Masz stronę na PHP 7 lub 8.1? Przygotuj się na pilną aktualizację albo migrację

PHP działa na milionach stron internetowych, ale zwykle przypominamy sobie o nim dopiero wtedy, gdy pojawiają się problemy. We wtorek zespół bezpieczeństwa projektu ogłosił, że przygotowuje awaryjne poprawki dwóch krytycznych luk. Ich publikację zaplanowano na środę o 16:00 czasu polskiego. Pośpiech ma konkretną przyczynę. Szczegóły podatności wyciekły przed planowanym ujawnieniem, a badacze potwierdzili, że problem jest realny.

Dwie krytyczne luki w PHP ujawniono przed planowanym terminem publikacji szczegółów. Zespół projektu przygotowuje poprawki, a Sansec ostrzega, że masowe ataki mogą rozpocząć się już kwadrans po ich udostępnieniu.

Zaktualizuj Google Chrome jak najszybciej, bo najnowsza wersja załatała 247 luk. Dwie najgroźniejsze pomógł znaleźć asystent AI

Chodzi o luki CVE-2026-109618 i CVE-2026-109619, którym zespół PHP przypisał ocenę 9,2 w skali CVSS v4.0, gdzie maksimum wynosi 10 punktów. Według informacji ujawnionych przed terminem obydwie mogą umożliwiać zdalne wykonanie kodu (RCE), czyli uruchomienie poleceń na podatnym serwerze. CERT-EU ostrzega, że atak może nie wymagać uwierzytelnienia. Zespół PHP zapowiedział publikację poprawek na 21 października o 14:00 UTC, czyli o 16:00 czasu polskiego. Może jednak przyspieszyć wydanie, jeśli pojawią się dowody aktywnego wykorzystania tych luk. Wyciek ujawnił również nazwę PHP2Shell, przypisaną narzędziu do wykorzystania podatności. Firma watchTowr potwierdziła, że luki są realne, i odtworzyła pierwszą z nich. Nie oznacza to jednak, że wszystkie szczegóły techniczne są już znane. Przed publikacją oficjalnych poprawek nie potwierdzono dokładnej przyczyny błędów ani wszystkich warunków potrzebnych do przeprowadzenia ataku. Nie należy więc traktować list aplikacji wymienianych w materiałach o wycieku jako dowodu, że każda instalacja WordPressa, Drupala, Joomli czy Magento jest podatna w identyczny sposób.

Cairn i agenty AI w kampanii włamań na ponad 100 witryn. NorForge szacuje koszt udanego ataku na 50 dolarów

Według wstępnych doniesień problem może dotyczyć wersji PHP od 5.0, a Sansec wskazuje konkretnie na wydania od 5.4.0. Projekt PHP wspiera jednak tylko wybrane, nowsze gałęzie. Administratorzy starszych wersji mogą być zmuszeni do migracji, skorzystania z poprawek przygotowanych przez dostawcę lub ręcznego przeniesienia łatki. Sansec przewiduje, że masowe ataki mogą rozpocząć się już 15 minut po publikacji poprawek. To prognoza, a nie potwierdzenie, że taka fala już trwa. Na moment przygotowania materiału watchTowr i Huntress nie zgłaszały wykorzystania tych luk w rzeczywistych atakach. Administratorzy powinni zinwentaryzować wszystkie instalacje PHP, także te działające w ramach paneli hostingowych i aplikacji dostarczanych przez zewnętrznych producentów. Trzeba przygotować kopie zapasowe, ustalić, kto odpowiada za aktualizację serwera, i zainstalować poprawki niezwłocznie po ich udostępnieniu. Huntress zaleca również obserwowanie procesów PHP, takich jak php-fpm, pod kątem nietypowego uruchamiania powłoki systemowej lub narzędzi pobierających pliki, w tym curl i wget. Sansec wskazuje dodatkowo na tymczasowe ograniczenie funkcji śledzenia postępu przesyłania plików w PHP, ale takie zabezpieczenie nie zastępuje aktualizacji. Szczegóły podatności i numery poprawionych wersji mają zostać opublikowane razem z łatkami.