Vakar, spalio 21 d., nuo 7 ryto kavos nebuvo – taisėm dvi kritines PHP spragas. Šiandien prasideda tai, kas visada ateina po skubaus reagavimo: pasekmių tvarkymas. O jis šįkart didelis, nes PHP naudoja maždaug 75 % svetainių, kurių serverio kalbą įmanoma nustatyti.
~75 %
svetainių naudoja PHP
pagal W3Techs statistiką
9,2
CVSS įvertinimas
CVE-2026-109618
1 d.
nuo PoC iki pataisų
spalio 21 d.
Savaitės
realus sutvarkymo laikas
1. Vakar – gaisro gesinimas
Vakar ryte išjungėme session.upload_progress visose mūsų ir klientų sistemose, patikrinome žurnalus ir laukėme oficialaus atnaujinimo. Vėliau tą dieną PHP išleido pataisas (8.2.35, 8.3.36, 8.4.27, 8.5.12). Tai buvo pirmas, skubus etapas.
2. Šiandien – aftermath
Pataisa uždaro duris, bet neatsako, ar kas nors per jas jau įėjo. Kai pažeidžiama tokia didelė interneto dalis, užpuolikai automatiškai skenuoja visas pasiekiamas svetaines. Todėl dabar reikia ne tik atnaujinti, bet ir patikrinti visą laikotarpį nuo PoC pasirodymo.
- Įdiegti oficialias pataisas visur – ir pagrindinėse, ir pamirštose, testinėse ar senose svetainėse.
- Nebepalaikomoms PHP versijoms pataisų nėra – jas reikia migruoti, o tai jau projektas, ne vakaro darbas.
- Peržiūrėti žurnalus nuo spalio 20–21 d. nakties: neįprastos užklausos, nauji failai, paskyros, suplanuotos užduotys.
- Įtarus kompromitavimą – keisti slaptažodžius, API raktus ir izoliuoti sistemą tyrimui.
- Paklausti hostingo ir programinės įrangos tiekėjų, kada ir kaip jie atnaujino savo aplinkas.
Kodėl tai ilgas darbas
Didžiausia rizika slypi ne gerai prižiūrimuose serveriuose, o tose sistemose, apie kurias niekas neprisimena: senose kampanijų svetainėse, bendro naudojimo hostinge, trečiųjų šalių įskiepiuose ir įrenginių valdymo sąsajose. Jų inventorizacija ir patikra užtrunka savaites.
Vakar buvo sprintas. Šiandien prasideda maratonas.
— ProKSI / KSG komanda
Ankstesnė dalis apie vakarykštį reagavimą: „Nuo 7 ryto kavos nebuvo. Taisėm PHP spragas“ (/duk/dvi-kritines-php-spragos-kodel-atnaujinti-nepakanka).
PHP sistemų saugumo patikra
Padėsime inventorizuoti PHP sistemas, patikrinti žurnalus ir galimo įsilaužimo požymius bei suplanuoti nebepalaikomų versijų migraciją.
Susisiekti su PROKSI