Kryzys PHP przybiera na sile. Rządy wyłączają systemy

Dzięki badaniom wspomaganym przez sztuczną inteligencję odkryto dwie krytyczne luki w zabezpieczeniach języka programowania PHP, na którym opiera się znaczna część internetu. Chociaż opublikowano aktualizacje eliminujące te luki, organizacjom, które nie podjęły odpowiednich działań, zalecono tymczasowe zamknięcie swoich stron internetowych. Problemy z dostępem  wystąpiły m.in. w fińskim rządzie, holenderskich instytucjach publicznych oraz niektórych serwisach BBC.

W środę opublikowano poprawkę na luki w zabezpieczeniach odkryte przez analityków bezpieczeństwa. Jednak organizacjom, które nie wdrożyły aktualizacji na czas, zalecono wyłączenie dostępu do swoich systemów do czasu ich zabezpieczenia.

Skutki naruszeń bezpieczeństwa szybko rozprzestrzeniły się z instytucji publicznych na media. Rząd fiński tymczasowo wyłączył publiczne usługi internetowe. Holenderska agencja ds. cyberbezpieczeństwa również ogłosiła zamknięcie własnej strony internetowej. 

W Anglii strona internetowa Rady Miasta Edynburga stała się niedostępna, podobnie jak niektóre strony BBC.

Fundacja Wikimedia, zarządzająca Wikipedią, ogłosiła również podjęcie środków ostrożności w celu wyeliminowania luk w zabezpieczeniach. Fundacja poinformowała, że ​​tymczasowo wyłączyła niektóre systemy do czasu ich bezpiecznej aktualizacji. W środę spowodowało to problemy z dostępem do niektórych sekcji Wikipedii. Platforma DeviantArt również tymczasowo zamknęła swoją stronę internetową z powodu prac konserwacyjnych. W Polsce nie działał choćby Wykop.

Two critical vulnerabilities have been identified in PHP, a widely used programming language that powers websites and web applications. These vulnerabilities (CVE-2026-109618 and CVE-2026-109619) could allow malicious cyber actors to remotely execute code in PHP core, potentially compromising sensitive data and networks. The FBI urges organizations to take the following steps now: ➡️ If an immediate update is not feasible it is recommended that organizations take the system offline until it can be fully mitigated. ➡️ Immediately update affected PHP installations following the guidance on https://t.co/rDrPSxB3zX. Inventory where PHP runs in your environment, prioritizing internet-facing systems and vendor products that bundle PHP. ➡️ Monitor web servers for suspicious activity, including PHP processes unexpectedly launching command shells or downloading files. Ensure appropriate process-monitoring capabilities are in place to help identify potential exploitation. ➡️ If you find signs of compromise, isolate affected systems, preserve your web server and PHP logs, and report it to your local FBI field office or https://t.co/iqgVZIbCru. Those reports help us identify the actors involved and warn other organizations before they become victims. For the latest information, follow PHP’s announcement on https://t.co/rDrPSxB3zX, CERT-EU Security Advisory 2026-018, and CISA’s Known Exploited Vulnerabilities catalog.

— FBI Cyber Division (@FBICyberDiv) October 21, 2026

Luki w zabezpieczeniach odkryto przy użyciu sztucznej inteligencji.

Luki zostały odkryte przez badaczy z firm zajmujących się cyberbezpieczeństwem, takich jak California i Wiz. Prace przeprowadzono w ramach programu Patch the Planet, uruchomionego przez OpenAI, którego celem jest wyszukiwanie i usuwanie luk w zabezpieczeniach oprogramowania. California i PHP Foundation, uczestniczące w programie, skorzystały z zaawansowanych narzędzi AI firmy OpenAI, aby zbadać luki w zabezpieczeniach technologii związanych z tworzeniem stron internetowych.

Firma OpenAI stwierdziła w swoim wpisie na blogu, że to odkrycie jest jednym z najpoważniejszych problemów bezpieczeństwa ostatnich czasów. Doniesiono również, że wewnętrzny badacz firmy zidentyfikował podobny problem mniej więcej w tym samym czasie.

Według Wiz, luki w zabezpieczeniach, które pozostawały niezauważone przez ponad dekadę, zostały odkryte po kilku tygodniach pracy z wykorzystaniem zaawansowanych narzędzi sztucznej inteligencji. Firma stwierdziła, że ​​zaawansowane modele sztucznej inteligencji umożliwiły opracowanie i adaptację metod exploitów, które działają w różnych aplikacjach, w ciągu kilku godzin.

Luki w zabezpieczeniach mogą dotyczyć około 70 procent internetu

Biorąc pod uwagę szeroki zakres zastosowań języka PHP, szacuje się, że problem ten dotyczy dużej liczby stron internetowych i usług online.

Fundacja PHP planowała ogłosić swoje odkrycia i kompleksową poprawkę jeszcze w tym miesiącu. Jednak szczegóły dotyczące luki w zabezpieczeniach wyciekły we wtorek do mediów społecznościowych, co skłoniło organizację do przyspieszenia ogłoszenia. 

Organizacje zamykają systemy

Amerykańska Agencja Bezpieczeństwa Narodowego (NSA) i Federalne Biuro Śledcze (FBA) wydały ostrzeżenie, zalecając organizacjom, które nie mogą zastosować aktualizacji, wyłączenie swoich systemów. Agencje zauważyły, że takie luki w zabezpieczeniach mogą tworzyć ścieżki umożliwiające bezpośredni dostęp do systemów plików lub baz danych serwerów.

Biały Dom ogłosił, że agencje federalne współpracują z wiodącymi laboratoriami sztucznej inteligencji (AI), aby przyspieszyć rozwiązanie problemu. Premier Japonii Sanae Takaichi wezwał również organizacje do sprawdzenia, czy ich publiczne strony internetowe korzystają z PHP w postach w mediach społecznościowych.

Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC), wraz z odpowiednimi agencjami w Unii Europejskiej i Australii, zaapelowało do organizacji korzystających z PHP o stosowanie aktualizacji zabezpieczeń. NCSC stwierdziło, że w przypadku braku możliwości natychmiastowej naprawy, należy rozważyć wyłączenie systemów do czasu całkowitego wyeliminowania zagrożenia.

Unia też reaguje

Zespół reagowania na incydenty komputerowe Unii Europejskiej (CERT-EU) poinformował, że poziomy ryzyka luk wskazują na możliwość zdalnego wykonania kodu bez uwierzytelniania. Taki atak mógłby umożliwić atakującym uruchomienie złośliwego oprogramowania w systemach docelowych lub zablokowanie stron internetowych.

Firma Huntress, zajmująca się cyberbezpieczeństwem, zauważyła, że ​​PHP jest używany w popularnych systemach zarządzania treścią (CMS), takich jak WordPress, Drupal, Joomla i Magento, a także w usługach hostingu współdzielonego, panelach sterowania i wielu innych aplikacjach. Zauważono, że w niektórych produktach PHP może działać w tle, niezauważony przez użytkowników ani administratorów systemu.

Dane Knecht, dyrektor ds. technologii w firmie Cloudflare, zajmującej się infrastrukturą internetową, ogłosił również, że pojawiły się pierwsze ataki powiązane z lukami. Knecht zapewnił, że firma aktualizuje swoje środki obrony w miarę pojawiania się nowych metod ataków.

Poprawki nie dotyczą starszych wersji

CERT-EU ostrzegł, że problem może dotyczyć starszych wersji, w tym PHP 5, wydanego w 2004 roku. Jednak poprawki wydane przez PHP Foundation dotyczą tylko nowszych wersji. Użytkownikom PHP 8.1 i starszych wersji zaleca się aktualizację do nowszej wersji.

PHP, pierwotnie stworzony do tworzenia stron internetowych, działa na serwerach i odgrywa rolę w generowaniu treści i funkcjonalności, które użytkownicy widzą odwiedzając strony internetowe. Chociaż nie cały internet korzysta z tego języka, jego powszechne użycie sprawia, że ​​te luki w zabezpieczeniach stanowią poważne zagrożenie dla wielu organizacji.