Dwie krytyczne luki w PHP, oznaczone jako php2shell, zmusiły w środę 21 października instytucje i serwisy na świecie do zdjęcia stron z sieci. Twórcy PHP wydali poprawki, a CERT Polska apeluje do administratorów o natychmiastową aktualizację.
Podatności mają identyfikatory CVE-2026-109618 i CVE-2026-109619. Zespół PHP ocenił każdą na 9,2 punktu w 10-stopniowej skali CVSS 4.0, jak podaje The Record. Pozwalają na zdalne wykonanie kodu na niezabezpieczonym serwerze. Według CERT Polska podatne są wszystkie wersje PHP od 5.0 w górę.
Kto wyłączył strony
Jak podaje Reuters, w środę offline były strony rządowe w Europie i poza nią. Holenderska agencja cyberbezpieczeństwa sama zdjęła swój serwis w ramach ostrożności. Fundacja Wikimedia wyłączyła część systemów do czasu ich załatania, a Internet Archive przez chwilę był niedostępny. Rząd Kanady czasowo wyłączył część swoich stron, jak podał minister Evan Solomon, zgodnie z Global News. Więcej o decyzjach urzędów w Europie opisaliśmy w tekście o wyłączonych stronach rządowych.
Luki znaleziono z pomocą sztucznej inteligencji. Według Reutersa niezależnie opisały je firmy Calif i Wiz. Calif napisał, że znalazł błędy przy użyciu dużego modelu językowego 1 sierpnia. OpenAI przekazało, że współpracowało z PHP przy testach poprawek. Informacje o lukach wyciekły 20 października, przed planowanym ujawnieniem, więc twórcy PHP wydali ostrzeżenie wcześniej.
W Polsce zostało wyłączonych część serwisów BIP (Biuletynu Informacji Publicznej) poinformował o tym Minister Cyfryzacji na X:
Poprawki i zalecenia CERT Polska
Bezpieczne wersje to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Poprawki opublikowano w środę po południu czasu polskiego. CERT Polska w komunikacie zaznacza, że zmiany w konfiguracji nie wykluczają wykorzystania luk. W pełni chroni tylko aktualizacja PHP. Zespół zalecił też inwentaryzację usług korzystających z PHP i tymczasowe wyłączenie tych, których nie da się od razu zaktualizować. Użytkownicy systemów Linux powinni czekać na pakiety od dostawcy dystrybucji. W przypadku gotowych urządzeń i obrazów Dockera trzeba poczekać na nową wersję od producenta.
CERT Polska opublikował też wpis na X:
Ataki już się zaczęły
Cloudflare zaobserwował wczesne próby ataków, według jego dyrektora technicznego Dane’a Knechta, jak pisze Fortune. Firma watchTowr widzi próby z użyciem narzędzi napisanych z pomocą AI. Jej przedstawiciel Jake Knott mówił, że jak dotąd nikt nie odniósł sukcesu, ale nie spodziewa się, żeby to potrwało długo. Eksperci cytowani przez Reutersa obawiają się fali włamań, bo po publikacji poprawki łatwo ustalić, na czym polegał błąd.
Co to oznacza dla czytelnika w Polsce
Zwykły internauta nie musi niczego instalować. Problem dotyczy administratorów. Dotyczy to właścicieli sklepów, blogów i firmowych stron na WordPressie, Joomli czy phpMyAdminie. PHP według serwisu W3Techs wykorzystuje 69,3 proc. stron, których język serwerowy da się rozpoznać. Właściciel strony na hostingu powinien sprawdzić, czy dostawca wdrożył już poprawioną wersję PHP. Jeśli nie, powinien zapytać o termin. Do tego czasu dane logowania i kopie zapasowe warto traktować ostrożnie.
