PHP2Shell: ką tai reiškia ir ką daryti

Kitos šio mėnesio spragos: visos spalio spragos →

Kas tai yra

PHP2Shell – pavadinimas, kuriuo vadinamos dvi PHP branduolio (angl. core) klaidos: CVE-2026-109618 ir CVE-2026-109619. Klaida pačiame PHP, todėl gali būti aktuali ir tada, kai svetainės kodas tvarkingas – WordPress, Magento, Laravel, Symfony ar savarankiškai rašyta svetainė. Šaltiniai: Sansec, PHP2Shell, F5 Labs, stebėti išnaudojimo bandymai.

Sansec 2026-10-22 atnaujinime teigia, kad masinis išnaudojimas mažiau tikėtinas, nei baimintasi: vieši įrodomieji pavyzdžiai neveikia numatytoje PHP instaliacijoje. Vis tiek verta atnaujinti.

Kam aktualu

Visiems, kurių serveryje veikia PHP ir kurie nėra įdiegę pataisytos versijos. Pataisytos versijos – 8.5.12, 8.4.27, 8.3.36 ir 8.2.35, išleistos 2026-10-21 (php.net, išleidimai; PHP 8 pakeitimų sąrašas). PHP 8.1 ir senesnėms versijoms oficialaus pataisymo nėra – yra tik Linux paketų tiekėjų atnaujinimai (angl. backports) (Sansec). Palaikomų versijų sąrašas: php.net.

Europos lygiu klausimą aptarė ir ENISA bei nacionalinės CSIRT komandos: bendras pareiškimas.

Kaip patikrinti PHP versiją

• Serveryje: php -v. Atkreipkite dėmesį, kad komandinės eilutės ir svetainės PHP versijos gali skirtis.
• Hostingo valdymo skydelyje: skiltis „PHP versija“ (cPanel, Plesk, DirectAdmin ir kt.).
• Laikinas phpinfo() puslapis rodo tą versiją, kurią naudoja svetainė. Pasižiūrėję failą būtinai ištrinkite – jis atskleidžia daug serverio informacijos.
• Linux paketų tiekėjai kartais pataiso senesnę versiją nekeisdami numerio, todėl versijos numeris ne visada parodo tikrą būseną. Tikslią informaciją rasite savo tiekėjo saugumo pranešimuose.

Ką daryti

• Versijos 8.5, 8.4, 8.3 ar 8.2: atnaujinkite iki 8.5.12, 8.4.27, 8.3.36 arba 8.2.35 (ar naujesnės).
• 8.1 ar senesnė: naudokite savo Linux tiekėjo pataisytą paketą arba pereikite į palaikomą PHP versiją. Prieš perkeldami pasidarykite kopiją ir išbandykite svetainę.
• Antra problema, CVE-2026-115560 (2026-10-23): laikinas sprendimas – session.upload_progress.enabled=0. Pranešta, tikslinama: remiuosi vienu antriniu šaltiniu (Gajanos CIRT, 2026-10-23), tad sekite oficialų php.net pranešimą.
• Jei įtariate, kad svetainė jau užkrėsta: nieko netrinkite, pasidarykite kopiją, pakeiskite slaptažodžius ir parašykite man.

Ši informacija atnaujinta 2026-10-24 ir gali keistis. Prieš veikdami pasitikrinkite aukščiau nurodytus šaltinius.