Zespół bezpieczeństwa PHP zapowiedział pilne wydanie poprawek dla dwóch krytycznych luk RCE ocenionych na 9,2 w skali CVSS v4.0. Zagrożenie dotyczy infrastruktury napędzającej miliony serwisów internetowych, w tym popularnych systemów CMS oraz platform e-commerce. Aagencje cyberbezpieczeństwa apelują do administratorów o natychmiastową instalację aktualizacji lub czasowe odłączenie podatnych systemów od sieci.
Oficjalne ostrzeżenie zespołu PHP i harmonogram poprawek
Oficjalny komunikat zespołu bezpieczeństwa PHP wyznaczył publikację poprawek na środę 21 października 2026 roku na godzinę 16:00 czasu polskiego. Podatności oznaczone w biuletynach branżowych jako CVE-2026-109618 oraz CVE-2026-109619 uzyskały oficjalną ocenę 9,2 w dziesięciostopniowej skali CVSS v4.0. Zespół programistów zastrzegł, iż łatki zostaną udostępnione wcześniej, o ile w sieci pojawią się dowody na aktywne wykorzystanie luk lub wyciekną dalsze szczegóły techniczne. Jak ogłosiło PHP Foundation: Zespół bezpieczeństwa PHP z wyprzedzeniem informuje o nadchodzącym wydaniu bezpieczeństwa. Zachęcamy użytkowników PHP do przygotowania się do aktualizacji.
Zakres podatności i mechanizm działania PHP2Shell
Nieoficjalne doniesienia oraz analizy firm badawczych wskazują, iż luki typu RCE pozwalają napastnikom na wykonywanie dowolnego kodu na serwerze bez konieczności wcześniejszego uwierzytelnienia. Problem powiązano z obsługą żądań multipart oraz rozszerzeniem sesji, a w środowisku badaczy zagrożenie zyskało nazwę PHP2Shell. Analitycy z firmy watchTowr odtworzyli działanie przynajmniej jednej z luk i potwierdzili, iż dotyczy ona szerokiego wachlarza wydań języka od wersji 5 do 8. Zagrożenie wpływa na serwery obsługujące m.in. WordPress, Drupal, Magento, Joomla czy Laravel.
Rekomendacje agencji rządowych i ryzyko dla biznesu
Europejski Zespół Reagowania na Incydenty Bezpieczeństwa Komputerowego (CERT-EU) oraz australijskie centrum ACSC wydały wytyczne dla organizacji rynkowych. Eksperci wskazują, iż podmioty niebędące w stanie natychmiast zainstalować poprawki powinny rozważyć odizolowanie lub całkowite wyłączenie podatnych aplikacji z ruchu internetowego. Szacunki badaczy mówią choćby o 1,3 miliona serwerów bezpośrednio wystawionych na ryzyko ataku. Dostawca infrastruktury GoDaddy ostrzegł, iż udana infekcja może prowadzić do kradzieży danych, modyfikacji treści witryn lub przejęcia pełnej kontroli nad systemem.
Wskazówki dla administratorów i środki tymczasowe
Przedstawiciele branży podkreślają jednak, iż automatyczne aktualizacje systemów CMS nie rozwiązują problemu, ponieważ naprawa wymaga ingerencji na poziomie środowiska uruchomieniowego PHP. Dane Knecht z firmy Cloudflare zaznaczył:
Obserwujemy pojawiające się pierwsze ataki i aktualizujemy środki zaradcze w miarę ujawniania nowych wektorów. To tylko rozwiązanie tymczasowe. Należy zaaplikować poprawkę tak szybko, jak tylko zespół PHP udostępni aktualizację.
W ramach działania osłonowego serwis Sekurak wskazuje na możliwość wyłączenia opcji session.upload_progress.enabled w pliku konfiguracyjnym php.ini.
Wpływ na rynek usług hostingowych i partnerów IT
Sytuacja stanowi duże wyzwanie operacyjne dla dostawców hostingu, integratorów systemów oraz działów utrzymania infrastruktury IT. Szczególną uwagę należy zwrócić na starsze wersje PHP, które nie posiadają już oficjalnego wsparcia producenta i wymagają manualnego przeniesienia poprawek przez dostawców dystrybucji. Zespół Huntress przypomniał, iż oprogramowanie działa w tle wielu platform B2B:
PHP jest wszędzie. Po cichu napędza witryny WordPress, Drupal, Joomla i Magento, platformy hostingu współdzielonego, panele sterowania oraz ogromną ilość oprogramowania, które choćby nie informuje, iż działa na PHP.
Przedsiębiorstwa powinny więc niezwłocznie przeprowadzić audyt posiadanych zasobów cyfrowych i przygotować procedury aktualizacyjne.
.jpg)