ԱՄՆ-ի կիբերանվտանգության գործակալությունը հաստատել է PHP2Shell-ի օգտագործումն ու շտկման ժամկետ սահմանել

Հետազոտողները հաստատել են կոդի գործարկումը միտումնավոր նպաստավոր խայծ-համակարգերում

Ադել Քարիմին՝ 2026-ի հոկտեմբերին Perplexity-ի հայտնաբերման և արձագանքման ուղղության ղեկավարը, հոկտեմբերի 24-ին երեք խայծ-համակարգերում գրանցել է հրամանային միջավայրի 35 հաջող գործարկում։ Խայծ-համակարգերն օգտագործվում են հարձակվողներին դիտարկելու համար, իսկ հրամանային միջավայրը համակարգային հրամաններ է կատարում։ Հարձակումներն իրականացվել են երկու IP հասցեից և թիրախավորել PHP 8.4.26-ը՝ Apache mod_php-ի միջոցով, որը PHP-ն գործարկում է վեբ սերվերի ներսում․ հոկտեմբերի 27-ին հայտնել է The Register-ը։

Հարձակումներում հիշողության սպառումն ու դրա պարունակության բացահայտումն օգտագործվել են կոդի հեռավար գործարկման՝ այլ վայրից սերվերում կոդ գործարկելու համար։ Քարիմին գտել է CVE-2026-109618-ի օգտագործմանը համապատասխանող ապացույցներ, բայց ոչ PHP2Shell-ի երկրորդ խոցելիության օգտագործման։ Հարձակվողները PHP-ի և curl ու wget ներբեռնման գործիքների միջոցով փորձել են կապ հաստատել արտաքին սերվերների հետ, սակայն լրացուցիչ վնասաբեր ծրագիր հաջողությամբ չի ներբեռնվել։ Խայծ-համակարգերում միտումնավոր ընտրվել էր նպաստավոր կարգավորում՝ հարցումները մշակող մեկ գործընթացով։ Քարիմին զգուշացրել է, որ արդյունքները չեն չափում հարձակման հուսալիությունը մշակող գործընթացների այլ քանակի, PHP-ի այլ հավաքածուների կամ հավելվածների դեպքում։

BleepingComputer-ի հոկտեմբերի 26-ի հրապարակման մեջ նկարագրված են 800 KiB ծավալով ապակոդավորված թխուկի տվյալները և դրանցից ստացված ֆունկցիայի հասցեն, որն առկա է եղել կոդի գործարկման հետագա հարձակման կոդում։ Սա օգտագործելի հիշողության տվյալների բացահայտումը կապել է կոդի գործարկման հետ, այլ ոչ թե պարզապես ցույց տվել խափանում, որին հաջորդել է կասկածելի ակտիվություն։ Expel-ի սպառնալիքների հետազոտող Մարկուս Հաթչինսը հաստատել է արդյունքները և դրանք անվանել իր տեսած՝ իրական հարձակումներում PHP2Shell-ի օգտագործման ամենաորակյալ հաստատումը։ CISA-ն հոկտեմբերի 23-ին հրապարակել էր օգտագործման փորձերը հայտնաբերելու SIGMA կանոն՝ մինչև խոցելիությունները պաշտոնական ցանկում ընդգրկելը։

Դելֆտը հաշվել է փորձերը, ոչ թե իրական համակարգեր ներթափանցումները

Դելֆտի համալսարանի սպառնալիքների հետախուզության լաբորատորիան հետևել է PHP2Shell-ի օգտագործման ավելի քան 50 000 հարցման՝ 70 երկրի ավելի քան 600 IP հասցեից։ Այդ հասցեներից 171-ը չեն սահմանափակվել խոցելի սերվերներ փնտրելով և ուղարկել են հարձակման կոդ կամ այլ վնասաբեր ծրագրեր տեղադրելու համար նախատեսված ծրագրեր։ Կոդ ուղարկելը չի հաստատում, որ ստացող սերվերը գործարկել է այն։ CISA-ն չի բացահայտել, թե որ կազմակերպությունների համակարգեր են ներթափանցել կամ իրական շահագործման մեջ գտնվող քանի համակարգ է կոտրվել․ ո՛չ Դելֆտի հարցումների քանակը, ո՛չ Քարիմիի խայծ-համակարգերում գործարկումները չեն տալիս այդ թիվը։

Երկու խոցելիություններն էլ կարող են թույլ տալ կոդ գործարկել առանց մուտք գործելու

CVE-2026-109618 և CVE-2026-109619 խոցելիություններից յուրաքանչյուրի լրջությունը գնահատվել է 9,2 միավոր՝ հնարավոր 10-ից։ Համապատասխան պայմաններում հատուկ պատրաստված վեբ հարցումները կարող են հարձակվողին թույլ տալ կոդ գործարկել սերվերում՝ առանց մուտք գործելու։

Մրցույթում ցուցադրվել է կոնկրետ թիրախի համակարգ ներթափանցում

Մեծ Բրիտանիայում աշխատող ծրագրավորող և ներթափանցման փորձարկող Ջեյդիփ Մոդվադիան, որը հայտնի է «Քիլլա» անունով, հոկտեմբերի 25-ին հաղթել է Ջեյմս Պավուրի Steal My Bitcoin մրցույթում։ Պավուրը միտումնավոր խոցելի կայքը գործարկել է հոկտեմբերի 24-ին՝ PHP2Shell-ը գործող թիրախի դեմ փորձարկելու համար։ Համայնքի ներդրումներով նրա առաջարկած սկզբնական $500 մրցանակը դարձել է $2 000՝ Bitcoin-ով․ հոկտեմբերի 26-ին հայտնել է The Register-ը։

Սկզբում կայքը մատուցում էր միայն ստատիկ HTML էջեր։ Թեև կայքում PHP-ի խոցելի տարբերակ էր աշխատում, հարձակման այս եղանակի համար անհրաժեշտ էր հասանելի PHP ֆայլ՝ վեբ հարցումը մշակող հասցե։ The Register-ի հրապարակման մեջ այդ հասցեի ենթադրյալ ավելացման պահը նշված է հոկտեմբերի 25-ի ժամը մոտ 13:00-ը՝ համաշխարհային համակարգված ժամանակով, իսկ Մոդվադիայի հաջող կոդի գործարկումը՝ 15:47-ը։ Կայքը ցույց էր տալիս անցած 19,28 ժամ, բայց Մոդվադիայի խոսքով՝ ինքն աշխատել է մոտ երեք ժամ։ Նա ասել է, որ սկսել է, երբ մրցույթն արդեն ուշադրություն էր գրավել, իսկ ավելի երկար անցած ժամանակը բացատրել է մեծ ծանրաբեռնվածությամբ, որի պատճառով կայքը գործնականում անօգտագործելի էր դարձել։

Պավուրը հոկտեմբերի 25-ին հաստատել է հաջող ներթափանցումը։ Tom’s Hardware-ի հոկտեմբերի 26-ի հրապարակման մեջ նկարագրված է հիշողության տվյալների բացահայտումը, որին հաջորդել է PHP-ի ներսում հրամանի գործարկումը․ վերջին հարցման պատասխանը պարունակել է հրամանի կատարման ապացույց։ Պավուրը սերվերում դրամապանակի սխալ բանալի էր տեղադրել, ուստի հետո ինքն է Մոդվադիային ուղարկել մրցանակը։

The Register-ի հրապարակման մեջ նշված է, որ մեթոդը շրջանցել է հասցեային տարածքի դասավորության պատահականացման մեխանիզմը՝ ASLR-ը, որը փոխում է հիշողության մեջ ծրագրի տվյալների տեղադրությունը՝ խոցելիությունների օգտագործումը դժվարացնելու համար։ Մոդվադիան հրապարակել է իր մեթոդի նկարագրությունը և ասել, որ մեկ ֆայլից բաղկացած իր սկրիպտին անհրաժեշտ է առավելագույնը 20 վեբ հարցում։ Ալոն Գալը՝ 2026-ի հոկտեմբերին Hudson Rock-ի համահիմնադիրն ու տեխնոլոգիական տնօրենը, հարձակման կոդն անվանել է բարդ և կոնկրետ թիրախին հարմարեցված։ Նրա խոսքով՝ արդյունքը չի հաստատում, որ ինքնավար գերբանականության (ԳԲ) գործակալները կարող են մեծ մասշտաբով ներթափանցել կամայական PHP սերվերներ։

Unit 42-ը հետ է վերցրել պետական կառույց ներթափանցումը խոցելիության հետ կապող գնահատականը

Palo Alto Networks-ի Unit 42 խումբը The Hacker News-ին հայտնել է, որ չի կարող հաստատել՝ արդյոք PHP2Shell-ի երկու խոցելիություններից որևէ մեկն ապահովել է եվրոպական պետական կառույցի համակարգեր սկզբնական մուտքը։ Հայտարարությունը ներկայացվել է հոկտեմբերի 25-ի հրապարակման մեջ։ Հետազոտողները ենթադրել էին այդ կապը, քանի որ հարձակումը ներառում էր խոցելի PHP հավելված։ Այդ ներթափանցումը PHP2Shell-ի օգտագործման հաստատված դեպք չէ։

CYFIRMA-ն նկարագրել է սկանավորում, ոչ թե հաստատված ներթափանցումներ

Հոկտեմբերի 25-ի հրապարակման մեջ CYFIRMA-ն հայտնել է, որ 21 կոտրված համակարգիչ սկանավորում էր 216 չշտկված կամ միայն մասնակի պաշտպանված սերվեր։ Թիրախները պետական, ֆինանսական, լոգիստիկայի, ավիացիայի և արտադրության ոլորտներում էին, ինչպես նաև առցանց գործարքների հարթակներում։ Գործողություններն իրականացնողները ցանցային հոսքը փոքր էին պահում և փոխում համակարգիչները, երբ դրանք արգելափակվում էին կամ բախվում հարցումների հաճախականության սահմանափակման։ CYFIRMA-ն միջին վստահությամբ գնահատել է, որ կորեախոս գործող անձը կապված է «Լազարուս» խմբավորման էկոհամակարգի հետ՝ նկարագրելով Հյուսիսային Կորեայի հետ ենթադրյալ կապ ունեցող արշավ։ Ընկերությունը խոցելիությունների օգտագործումը նկարագրել է որպես նախատեսված հաջորդ քայլ․ գործողություններն իրականացնողները մտադիր էին ընտրել թիրախներն ու հարմարեցնել հրապարակային հարձակման կոդերը, ոչ թե հայտնել էին այդ սերվերներ հաջող ներթափանցումների մասին։

Շտկել հենց PHP-ն, ոչ միայն կայքի կոդը

Խոցելիություններն առկա են PHP 7.x և 8.x շարքերի չշտկված թողարկումներում և վտանգի տակ են դնում PHP հարցումներ ընդունող հասանելի հասցեները, այդ թվում՝ ձևաթղթերը, մուտքի և համակարգի աշխատունակությունը ստուգող հասցեները։ Բոլոր համակարգերի խոցելիությունները նույնքան հեշտ չէ օգտագործել։ CrowdStrike-ի խոսքով՝ վտանգը կախված չէ բովանդակության կառավարման համակարգից, հավելվածների մշակման հենքից կամ հավելումներից․ միայն կայքի կոդի թարմացումը չի շտկում դրա հիմքում գործող PHP շարժիչը։

Ավելի վաղ ներկայացված թվերը վերաբերում էին փորձերին

Amazon-ի սպառնալիքների հետախուզության թիմը հոկտեմբերի 17-ին՝ մինչև հրապարակային բացահայտումը, իր խայծ-համակարգերի դեմ հարձակման փորձ է հայտնաբերել, իսկ ավելի ուշ նկարագրել է խոցելիությունների օգտագործման լայնածավալ ակտիվություն։ Cloudflare-ի գլխավոր տնօրեն Մեթյու Փրինսի հոկտեմբերի 21–22-ի հաղորդումները փաստագրել են ցանցային հոսքի արագ աճը, բայց նրա թվերը վերաբերում էին փորձերին, ոչ թե հաստատված ներթափանցումներին։

Calif-ի հետազոտող Ռայան Օսթինը, որը մասնակցել է խոցելիությունների հայտնաբերմանը, ավելի զգուշավոր գնահատական է տվել Guardian-ի հոկտեմբերի 22-ի հրապարակման մեջ։

Այս պահին չի թվում, թե խոցելիությունների օգտագործումը թափ է հավաքել կամ լայն տարածում ստացել։

Wordfence-ի արդյունքները վերաբերում էին իր պաշտպանած կայքերին

WordPress-ի անվտանգության ոլորտում աշխատող Defiant ընկերությունը հայտնել է, որ իր Wordfence միջցանցային էկրանն արգելափակել է խոցելիությունների օգտագործման և հետախուզման ավելի քան 74 000 փորձ․ հայտարարությունը ներկայացված է SiliconANGLE-ի հոկտեմբերի 22-ի հրապարակման մեջ։ Ընկերությունն իր պաշտպանած՝ WordPress-ով աշխատող ավելի քան 5 միլիոն կայքերում հաստատված ներթափանցում չէր արձանագրել։ Այս արդյունքը վերաբերում էր այդ կայքերին այդ պահին, ոչ թե բոլոր PHP սերվերներին։

Sophos-ը հետ է վերցրել խոցելիության հաջող օգտագործման սկզբնական գնահատականը

Sophos-ը հոկտեմբերի 23-ին նկարագրել է PHP2Shell-ի օգտագործմամբ Potassium-ը՝ Mirai բոտնետի վնասաբեր ծրագրի տարբերակը, տեղադրելու անհաջող փորձեր։ Վերլուծված նմուշը կարող էր ներբեռնել այլ ծրագրեր և իրականացնել ծառայության մատչելիությունը խափանող բաշխված հարձակումներ՝ թիրախները ծանրաբեռնելով ցանցային հոսքով։ Հաջող տեղադրման դեպքում սերվերը կարող էր ընդգրկվել հարձակվողի վերահսկողության տակ գտնվող ցանցում։ Sophos-ը հետագայում հետ է վերցրել խոցելիության հաջող օգտագործման մասին իր սկզբնական գնահատականը՝ պարզելով, որ դիտարկված ակտիվությունը սկանավորում և անհաջող փորձեր էին։ Բացի այդ՝ Previdian-ը հայտնել է, որ իր խայծ-համակարգերում գրանցել է հետախուզական հարցումներ և խոցելիությունների օգտագործման փորձեր, բայց ո՛չ կոդի հաջող գործարկում, ո՛չ էլ հարձակվողների կողմից այնտեղ PHP ֆայլերի տեղադրում։ Հոկտեմբերի 23-ի հրապարակման մեջ նկարագրված այդ դիտարկումները վերաբերում էին ընկերության մշտադիտարկած համակարգերին։

VulnCheck-ը հայտնել է հիշողության պաշտպանության շրջանցման մասին

VulnCheck-ը The Register-ին հոկտեմբերի 22-ին հայտնել է, որ իր հարձակման կոդը թիրախավորում է CVE-2026-109618-ը և PHP 8.4.26-ում հաստատված հիշողության արտահոսքը կապում է կոդի գործարկման հետ։ Ընկերության խոսքով՝ այն աշխատել է x86-64 սերվերներում՝ չնայած ASLR-ին և PHP-ի իրական շահագործման համար առաջարկվող display_errors=off կարգավորմանը, որը թաքցնում է սխալները։ VulnCheck-ը ASLR-ը նկարագրել է որպես հիմնական խոչընդոտ ցուցադրական հարձակումներից իրական համակարգերի պաշտպանությունը հաղթահարող հարձակումների անցնելու ճանապարհին։ Հարձակման կոդը հասանելի էր միայն Initial Access Intelligence ծառայության հաճախորդներին։ Կոդի գործարկումը չէր գործում ARM64-ում՝ այլ պրոցեսորային ճարտարապետություն ունեցող համակարգերում։

Մեծ Բրիտանիայի խոսքով՝ անջատումները հիմնականում նախազգուշական էին

Մեծ Բրիտանիայի կիբերանվտանգության նախարար Լիզ Լլոյդը հոկտեմբերի 22-ին օրենսդիրներին ասել է, որ պետական ծառայությունների անջատումները հիմնականում նախազգուշական էին՝ անվտանգության թարմացումների և այլ պաշտպանական միջոցների կիրառման ընթացքում։ Կառավարությունը հայտնել է, որ հանրությանը մատուցվող կենսական նշանակության ծառայություններից ոչ մեկը չի տուժել, և ժամանակավոր անհասանելիությունը չի նշանակում, որ ծառայությունները կոտրել են։

Հին համակարգերը կարող են փոխարինման կարիք ունենալ

Մեծ Բրիտանիայի Կիբերանվտանգության ազգային կենտրոնը՝ NCSC-ն, հայտնել է, որ հին համակարգեր օգտագործող որոշ կազմակերպություններ չեն կարող կիրառել շտկումը և ստիպված կլինեն փոխարինել այդ համակարգերը․ հայտարարությունը ներկայացված է Guardian-ի հոկտեմբերի 22-ի հրապարակման մեջ։ Հարավային Կորեայի կառավարությունը հոկտեմբերի 22-ին հայտարարել է արտակարգ միջոցառումների մասին՝ բարձրացնելով մասնավոր հատվածի կիբերանվտանգության տագնապի մակարդակը և տասնյակ հազարավոր ընկերությունների տրամադրելով խնդրի շտկման ուղեցույց։ Նույն հրապարակման մեջ ներկայացված է Չինաստանի արդյունաբերության նախարարության հորդորը՝ անհապաղ ստուգել համակարգերը, անցնել PHP-ի անվտանգ տարբերակների, ուժեղացնել մշտադիտարկումը և փոխել գաղտնաբառերն ու բանալիները։ Ճապոնիայի վարչապետը կազմակերպություններին կոչ է արել տեղադրել շտկումները կամ անջատել իրենց կայքերը։

Հարավային Աֆրիկայի նախագահի աշխատակազմն անջատել է իր կայքը

Հարավային Աֆրիկայի նախագահի աշխատակազմը PHP-ի վերաբերյալ նախազգուշացումից հետո նախազգուշական նպատակով ժամանակավորապես անջատել է իր կայքը, հոկտեմբերի 23-ին Reuters-ին հայտնել է խոսնակ Վինսենթ Մագվենյան։ Նրա խոսքով՝ անվտանգության խախտման նշաններ չեն եղել, իսկ նման նախազգուշացումները կարող են ազդել կայքի բնականոն աշխատանքի վրա՝ առանց անվտանգության խախտում մատնանշելու։

Ճապոնիայում խափանումները ներառել են աղետների ծանուցումներն ու երկաթուղային ծառայությունները

Ճապոնական բջջային օպերատոր SoftBank-ը հոկտեմբերի 23-ին հայտարարել է, որ կասեցնում է արտակարգ ծանուցումները՝ PHP-ի անվտանգության տեխնիկական սպասարկման ընթացքում։ Կասեցման ընթացքում հաճախորդներն այդ համակարգով չէին ստանա երկրաշարժերի վաղ նախազգուշացումներ, ցունամիի ահազանգեր կամ աղետների և տարհանման մասին տեղեկություններ։ Ծանուցումները չէին հնչի նույնիսկ ուժեղ երկրաշարժի ժամանակ, և հաճախորդներին հորդորել էին օգտվել նախազգուշացման այլ ուղիներից․ այս տեղեկությունը Mainichi-ի վկայակոչմամբ ներկայացված էր BBC-ի հոկտեմբերի 23-ի հրապարակման մեջ։ Այնտեղ ծառայության վերականգնման նախատեսված օր էր նշված հոկտեմբերի 26-ը։

Արևելյան Ճապոնիայի երկաթուղին՝ JR East-ը, նույնպես ժամանակավորապես կասեցրել է որոշ ինտերնետային ծառայություններ։ Հոկտեմբերի 23-ին այն հայտնել է, որ խմբի որոշ ծառայություններ վերականգնվել են, իսկ մյուսները կվերականգնվեն անվտանգությունը հաստատելուց հետո։

Orange-ը կասեցրել է հասանելիությունն անվտանգության աշխատանքների ընթացքում

Ֆրանսիայի հեռահաղորդակցային Orange ընկերությունը հայտնել է, որ անվտանգության շտկումները տեղադրելու ընթացքում ամբողջ աշխարհում կասեցրել է որոշ ծառայությունների հասանելիությունը․ հայտարարությունը ներկայացված է BBC-ի հոկտեմբերի 23-ի հրապարակման մեջ։

Ֆինլանդիան սկսել է փուլային վերականգնումը

Ֆինլանդիայի պետական տեղեկատվական տեխնոլոգիաների ծառայություններ մատուցող Valtori-ն հոկտեմբերի 21-ի լույս 22-ի գիշերը շտկումները տեղադրելուց հետո սկսել է վերացնել պետական վեբ ծառայությունների արգելափակումները։ Հաննու Նաումանենը՝ 2026-ի հոկտեմբերին ընկերության գլխավոր տնօրենը, ասել է, որ վերականգնումը կարող է օրեր կամ նույնիսկ շաբաթներ տևել, քանի որ համակարգերը մանրակրկիտ ստուգման կարիք ունեն։ Հայտարարությունն ազդարարում էր վերականգնման սկիզբը, ոչ թե ավարտը։

Final Fantasy 14-ում վերականգնվել է մուտքի հնարավորությունը

Square Enix-ը շուրջ 24 ժամ տևած աշխատանքից հետո վերականգնել է Final Fantasy 14-ում նոր մուտքերի հնարավորությունը․ հոկտեմբերի 24-ին հայտնել է Polygon-ը։ Առցանց բազմախաղացող խաղն ամբողջ աշխարհում լիովին չէր անջատվել․ որոշ խաղացողներ դեռ կարողանում էին մուտք գործել։ Square Enix-ը նաև կասեցրել է տների ավտոմատ քանդումը, որն ազատում է չօգտագործվող բնակելի հողամասերը, եթե սեփականատերերը սահմանված ժամկետում չեն մտնում իրենց շենքերը։ Յուրաքանչյուր սերվերում հողամասերի թիվը սահմանափակ է․ յուրաքանչյուր խաղացողի համար առանձին պատճեն չի ստեղծվում։ Polygon-ի հրապարակման մեջ համակարգի աշխատանքի վերսկսումը նախատեսված էր հոկտեմբերի 26-ին։

Խաղերը վերականգնվել են տարբեր արագությամբ

Eurogamer-ի հոկտեմբերի 22-ի հրապարակման մեջ խաղերի օպերատորների հայտարարությունների հիման վրա ներկայացված էր ծառայությունների հետևյալ վիճակը։

Umamusume-ի մշակողը հայտնել է, որ խոցելիությունը չի օգտագործվել հարձակման համար։ Բացի այդ՝ Alderon Games-ը Path of Titans-ի խաղացողներին հավաստիացրել է, որ տվյալներից ոչ մեկի անվտանգությունը չի խախտվել։

Հին խաղերին փակում էր սպառնում, իսկ արխիվը վերականգնել է աշխատանքը

Ավելի քան տասը տարի գործող ճապոնական World Quest և Save My Demonic World բջջային խաղերին վերջնական փակում էր սպառնում․ մշակողների խոսքով՝ դրանց հին տեխնոլոգիաները հնարավոր չէր թարմացնել՝ PHP2Shell-ը շտկելու համար։ Խաղացողներին հասանելիության կորուստ էր սպասում, ոչ թե տեխնիկական սպասարկման ժամանակավոր ընդհատում․ այս վիճակը նկարագրված էր The Verge-ի հոկտեմբերի 22-ի հրապարակման մեջ՝ Kotaku-ի նյութի հիման վրա։ Internet Archive-ի աշխատանքի ընդհատումը ժամանակավոր էր․ տեխնիկական թիմը տեղադրել է շտկումները, ապահովել համակարգերի անվտանգությունը և վերականգնել հասանելիությունը։ Նույն հրապարակման մեջ ներկայացված էր թվային գրադարանավար Բրյուսթեր Քեյլի հրապարակային շնորհակալությունն արձագանքած թիմերին։

Առանձին խոցելիությունը պահանջում է անսովոր կարգավորում

PHP հիմնադրամը նաև զգուշացրել է կոդի գործարկման առանձին խոցելիության՝ CVE-2026-115560-ի մասին, որի օգտագործումը պահանջում է կարգավորումների և հավելվածի կոդի անսովոր համադրություն։ Խնդիրը կապված է հավելվածի աշխատանքի ընթացքում աշխատաշրջանի տվյալների պահպանման ձևաչափը փոխելու հետ, երբ աշխատաշրջանում վերբեռնման առաջընթացին հետևելու գործառույթը դեռ միացված է։ Հիմնադրամի խոսքով՝ հավելվածները, որոնք աշխատանքի ընթացքում երբեք չեն փոխում այդ ձևաչափը, կարող են գործառույթը միացված պահել։ Հոկտեմբերի 26-ի դրությամբ խոցելիությունը դեռ շտկում չուներ։ Շտկումը սպասվում էր թողարկումների սովորական ընթացակարգով․ մինչ այդ PHP-ի մշակողները խորհուրդ են տվել անջատել աշխատաշրջանում վերբեռնման առաջընթացին հետևելու գործառույթը՝ սահմանելով session.upload_progress.enabled=0։

Ստուգել տեղադրված շտկումները և հետևել սերվերի գործընթացներին

CrowdStrike-ի խոսքով՝ սովորական վեբ գրանցամատյանները կարող են չբացահայտել PHP2Shell-ի օգտագործումը․ սերվերի գործընթացները կարող են կայուն մնալ, պատասխանները՝ վերադարձնել հաջողություն նշանակող HTTP 200 կարգավիճակը, իսկ հավելվածների գրանցամատյանները՝ չպարունակել շեղումներ, քանի որ հավելվածի կոդն ընդհանրապես չի գործարկվել։ Հնարավոր հետք է վեբ սերվերի սխալների գրանցամատյանում հիշողության սահմանաչափը գերազանցելու պատճառով կատարումն ընդհատող մեկ սխալը, որը պաշտպանությունն ապահովող մասնագետները կարող են համարել սովորական, ուշադրության ոչ արժանի գրառում։

ԱՄՆ-ի Հետաքննությունների դաշնային բյուրոն խորհուրդ է տալիս հետևել PHP-ի գործընթացներին՝ անսպասելի ներբեռնումներ կամ հրամանային միջավայրերի գործարկումներ հայտնաբերելու համար։ NCSC-ն և CISA-ն հորդորում են արագ տեղադրել շտկումները կամ դիտարկել խոցելի համակարգերը ցանցից անջատելու հնարավորությունը։ VulnCheck-ը նույնպես հորդորում է տեղադրել շտկումները՝ հիշողության պաշտպանության մեխանիզմներին կամ կարգավորումների փոփոխություններին ապավինելու փոխարեն։ ԱՄՆ-ի դաշնային քաղաքացիական գերատեսչությունները պետք է շտկումները տեղադրեն մինչև հոկտեմբերի 29-ը․ այդ վերջնաժամկետը դաշնային կառավարությունից դուրս գտնվող կազմակերպություններին չի վերաբերում։

PHP-ի այլևս չաջակցվող թողարկումներ օգտագործող համակարգերի կառավարիչները պետք է անցնեն նոր տարբերակի կամ ստանան մատակարարի աջակցությամբ շտկումներ․ այդ թողարկումների համար PHP-ի պաշտոնական շտկումներ չեն թողարկվում։ Դա կարող է պահանջել հավելվածների փոփոխություններ և համատեղելիության ստուգումներ, այլ ոչ թե պարզապես թարմացման տեղադրում։ Համակարգերը, որոնց անվտանգությունը հնարավոր չէ ապահովել, պետք է անջատել ցանցից՝ մինչև վտանգը վերացվի։