Krytyczne luki w PHP pozwalają na zdalne przejęcie serwerów
Amerykańska agencja cyberbezpieczeństwa CISA wydała pilne ostrzeżenie o dwóch groźnych podatnościach w języku programowania PHP. Luki znane pod zbiorczą nazwą php2shell pozwalały atakującym na zdalne wykonanie kodu i całkowite przejęcie kontroli nad serwerami bez uwierzytelniania. Problem objął wszystkie instalacje sieciowe, dlatego instytucje odpowiedzialne za bezpieczeństwo zaleciły natychmiastową aktualizację systemów lub całkowite odłączenie od internetu środowisk opartych na przestarzałym oprogramowaniu.
Spis treści:
Mechanizm działania podatności php2shell i skala zagrożenia
Zdalne wykonanie kodu to wektor ataku, który w 21 października 2026 roku został zidentyfikowany jako krytyczne zagrożenie dla środowisk opartych na PHP. Mechanizm ten pozwalał na uruchamianie obcych komend bezpośrednio na serwerze ofiary. Największe ryzyko dla firm wynikało z faktu, że hakerzy nie potrzebowali haseł ani żadnych danych logowania, ponieważ ominięto proces jakim jest uwierzytelnianie. Brak konieczności posiadania uprawnień sprawiał, że każdy system wystawiony do publicznej sieci stawał się potencjalnym celem natychmiastowego przejęcia.
- Zidentyfikowane luki w PHP otrzymały oficjalne oznaczenia CVE-2026-109618 oraz CVE-2026-109619.
- Zagrożenie obejmowało wszystkie instalacje, które skonfigurowano do obsługi operacji takich jak żądania sieciowe.
- Sytuację komplikował fakt, że PHP często działa jako niewidoczny komponent innego oprogramowania, co znacząco poszerzało powierzchnię ataku i utrudniało identyfikację podatnych miejsc.
Zalecenia agencji CISA dotyczące aktualizacji oprogramowania PHP
W obliczu wykrytych podatności agencja CISA skierowała do administratorów IT oraz dyrektorów do spraw bezpieczeństwa nakaz pilnego wdrożenia działań naprawczych. Priorytetem stała się natychmiastowa aktualizacja PHP na serwerach mających bezpośredni kontakt z internetem. Organizacjom zalecono rozpoczęcie procedur od przeprowadzenia pełnej inwentaryzacji własnej infrastruktury w celu zlokalizowania wszystkich instancji wykorzystujących ten język programowania.
Wydano wytyczne nakazujące wdrożenie bezpiecznych wersji środowiska. Jako wolne od błędu oznaczono edycje: 8.5.12, 8.4.27, 8.3.36 lub 8.2.35. Środowiska oparte na niewspieranych wersjach 8.1 i starszych musiały zostać całkowicie odłączone od sieci. Taka sama procedura obejmowała maszyny, których nie można było natychmiast zaktualizować. Administratorom zalecono także zapoznanie się z oficjalnym biuletynem zatytułowanym Security Advisory: Critical Remote Code Execution Vulnerabilities.
Tymczasowa ochrona serwerów i monitorowanie procesów roboczych
Dla podmiotów, które potrzebowały dodatkowego czasu na zainstalowanie docelowych łatek bezpieczeństwa, przygotowano procedury zapobiegawcze. Według stanu na dzień opublikowania alertu (21 października 2026 roku) agencja nie odnotowała jeszcze aktywnego wykorzystywania tych luk przez cyberprzestępców. Pomimo braku potwierdzonych incydentów, zaniechanie działań ochronnych wiązało się z ogromnym ryzykiem kompromitacji danych.
- Jako opcjonalne zabezpieczenie tymczasowe zalecono wdrożenie rozwiązania takiego jak firewall aplikacji webowych (WAF).
- Wymagano wzmożonego sprawdzania systemów pod kątem podejrzanej aktywności. Administratorzy musieli weryfikować procesy robocze PHP, zwracając szczególną uwagę na powłoki uruchamiane w tle oraz pobieranie nieznanych narzędzi z zewnętrznych źródeł.
Tekst ma charakter informacyjno-edukacyjny i opiera się na oficjalnych zaleceniach agencji bezpieczeństwa oraz doniesieniach branżowych, które były aktualne na dzień publikacji. Przedstawione informacje nie stanowią indywidualnej porady z zakresu cyberbezpieczeństwa, a wszelkie modyfikacje w infrastrukturze serwerowej powinny być podejmowane wyłącznie przez wykwalifikowanych administratorów systemów IT.
