Środa, 21 października. Luka w PHP! News lotem błyskawicy obiega internet. W całej Europie wyłączane są strony www. Portale rządowe, firmy prywatne – każdy wyłącza stronę, czekając na aktualizację PHP, która naprawi strony www. Aktualizacjami zajmują się programiści z całego świata. Myślisz, iż problem Cię nie dotyczy i przewijasz dalej? To błąd!
Nie naprawisz internetu. Nie zaktualizujesz czyjejś strony www. Ale podatności CVE-2026-109618 i CVE-2026-109619 sprawiają, iż Ty, jako użytkownik, też jesteś zagrożony. Choć nie możesz naprawić stron, z których korzystasz, to możesz bezpieczniej i rozsądniej korzystać z internetu. To dbałość o swoje bezpieczeństwo, zarówno wtedy, gdy wycieka głośna, znana awaria, jak i na co dzień. W październiku szczególnie warto o tym rozmawiać, bo trwa właśnie ECMS, Europejski Miesiąc Cyberbezpieczeństwa.
JESTEŚ WŁAŚCICIELEM STRONY WWW I SZUKASZ INFORMACJI DOTYCZĄCYCH LUKI W PHP? PRZEJDŹ DO ARTYKUŁU Luka w PHP! PHPokalipsa! – poradnik dla właścicieli stron www
– Historia PHP przypomina cybercyberodpowiednik niewybuchowej bomby – nigdy nie widziałem tak dramatycznej, publicznej i globalnej reakcji na cyberwydarzenie, które jeszcze się nie wydarzyło. … Jednak potencjalne zagrożenie jest tak poważne, iż strony internetowe na całym świecie zostały usunięte w ramach środków ostrożności – napisał Zoe Kleinman, Redaktor technologii i AI na stronie BBC.
Luka w PHP – o co w tym chodzi?
Podatności CVE-2026-109618 i CVE-2026-109619 otrzymały ocenę 9,2 na 10 na skali CVSS. CVSS to standard służący do wyliczania zagrożeń związanych z lukami w systemach i zabezpieczeniach. W tej skali 9 to już poziom krytyczny. 9,2 brzmi jak prawdziwy horror.
Podatność dotyczy ok. 70% stron www, choć szacuje się, iż może być ich więcej. Co jednak luka w PHP oznacza dla zwykłego użytkownika internetu?
Ta luka sprawia, iż ok. 70% stron internetowych jest narażone na ataki. Ataki te mogą dotyczyć zdalnego wykonywania kodu na serwerach stron www. Mówiąc prościej: haker może ukraść hasła do strony www, poufne informacje, wykonywać na tej stronie jakiś kod (na przykład wgrać kod zbierający dane na temat użytkowników, użyć jej do wysyłania szkodliwych maili itd.), a choćby przejąć kontrolę nad tą stroną. Z perspektywy awarii PHP i naprawy serwera użytkownicy stron www nie mogą nic zrobić – naprawa nie leży po naszej stronie.
Czy to oznacza, iż trzeba porzucić internet i wrócić do całkowicie analogowego życia? Na szczęście – nie. Programiści z całego świata walczą teraz i naprawiają strony www, a my, użytkownicy, możemy przypomnieć sobie zasady bezpiecznego korzystania z internetu i zminimalizować zagrożenie.
Czytaj też: Jak zadbać o cyberbezpieczeństwo? Prosty poradnik
Weryfikacja dwuetapowa, czyli podstawowa zasada cyberbezpieczeństwa
Weryfikacja dwuetapowa ma za zadanie chronić Ciebie – użytkownika strony www – przed nieautoryzowanym wejściem na Twoje konto, na przykład na Facebooku, ale też w sklepie internetowym, na ulubionym portalu z newsami itd. Nie wszędzie da się ją włączyć, ale tam, gdzie się da – zrób to.
Na czym polega weryfikacja dwuetapowa? To proste. Do logowania służy login, hasło oraz dodany jest specjalny kod, który musisz wpisać, by się zalogować. Może to być kod przesłany Ci SMS-em, wygenerowany dzięki aplikacji typu Authenticator itd.).
Jak to pomaga? choćby jeżeli ktoś przechwyci na jakiejś stronie Twoje dane logowania dzięki luki w PHP – bez dostępu do sprzętu (najczęściej telefonu), na to konto się nie zaloguje.
Czytaj też: Jak zabezpieczyć sieć domową? Cyberbezpieczeństwo na nowy rok
Usuwaj i obserwuj!
Pamiętasz wszystkie miejsca w internecie, gdzie posiadasz konto? Z ilu z nich korzystasz regularnie, a ile założyłeś i zapomniałeś, bo na przykład dokonywałeś jednorazowego zakupu w jakimś sklepie internetowym albo korzystałeś z niego wiele lat temu, ale potem Ci się znudziło? Europejski Miesiąc Cyberbezpieczeństwa to dobry moment na porządki. Spróbuj odnaleźć te nieużywane konta i je usuń. jeżeli ktoś zaatakuje serwer, na którym jest Twoje stare konto, może zyskać dostęp do Twoich danych, np. do adresu domowego. Albo do hasła, którego używasz na różnych portalach.
Jeśli jednak potrzebujesz danego konta – nie panikuj, nie usuwaj go, ale przez najbliższe dni albo tygodnie obserwuj historię logowania. Spróbuj włączyć tam zabezpieczenia. To może być weryfikacja etapowa, ale może masz tam w profilu zapisane dane, które są już zbędne? Albo możesz zablokować ilość jakichś operacji? Wszystko zależy od tego, o jakiej stronie www mówimy, ale na pewno znajdziesz coś, co można wyłączyć albo dane, które można usunąć.
Czytaj też: Poznaj najciekawsze darmowe szkolenia z cyberbezpieczeństwa z okazji Europejskiego Miesiąca Cyberbezpieczeństwa!
Spodziewaj się zmasowanego ataku phishingowego
Luka w PHP to doskonały moment, żeby hakerzy postanowili wykorzystywać podatne strony www na wysyłanie maili phishingowych do użytkowników. Nigdy nie klikaj w podejrzane linki, zawsze sprawdzaj, kto jest nadawcą, jeżeli masz wątpliwości – zadzwoń.
Zaktualizuj przeglądarkę stron www
Niezależnie, czy korzystasz z Google Chrome, Edge, Mozilla Firefox czy innej popularnej przeglądarki – zaktualizuj ją. Teraz i dbaj o aktualizacje regularnie. Aktualizacje zmniejszają podatność na atak hakerów!
Czytaj też: Fact-checking i dezinformacja – jak z tym walczyć?
Dbaj o swoje cyberbezpieczeństwo, nie tylko w październiku!
Aktualizacje, regularna zmiana hasła, monitorowanie swoich kont i niepozostawianie ich ślepemu losowi, ogólnie – regularne porządki w swoich internetowych zasobach, to proste zasady cyberbezpieczeństwa, które naprawdę mogą zwiększyć Twój poziom bezpieczeństwa w sieci. Teraz, gdy doświadczamy prawdopodobnie największej luki bezpieczeństwa w ostatnim dziesięcioleciu, jak i zawsze wtedy, gdy hakerzy szukają sposobów na atak, a właściciele stron choćby o tym nie wiedzą.
Źródło zdjęcia: Tima Miroshnichenko
