Atnaujinote PHP? Puiku. O kas, jei į serverį jau įėjo prieš tai?

2026 m. spalio 20–21 d. viešai paskelbta informacija apie dvi kritines PHP spragas — CVE-2026-109618 ir CVE-2026-109619, įvertintas 9,2 balo pagal CVSS. Jos leidžia nuotoliniu būdu vykdyti kodą serveryje be autentifikacijos. PHP veikia didelėje interneto dalyje, todėl rizika liečia ne tik atskiras svetaines, bet ir el. parduotuves, turinio valdymo sistemas, klientų savitarnas, CRM ir bendro naudojimo hostingą. Vis dėlto ne kiekviena PHP svetainė automatiškai pažeidžiama — priklauso nuo versijos, konfigūracijos ir aplinkos.

Kas nutiko?

Pažeidžiamumai susiję su PHP atminties valdymo klaidomis. Tam tikromis sąlygomis užpuolikas gali išnaudoti netinkamą vidinės būsenos tvarkymą ir pasiekti nuotolinį kodo vykdymą.

Techninė informacija apie spragas nutekėjo dar prieš oficialių pataisų paskelbimą. Viešai pasirodė ir išnaudojimo koncepcijos kodas (PoC), o saugumo bendrovės pranešė apie bandymus jas išnaudoti. Todėl negalima laikyti, kad rizika prasideda nuo oficialaus perspėjimo arba kad užpuolikai tik dabar pradeda domėtis šiomis spragomis.

Oficialūs PHP saugumo atnaujinimai paskelbti spalio 21 d. Tačiau atnaujinimas pašalina pažeidžiamumą, o ne anksčiau įvykusio įsilaužimo pasekmes.

Kiek interneto paveikta?

Tikslus pažeidžiamų ir jau kompromituotų sistemų skaičius nėra patikimai nustatytas. Vieši tyrėjų pranešimai rodo didelę atakos paviršiaus apimtį ir aktyvų susidomėjimą šiomis spragomis.

Pavojus ypač aktualus internetui tiesiogiai pasiekiamiems serveriams su pažeidžiamomis PHP versijomis. Sėkmingo išnaudojimo pasekmės priklauso nuo serverio teisių ir izoliacijos: duomenų vagystė, svetainės pakeitimas, kenkėjiško kodo įdiegimas ar prieiga prie kitų sistemų.

Kodėl vien atnaujinimo nepakanka?

Įsivaizduokite, kad serveris turėjo neužrakintas duris. Jūs jas užrakinote, bet nežinote, ar kas nors per jas jau įėjo.

Būtent tokia situacija susidaro po saugumo atnaujinimo. Jei užpuolikas pažeidžiamumą išnaudojo anksčiau, jis galėjo įdiegti papildomą prieigos mechanizmą, sukurti naują paskyrą, pakeisti failus, pavogti prisijungimo duomenis ar palikti kenkėjišką kodą, kuris bus panaudotas vėliau.

Tai, kad svetainė šiuo metu veikia normaliai, o įprasti stebėjimo įrankiai nerodo akivaizdžių problemų, neįrodo, kad sistema nebuvo pažeista. Bet ir atvirkščiai — ne kiekviena sistema jau užkrėsta. Tai nustatoma tik techniniu tyrimu.

Ką būtina padaryti?

• Inventorizuoti sistemas — visas PHP versijas, įskaitant konteinerius, pagalbines svetaines, administravimo sistemas ir trečiųjų šalių produktus.
• Įdiegti saugumo pataisas — palaikomose šakose tai 8.2.35, 8.3.36, 8.4.27 ir 8.5.12. Senesnėms versijoms — tiekėjo pataisos arba migracija į palaikomą versiją.
• Atlikti kibernetinio saugumo auditą — neleistini pakeitimai, nežinomos paskyros, įtartini procesai, suplanuotos užduotys, kenkėjiški failai, neįprasti išoriniai ryšiai.
• Išanalizuoti žurnalus — žiniatinklio serverio, PHP, autentifikacijos, sistemos ir tinklo įvykius: neįprastos užklausos, klaidos, procesų paleidimai, išnaudojimo požymiai.
• Įvertinti galimą ankstesnį kompromitavimą — ne nuo perspėjimo datos, o per visą laikotarpį, kai sistema galėjo būti pažeidžiama, pagal turimų žurnalų aprėptį.
• Patikrinti prieigos duomenis — jei kompromitavimas nustatytas ar pagrįstai įtariamas, keisti API raktus, slaptažodžius, sesijas ir kitas paslaptis.
• Radus įsilaužimo požymių — izoliuoti sistemą ir atlikti incidento tyrimą. Pašalinti rastą failą ar atnaujinti PHP nepakanka, kol nenustatytas mastas ir nepašalintas užpuoliko išlaikytas prieigos būdas.

Ką rekomenduojame KSG klientams?

Nedelskite kreiptis į savo IT paslaugų teikėją ir išsiaiškinti, ar visos jūsų sistemos atnaujintos bei patikrintos. Jei naudojate savo serverį arba bendro naudojimo hostingą, paprašykite patvirtinti ne tik PHP pataisų įdiegimą, bet ir tai, ar buvo įvertinta ankstesnio išnaudojimo rizika. KSG prižiūrimoms svetainėms ir serveriams šį patikrinimą atliekame pagal priežiūros sutartį.

Šaltiniai

• Techninė PHP spragų analizė ir PoC
• ENISA ir Europos kibernetinio saugumo institucijų perspėjimas
• PHP oficialūs saugumo atnaujinimai

← Visos naujienos