WyjaśnienieGłos syntetyczny (AI)
W skrócie
CVE-2026-109618 i CVE-2026-109619 umożliwiają zdalne wykonanie kodu, a NOS ocenił każdą z nich na 9,2 w skali od 1 do 10. Fundacja PHP informuje, że poprawki otrzymują tylko wersje PHP 8.2 i nowsze.
Finlandia wyłączyła wszystkie strony rządowe, a francuskie Ministerstwo Spraw Wewnętrznych poinformowało o niedostępności stron lokalnej administracji. Holenderska agencja cyberbezpieczeństwa również wyłączyła swoje systemy zapobiegawczo.
Dyrektor ds. technologii Cloudflare, Dane Knecht, poinformował o pojawieniu się pierwszych ataków, a Sansec przewidywał masowe ataki w ciągu 15 minut od wydania poprawki. Matthijs Koot przekazał, że kod wykorzystujący luki już krążył w sieci.
Twórcy PHP potwierdzili aktualizację w środę, 21 października, a NOS poinformował, że pojawiła się ona około godziny szesnastej. Wordfence ostrzegł, że automatyczne aktualizacje nie zainstalują poprawki.
- 20.10Twórcy PHP ostrzegają przed dwiema krytycznymi lukami i zapowiadają poprawkę
- Środa rano, 21 październikaZrzuty ekranu opisujące luki pojawiają się na X po opublikowaniu szczegółów na forum hakerskim
- 21.10Strony rządowe i publiczne w Europie wyłączane zapobiegawczo
- Środa po południu, 21 październikaTwórcy potwierdzają dostępność poprawki
Co się stało
Dwie krytyczne luki w PHP, języku programowania stanowiącym fundament znacznej części sieci, skłoniły administratorów w całej Europie do wyłączenia stron internetowych w środę, 21 października. Twórcy PHP ostrzegali już we wtorek, 20 października, że przygotowują poprawkę. W środę rano na platformie X pojawiły się zrzuty ekranu opisujące luki, po tym jak szczegóły opublikowano na popularnym forum hakerskim. Jak podał NRC, informacje te pozwoliły hakerom na próby odnalezienia i wykorzystania luki. Twórcy potwierdzili później dostępność aktualizacji, a według NOS pojawiła się ona około godziny szesnastej. Do tego czasu luki były już prawdopodobnie wykorzystywane od kilku godzin.
Luki w zabezpieczeniach
Według N-tv, dwie luki o oznaczeniach CVE-2026-109618 oraz CVE-2026-109619 są śledzone pod nazwą PHP2Shell. Pozwalają one przestępcom na zdalne uruchamianie własnego kodu na zainfekowanych serwerach, co może prowadzić do przejęcia pełnej kontroli nad stroną lub dostępu do danych klientów. NOS ocenił każdą z luk na 9,2 w skali CVE, która obejmuje zakres od 1 do 10. Fundacja PHP poinformowała, że problem dotyczy wszystkich instalacji PHP obsługujących żądania internetowe, począwszy od wersji PHP 5 wydanej w lipcu 2004 roku, jednak wsparcie techniczne otrzymują obecnie tylko wersje PHP 8.2 i nowsze. Wordfence ostrzegł, że automatyczne aktualizacje nie zainstalują poprawki, dlatego właściciele stron muszą ustalić, kto odpowiada za aktualizację PHP na ich serwerach.
- CVE-2026-109618
- 9.2 Wynik CVSS (na 10)
- CVE-2026-109619
- 9.2 Wynik CVSS (na 10)
Dane z tekstu artykułu
Strony rządowe i publiczne wyłączone
Kilka rządów podjęło działania zapobiegawcze. Finlandia wyłączyła wszystkie swoje strony rządowe, a francuskie Ministerstwo Spraw Wewnętrznych poinformowało, że strony lokalnych urzędów administracji były tymczasowo niedostępne. W Holandii wyłączono DigiD, Thuisarts.nl oraz stronę Tweede Kamer, a także części systemu Narodowego Centrum Cyberbezpieczeństwa (NCSC) oraz witryny mediów i partii politycznych. W Rotterdamie wyłączono stronę informacyjną Rijnmond Veilig, operatora transportowego RET oraz Port w Rotterdamie, który przekazał, że nie odnotował problemów operacyjnych. W Belgii niedostępna była platforma szkolna Smartschool, tytuły prasowe Libelle i Knack oraz kilka szpitali w okolicach Antwerpii. W Niemczech wyłączono strony Badenii-Wirtembergii, miasta Moguncja, berlińskiej kliniki Charité oraz federalnego ministerstwa budownictwa. Fundacja Wikimedia również wyłączyła część swoich systemów.
Poprawka, środki zaradcze i ostrzeżenia
Dane Knecht, dyrektor ds. technologii w Cloudflare, poinformował na platformie X, że firma aktualizuje reguły zapory sieciowej jako tymczasowe zabezpieczenie.
„Obserwujemy pierwsze ataki i aktualizujemy zabezpieczenia w miarę pojawiania się nowych wektorów.”
Podkreślił, że środek ten jest tylko tymczasowy i wezwał operatorów do zainstalowania aktualizacji, gdy tylko się pojawi. Firma ochroniarska Sansec jeszcze przed wydaniem poprawek przewidywała masowe ataki w ciągu 15 minut od publikacji. Komunikaty Fundacji PHP w kwestii dostępnych opcji były jednoznaczne.
„Nie istnieją kompletne środki zaradcze, aktualizacja jest jedynym bezpiecznym wyborem.”
NOS zauważył, że filtrowanie podejrzanego ruchu nie mogło powstrzymać każdej próby ataku, dlatego wielu operatorów zdecydowało się wyłączyć strony, zamiast czekać na poprawkę.
Reakcje ekspertów
Lukasz Olejnik, niezależny konsultant ds. bezpieczeństwa i wizytujący starszy pracownik naukowy w King's College London, ocenił sytuację bardzo surowo.
„To nie są ćwiczenia.”
Porównał PHP do infrastruktury krytycznej, ostrzegając, że zagrożone mogą być miliony systemów, a najgorszy scenariusz zakłada rozprzestrzenianie się złośliwego oprogramowania na dużą skalę w internecie. Matthijs Koot z Bureau Veritas Cybersecurity poinformował w środę rano, że wyłączył własną stronę internetową i że kod wykorzystujący luki już krąży w sieci. Ekspert internetowy Bert Hubert stwierdził, że bycie offline jest lepsze niż zhakowanie i poparł decyzję o wyłączeniu DigiD. Firma Huntress zajmująca się cyberbezpieczeństwem napisała, że PHP jest wszędzie, zauważając, że obsługuje strony oparte na WordPressie, Drupalu, Joomli i Magento, platformy współdzielonego hostingu oraz wiele programów, które nie reklamują tego faktu.