NKSC rado apie 100 pažeidžiamų Lietuvos svetainių dėl PHP2Shell

2026 m. spalio 22 d. Nacionalinis kibernetinio saugumo centras (NKSC) buvo aptikęs apie 100 dėl kritinių PHP spragų pažeidžiamų savo stebimų Lietuvos svetainių; LRT pokalbyje su NKSC vadovu Antanu Aleknavičiumi nurodyta, kad spalio 23 d. iš tos grupės „liko tik 36 dar nesutvarkytos“. Tai buvo centro stebimų kibernetinio saugumo subjektų svetainės, o ne visų šalies svetainių surašymas.

Spalio 22 d. paskelbtuose NKSC atsakymuose apie PHP spragas nurodyta, kad PHP naudoja apie 80 proc. Lietuvos svetainių, pažeidžiamoje sistemoje galima vykdyti komandas be tapatybės patvirtinimo, o tikslesnis šalies mastas dar vertintas pakartotiniu skenavimu. Rizika aktuali ir verslui, kuris pats PHP neprogramuoja: ji priklauso nuo svetainę aptarnaujančios aplinkos. Savininkui svarbu sužinoti, kuri PHP laida ten iš tikrųjų veikia ir ar jai pritaikyta saugumo pataisa.

Kuriose PHP laidose spragos ištaisytos

Baltijos PHP2Shell stebėsenoje pataisytomis nurodomos PHP 8.2.35, 8.3.36, 8.4.27 ir 8.5.12 versijos. Tai atskaitos taškai įprastiems PHP leidimams: ankstesnė tos pačios šakos versija neturi šio leidimo pataisos. Senesnėms nei 8.2 šakoms įprasto oficialaus pataisyto leidimo nėra, todėl jų valdytojams ypač svarbu išsiaiškinti, ar naudojamas tiekėjo prižiūrimas paketas su atgal perkelta pataisa.

PHP2Shell pavadinimu apibūdinamos dvi pačiame PHP veikime aptiktos kritinės spragos. Dėl jų pažeidžiamumas gali pasireikšti dar prieš svetainei apdorojant užklausą; pakeisti vien turinio valdymo sistemos papildinį ar svetainės tekstą nepakanka. Jei užpuolikas gali vykdyti komandas, galimas poveikis priklauso nuo PHP proceso teisių, susijusių paslaugų ir toje aplinkoje pasiekiamų duomenų. Todėl ta pati spraga skirtingose svetainėse gali turėti nevienodas praktines pasekmes.

Saugumo atnaujinimas šalina pačią spragą, o prieigos ribojimas ir kitos laikinos priemonės mažina išnaudojimo galimybę, kol pataisa įdiegiama. Jei nebepalaikomai laidai pataisos nėra, sistemą reikia izoliuoti nuo interneto ir įvertinti perkėlimą į palaikomą PHP laidą. Izoliavimas gali laikinai paveikti paslaugos prieinamumą, todėl jo tvarką verta suderinti su asmeniu, atsakingu už svetainės veikimą.

Kodėl prieglobos tiekėjo veiksmai dar neatsako už kiekvieną svetainę

Didieji Lietuvos prieglobos tiekėjai bendros prieglobos klientams pritaikė bendrus technologinius sprendimus. Tokia priemonė gali vienu metu pakeisti daugelio vienoje infrastruktūroje veikiančių svetainių būklę. Tačiau atskirai valdomas virtualus serveris, savarankiškai įdiegtas PHP ar kitas paslaugos komponentas gali turėti savo atnaujinimo tvarką. Bendras tiekėjo pranešimas apie atliktus darbus dar neįrodo, kad pataisa pasiekė konkrečią svetainę.

Šis skirtumas svarbus ir tada, kai administravimo skydelyje matomas senas versijos numeris. Operacinės sistemos ar prieglobos tiekėjas kartais perkelia saugumo pataisą į ankstesnį paketą, nepervadindamas pagrindinės PHP versijos. Tokiu atveju vien numeris neatskleidžia visos būklės: reikia paketo identifikatoriaus, jo saugumo naujinio aprašo ir patvirtinimo, kad tas paketas įdiegtas svetainę aptarnaujančioje aplinkoje. Senas numeris yra priežastis tikrinti, bet savaime neparodo, ar paslauga jau sutvarkyta.

Viename versle gali veikti pagrindinė svetainė, atskira parduotuvė ir pagalbinė klientų sistema. Jei jos talpinamos skirtingai, kiekvienai reikia atskiro atsakymo, nors lankytojui jos atrodo kaip viena paslauga. Taip pat gali skirtis komandinėje eilutėje naudojama PHP versija ir ta, kuri vykdo viešas interneto užklausas. Šiai spragai reikšminga pastaroji, todėl administratoriaus patvirtinimas turi būti susietas su veikiančia svetaine, o ne vien su bendru serverio aprašu.

Kaip svetainės valdytojui nustatyti savo būklę

Pradėti verta nuo visų viešai pasiekiamų PHP paslaugų sąrašo: pagrindinio domeno, papildomų adresų, parduotuvės ir kitų savarankiškai veikiančių programų. Kiekvienai reikia nustatyti, kur ji talpinama, kokia PHP šaka aptarnauja interneto užklausas ir kas atsakingas už jos atnaujinimą. Jei savininkas šių duomenų nemato, konkretų atsakymą turi pateikti prieglobos tiekėjas arba sistemos administratorius. Vien faktas, kad svetainė atsidaro be klaidų, jos saugumo būklės neparodo.

1. Naudojama palaikoma šaka, yra pataisytas leidimas. Įdiekite atitinkamą saugumo naujinį į svetainę aptarnaujančią aplinką. Po pakeitimo patikrinkite, ar viešos užklausos jau apdorojamos atnaujintu PHP ir ar svarbiausios svetainės funkcijos veikia.
2. Numeris senas, tiekėjas nurodo perkeltą pataisą. Paprašykite tikslaus paketo ir saugumo naujinio identifikavimo bei patvirtinimo, kad jis naudojamas jūsų paslaugoje. Šis kelias skiriasi nuo įprasto versijos palyginimo, nes pataisa gali būti pakete, kurio pagrindinis numeris išliko toks pat.
3. Šaka nebepalaikoma, pataisos nėra. Apribokite pažeidžiamos paslaugos pasiekiamumą iš interneto ir kartu su administratoriumi suplanuokite perkėlimą į palaikomą PHP. Kol perkėlimas neužbaigtas, vien dalinės laikinos priemonės nesuteikia tokio paties rezultato kaip įdiegta pataisa.

Didesnėje sistemoje atnaujinimą gali tekti pirmiau išbandyti atskiroje aplinkoje, nes nauja PHP laida gali paveikti seną programos kodą ar papildinius. Laukimo laikotarpiu pažeidžiamos viešos paslaugos pasiekiamumą reikia riboti pagal realią veiklos situaciją. Atnaujinus patikra turi apimti ir papildomas viešas programas, jei jos naudoja kitą PHP dieginį.

Ką parodo Baltijos stebėsena

Baltijos skaitiklis mato tas paslaugas, kurios HTTP atsakymo antraštėje paskelbia savo PHP versiją. Kai versija slepiama, iš šio požymio negalima nustatyti, ar paslauga naudoja pataisytą leidimą. Be to, skaičiavimo vienetas yra paslauga: svetainės vardas arba adresas ir prievadas, kai vardo nėra. Toks vienetas nesutampa su visų viename serveryje veikiančių svetainių skaičiumi.

Viešai matomas senas numeris taip pat gali priklausyti tiekėjo paketui su atgal perkelta pataisa, kurios HTTP antraštė neatskleidžia. Todėl skaitiklio pokytis leidžia stebėti viešai atpažįstamų paslaugų taisymo eigą Baltijos šalyse, bet nėra individualus konkrečios Lietuvos svetainės patikrinimas. Svetainės valdytojui lieka esminis įrodymas: kuri pataisyta PHP laida arba tiekėjo paketas aptarnauja jo viešą paslaugą dabar.

Taip pat skaitykite:

• „Euclid“ rado pirmąją savo kometą ten, kur jos beveik neieškojo
• „DeepL“ ar „Google Translate“: taisyklinga lietuvių kalba dar nėra tiksli
• Kibernetinis incidentas Lietuvoje: 24 valandos perspėti, mėnuo užbaigti