Internet ma poważny problem. Dwie luki w PHP oceniono na 9,2/10

W popularnym języku programowania PHP wykryto dwie krytyczne luki bezpieczeństwa, które mogą pozwolić napastnikom na zdalne wykonywanie kodu na serwerach. Obie otrzymały ocenę 9,2 na 10 w skali CVSS v4.0, oraz 10 na 10 w ocenie  watchTowr.  Zagrożenie może dotyczyć infrastruktury obsługującej miliony stron internetowych.

Luki w zabezpieczeniach oprogramowania wykorzystywanego w infrastrukturze internetowej mogą mieć konsekwencje wykraczające poza pojedynczą stronę internetową. W szczególności luki w zabezpieczeniach technologii wykorzystywanych przez miliony stron internetowych mogą stać się poważnym problemem bezpieczeństwa, jeśli atakujący uzyskają dostęp do serwerów. Właśnie wydano krytyczny alert bezpieczeństwa dla PHP, jednego z najpopularniejszych języków programowania w internecie.

Zespół programistów PHP przygotowuje pilne aktualizacje dla dwóch poważnych luk w zabezpieczeniach. Analitycy bezpieczeństwa twierdzą, że luki te mogą umożliwić zdalne wykonanie kodu. Zaniepokojenie budzą również doniesienia o wycieku szczegółów technicznych luk przed planowaną datą ich udostępnienia.

Zidentyfikowano dwie krytyczne luki w zabezpieczeniach PHP.

Zespół ds. bezpieczeństwa PHP ogłosił 20 października, że ​​aktualizacje usuwające dwie luki w zabezpieczeniach zostaną opublikowane w środę, 21 października 2026 roku, o godzinie 14:00 UTC (16:00 czasu polskiego). Obie luki uzyskały ocenę 9,2 na 10 w systemie oceny bezpieczeństwa CVSS v4.0. 

Deweloperzy nie ujawnili jeszcze szczegółów technicznych luk ani wersji PHP, których dotyczą. Oczekuje się, że informacje o wersjach, których dotyczą luki, oraz o zakresie poprawek zostaną ogłoszone wraz z wydaniem aktualizacji.

Zespół PHP oświadczył, że może udostępnić poprawki przed planowanym terminem, jeśli szczegóły dotyczące luk w zabezpieczeniach wyciekną do opinii publicznej lub pojawią się dowody na ich wykorzystywanie w aktywnych atakach. W związku z tym poproszono administratorów o monitorowanie komunikatów i gotowość do jak najszybszej instalacji aktualizacji.

The PHP security team is giving advance notice: Upcoming security release Wed, Oct 21st 2026, 14:00UTC, two critical vulnerabilities, both rated CVSSv4 9.2. PHP users are encouraged to prepare to update. Earlier release if details become public or active exploit evidence.

— The PHP Foundation (@ThePHPF) October 20, 2026

PHP2Shell budzi niepokój ekspertów

Według badaczy bezpieczeństwa, luki zidentyfikowane jako CVE-2026-109618 i CVE-2026-109619 mogą umożliwić ataki polegające na zdalnym wykonaniu kodu (RCE). Luki te umożliwiają atakującym zdalne wykonywanie poleceń lub kodu w systemie docelowym. 

Firma zajmująca się bezpieczeństwem, watchTowr, potwierdziła istnienie luk i poinformowała, że ​​udało jej się odtworzyć co najmniej jedną z nich. Według firmy, luki dotyczą prawdopodobnie wersji PHP 5, 6, 7 i 8. Jednak zespół PHP nie potwierdził jeszcze tej informacji.

Dodatkowe obawy wywołał materiał wideo prezentujący rzekome narzędzie wykorzystujące podatności, nazwane PHP2Shell. Film twierdzi, że kod może być wykonywany na serwerach obsługujących różne aplikacje internetowe oparte na PHP. Przykładami są WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel 13.36.0 i 8.83.29, Symfony 8.1.9, Drupal 11.4.10 oraz WHMCS 9.0.9.

Eksperci ostrzegają: ataki mogą ruszyć zaraz po wydaniu łatki

watchTowr poinformowała, że na moment publikacji jej ostrzeżenia nie znalazła dowodów na aktywne wykorzystywanie tych podatności. Nie ma więc podstaw, by stwierdzić, że cyberprzestępcy rozpoczęli już szeroko zakrojone ataki. Sytuacja może jednak szybko się zmienić po ujawnieniu szczegółów technicznych.

Eksperci zalecają organizacjom sprawdzenie, które serwery i aplikacje korzystają z PHP, oraz przygotowanie procesu instalacji poprawek. W przypadku systemów o krytycznym znaczeniu warto również rozważyć czasowe ograniczenie ich dostępności z internetu, jeśli pozwala na to charakter świadczonych usług. Firma zajmująca się bezpieczeństwem Sansec przewiduje, że masowe ataki mogą rozpocząć się w ciągu 15 minut od wydania poprawek. Webfence i Huntress również ostrzegły administratorów systemów, aby się przygotowali. 

Istnieje znacząca różnica w punktacji między oświadczeniami badaczy bezpieczeństwa a oficjalnym komunikatem zespołu PHP. watchTowr twierdzi, że luki w zabezpieczeniach są oceniane na 10 na 10 w skali CVSS. Oficjalna ocena zespołu PHP wynosi jednak 9,2 punktu dla obu luk.

Nawet 1,3 miliona serwerów może być zagrożonych

Eksperci zalecają organizacjom sprawdzenie, które serwery i aplikacje korzystają z PHP, oraz przygotowanie procesu instalacji poprawek. W przypadku systemów o krytycznym znaczeniu warto również rozważyć czasowe ograniczenie ich dostępności z internetu, jeśli pozwala na to charakter świadczonych usług.

Według szacunków przywołanych przez badaczy problem może potencjalnie dotyczyć około 1,3 miliona serwerów dostępnych z internetu. Nie jest to jednak potwierdzona liczba podatnych urządzeń. PHP to jednak język programowania o otwartym kodzie źródłowym, używany do tworzenia dynamicznych stron internetowych i aplikacji internetowych. Jest szeroko stosowany w systemach zarządzania treścią (CMS), takich jak WordPress, a także w platformach e-commerce, aplikacjach korporacyjnych i niestandardowych usługach internetowych. Rzeczywisty zasięg zagrożenia będzie można określić dopiero po opublikowaniu szczegółów i ustaleniu, które konfiguracje są narażone.