Październik 2026 roku przynosi jedno z najpoważniejszych ostrzeżeń cyberbezpieczeństwa ostatnich lat.
W powszechnie używanym języku programowania PHP wykryto dwie krytyczne luki oznaczone jako CVE-2026-109618 oraz CVE-2026-109619, które w skali CVSS v4.0 otzrzymały bardzo wysoką ocenę 9,2 na 10 punktów. Błędy te, skojarzone z nieoficjalnie nazwanym zestawem exploitów PHP2Shell, umożliwiają nieautoryzowanym napastnikom zdalne wykonanie kodu (RCE) bezpośrednio na podatnych serwerach.
Skala zagrożenia: Miliony stron i serwisy rządowe w odwrocie
PHP napędza obecnie około 75% wszystkich stron internetowych w sieci, których technologię da się zidentyfikować. Na tym fundamencie opierają się gigantyczne ekosystemy, w tym systemy zarządzania treścią takie jak WordPress, Joomla, Drupal czy Magento, a także niezliczone portale rządowe, korporacyjne i sklepy internetowe.
Gdy szczegóły podatności i materiały demonstracyjne przedwcześnie wyciekły do internetu, w wielu krajach wybuchła natychmiastowa panika. Instytucje rządowe i organizacje publiczne m.in. w Finlandii, Holandii, Niemczech, Japonii czy Australii zdecydowały się na drastyczny krok – tymczasowe odłączenie kluczowych witryn od publicznej sieci, aby zapobiec potencjalnym włamaniom przed wdrożeniem oficjalnych łatek.
Mechanizm błędu i problem martwych wersji
Zgodnie z analizami ekspertów (m.in. Unit 42 oraz CERT-Europa), luki wynikają z błędów w obsłudze pamięci oraz mechanizmów takich jak przetwarzanie żądań i postępu wysyłania plików (np. session.upload_progress). Błąd typu use-after-free oraz korupcja pamięci sprawiają, że napastnik może przejąć kontrolę nad procesem roboczym serwera.
Twórcy PHP błyskawicznie przygotowali awaryjne pakiety aktualizacyjne. Pojawia się jednak gigantyczny problem infrastrukturalny:
- Oficjalne poprawki trafiają wyłącznie do wspieranych gałęzi języka (PHP 8.2 i nowsze).
- Miliony starszych serwerów wciąż działają na przestarzałych wersjach (PHP 8.1 i starszych), które oficjalnie nie otrzymają wsparcia i pozostają w grupie najwyższego ryzyka.
Reaguje Polska i światowe służby
W obliczu globalnego kryzysu krajowe zespoły reagowania, w tym CERT Polska, wydały pilne komunikaty i rekomendacje dla administratorów systemów. Zalecane działania obejmują natychmiastową inwentaryzację oprogramowania, wykonanie pełnych kopii zapasowych oraz wdrożenie najnowszych wersji PHP. Amerykańska agencja NSA oraz Biały Dom również monitorują sytuację, wzywając administratorów do pilnego zabezpieczenia infrastruktury krytycznej.
Źródło: GeekWeek w INTERIA.PL – technologie, nauka, lifestyle i podróże
KOMENTARZE