklio serverį galėtų kreiptis tik leidžiami šaltiniai, įskaitant dabartinius Cloudflare IP adresų diapazonus.
Prieš keičiant taisykles būtina patikrinti serverio konfigūraciją ir kitas naudojamas paslaugas. Dėl klaidos svetainė gali tapti nepasiekiama arba gali sutrikti el. pašto ir kitų tarnybų veikimas.
Naudojantis virtualiojo prieglobos paslauga, tokį nustatymą paprastai reikia suderinti su paslaugų teikėju.
5. Patikrinkite SSL/TLS
Cloudflare valdymo skydelyje atidarykite skiltį SSL/TLS ir patikrinkite ryšio tarp lankytojo, Cloudflare ir pradinio serverio šifravimo režimą.
Jei serveryje įdiegtas galiojantis sertifikatas, kurio autentiškumą galima patikrinti, rekomenduojama naudoti režimą Full (strict).
Šis režimas apsaugo ryšį tarp Cloudflare ir serverio nuo įvairių rizikų, susijusių su netinkama šifravimo konfigūracija ir sertifikato tikrinimu. Tačiau jis nepašalina PHP pažeidžiamumų ir neatstoja programinės įrangos atnaujinimo.
Nekeiskite režimo aklai: pirmiausia įsitikinkite, kad sertifikatas serveryje sukonfigūruotas tinkamai.
6. Patikrinkite failų įkėlimą ir automatines užklausas
Pažeidžiamumais gali būti pasinaudota siunčiant specialiai suformuotas HTTP užklausas. Todėl verta patikrinti, kokių tipų duomenis ir failus svetainė priima iš lankytojų.
Jei failų įkelti nereikia, šią funkciją galima išjungti. Jei reikia, verta apriboti leidžiamus failų tipus ir įkeliamų failų dydį, taip pat patikrinti serveryje nustatytus užklausų dydžio apribojimus.
Apribojimus reikia taikyti atsižvelgiant į svetainės funkcionalumą. Per griežtos taisyklės gali sutrikdyti komentarų siuntimą, formų veikimą, vaizdų įkėlimą ir duomenų mainus su mobiliosiomis programėlėmis.
Nereikėtų blokuoti visų POST užklausų ar visiškai uždrausti failų įkėlimo, prieš tai neatlikus patikros. Tai nėra universalus problemos sprendimas.
7. Patikrinkite, ar nebuvo bandymų įsilaužti
Įdiegus pataisą pašalinami žinomi pažeidžiamumai, tačiau tai negarantuoja, kad serveris nebuvo pažeistas anksčiau.
Atnaujinus PHP, administratoriai turėtų patikrinti žiniatinklio serverio ir PHP žurnalus, neįprastus failų pakeitimus, naujas paskyras, įtartinus procesus ir netikėtus išeinančius ryšius.
Jei aptikta kompromitavimo požymių, būtina atlikti papildomą tyrimą, pašalinti padarinius ir pakeisti galimai paveiktus slaptažodžius bei prieigos raktus.
Įtarus įsilaužimą, nereikėtų apsiriboti pavienių įtartinų failų pašalinimu: svarbu išsiaiškinti, kaip piktavalis galėjo gauti prieigą ir ar išsaugojo galimybę sugrįžti.
8. Ką svetainių savininkams daryti jau dabar
Kad nepraleistumėte pagrindinių veiksmų, naudokitės šiuo sąrašu:
- Patikrinti PHP versiją serveryje.
- Įdiegti pataisą arba gauti prieglobos paslaugų teikėjo patvirtinimą, kad ji jau įdiegta.
- Jei pataisa nepasiekiama, suderinti laikinąsias apsaugos priemones ir atnaujinimo planą.
- Įsitikinti, kad Cloudflare tarpininkauja svetainės žiniatinklio srautui.
- Patikrinti, ar valdomos WAF taisyklės yra aktyvios.
- Patikrinti SSL/TLS ir galimybę apeiti Cloudflare tiesiogiai prisijungiant prie serverio.
- Peržiūrėti failų įkėlimo ir užklausų dydžio apribojimus.
- Patikrinti žurnalus, ar juose nėra įtartinos veiklos.
Pagrindinis puslapis
Dėl PHP2Shell pažeidžiamumų būtina imtis skubių veiksmų, tačiau nereikia panikuoti ir iš karto išjungti kiekvienos PHP naudojančios svetainės. Būtina įvertinti konkretaus serverio būklę ir taikyti prieinamas apsaugos priemones.
Cloudflare WAF gali sumažinti pažeidžiamumų išnaudojimo riziką, tačiau jis nepakeičia paties PHP pataisymo. Jei prieglobos paslaugų teikėjas kol kas nesiūlo pataisytos versijos, reikėtų su juo susisiekti, išsiaiškinti pataisų diegimo galimybes ir taikyti kūrėjų rekomenduojamas laikinąsias priemones.
Svarbiausias prioritetas – pataisyta PHP versija. Antrasis prioritetas – veikiančios Cloudflare taisyklės ir nereikalingos prieigos prie serverio ribojimas. Būtent šių priemonių derinys leidžia gerokai sumažinti riziką, kol svetainės savininkas ir prieglobos paslaugų teikėjas šalina problemą.
Komentarai0
Palikti komentarą
Įveskite el. pašto adresą – atsiųsime vienkartinį kodą. Be slaptažodžių ir registracijos.
El. pašto adresas reikalingas tik prisijungimo kodui ir pranešimams apie atsakymus siųsti (jų galima atsisakyti paspaudus laiške esančią nuorodą). Jis neskelbiamas ir neperduodamas tretiesiems asmenims. Prisijungus slapukas išsaugomas 30 dienų. Savo paskyroje duomenis galima atsisiųsti arba ištrinti.
Įveskite kodą
Kodas išsiųstas į . Jei laiško negaunate kelias minutes, patikrinkite aplankus „Šlamštas“ ir „Reklamos“.
Viešai rodomas vardas ir komentaro tekstas. El. pašto adresas neskelbiamas.
Noriu tokios komentarų sistemos savo svetainėje