Co się stało

W środę, 21 października 2026 r., platforma NotuBiz, służąca holenderskim instytucjom publicznym do udostępniania oficjalnych informacji radnym i władzom prowincji, została zapobiegawczo wyłączona. Firma twierdzi, że nie wykryła żadnych śladów włamania. Z systemu korzysta około stu gmin, prowincji i zarządów gospodarki wodnej, w tym Haga, Almere, Breda, Haarlem, Delft, Overijssel, Geldria i Fryzja. We Fryzji z platformy korzystają również władze prowincji, Wetterskip Fryslân oraz gminy Smallingerland i Súdwest-Fryslân. W prowincji Utrecht systemy informacyjne rad jedenastu gmin, w tym Amersfoort, Zeist i IJsselstein, przestały działać, a NotuBiz nie wie jeszcze, kiedy zostaną przywrócone. Agencja informacyjna ANP również zapobiegawczo wyłączyła własne systemy.

Dwie krytyczne luki w PHP

CERT-EU, zespół reagowania na incydenty komputerowe w instytucjach UE, ostrzegł w środę rano o dwóch lukach w PHP, które określił jako krytyczne. Luki otrzymały ocenę 9,2 na 10 w skali CVSS, która mierzy łatwość wykorzystania słabości i zakres jej oddziaływania. Oznaczono je jako CVE-2026-109618 oraz CVE-2026-109619. Twórcy PHP zgłosili te błędy tego samego ranka; mogą one pozwolić atakującemu na zdalne przejęcie kontroli nad serwerem. Według szacunków, około 70 procent stron internetowych na świecie korzysta z PHP lub aplikacji na nim opartych.

Cloudflare, amerykańska firma, której firewall chroni wiele popularnych witryn, informuje o pierwszych atakach i podaje, że jej zapora sieciowa blokuje próby wykorzystania luki. Hakerzy prawdopodobnie znaleźli sposób na nadużycie problemu, zanim dostępna stała się poprawka. Firma cyberbezpieczeństwa Huntress napisała na swojej stronie o powszechności PHP:

„PHP jest wszędzie. Działa niewidocznie pod stronami opartymi na WordPressie, Drupalu, Joomli i Magento.”

Ostrzeżenia i aktualizacja o 16:00

Informacje o istnieniu luk wyciekły we wtorek, 20 października, a krążące w mediach społecznościowych nagranie pokazuje, jak można je wykorzystać w ciągu kilku sekund. Etyczny haker Inti De Ceukelaire określił problem jako bardzo poważny i wyraził obawę przed falą ataków hakerskich:

„Obawiam się, że to będzie katastrofa.”

Według De Ceukelaire'a, atakujący mogą dodawać pliki oraz odczytywać kod źródłowy i klucze bezpieczeństwa, co może otworzyć dostęp do bazy danych klientów. Dodał, że wiele firm może nadal korzystać z PHP, nawet o tym nie wiedząc, na starszych blogach czy stronach. Wouter van Dongen, inny etyczny haker, powiedział ANP, że niebezpieczeństwo polega na przejęciu stron lub uzyskaniu dostępu do wszystkich danych. Nie był zaskoczony pierwszymi atakami:

„Grupy hakerskie idą na całość.”

Aktualizacja i zalecenia

Zespół ds. bezpieczeństwa PHP planuje wydać aktualizację o godzinie 16:00 czasu holenderskiego i informuje, że może to zrobić wcześniej, jeśli szczegóły jednej z luk staną się publiczne lub jeśli znajdzie dowody na aktywne wykorzystywanie błędu. CERT-EU wzywa organizacje do przygotowania się na natychmiastową instalację aktualizacji. Organizacje, które nie mogą zaktualizować systemów na czas, powinny rozważyć wyłączenie swoich stron, podała agencja. Poniższy wykres przedstawia dotychczasowe kluczowe momenty.