Dwie krytyczne luki w popularnym oprogramowaniu
Twórcy technologii PHP oraz eksperci ds. cyberbezpieczeństwa poinformowali o wykryciu dwóch poważnych luk w zabezpieczeniach, oznaczonych jako CVE-2026-109618 oraz CVE-2026-109619. Obie podatności zostały ocenione na 9,2 punktu w dziesięciostopniowej skali CVSS, co oznacza najwyższy, krytyczny poziom zagrożenia.
Błędy dotyczą zarządzania pamięcią podczas obsługi żądań przez serwer i pozwalają na zdalne wykonanie kodu bez konieczności wcześniejszego uwierzytelnienia czy znajomości hasła. W skrajnych przypadkach atakujący może zyskać pełną kontrolę nad podatną witryną, ukraść poufne informacje oraz hasła.
Skala zagrożenia dla infrastruktury internetowej
Specjaliści z firmy Wiz wskazali, że możliwe jest przeprowadzanie ataków na systemy zarządzania treścią takie jak Drupal, Joomla czy WordPress. W procesie identyfikacji tych błędów oraz projektowania skutecznych metod ich eksploatacji wykorzystano wsparcie sztucznej inteligencji. Szczególnie wysoki stopień ryzyka przypisuje się środowiskom bazującym na Apache z aktywnym mod_php, gdzie do inicjacji ataku może dojść jeszcze przed etapem uruchamiania właściwego kodu aplikacji.
Skala problemu jest ogromna, ponieważ język PHP stanowi fundament działania około 70 procent stron internetowych na świecie, w tym portali informacyjnych, sklepów internetowych oraz systemów instytucji publicznych. Podatne na ataki są wszystkie wersje PHP od 5.0 lub 5.4 w górę, w zależności od analizujących źródła podmiotów.
Oficjalne poprawki i zalecenia służb
W odpowiedzi na zagrożenie, w środę 21 października opublikowano bezpieczne wydania oprogramowania w wersjach PHP 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35, które usuwają wykryte luki. Sytuacja jest szczególnie trudna dla administratorów korzystających ze starszych, niewspieranych już oficjalnie wersji PHP z gałęzi 8.1 i wcześniejszych, dla których brakuje oficjalnych łat od twórców.
Wojska Obrony Cyberprzestrzeni oraz CERT Polska wydały pilne komunikaty wzywające do natychmiastowego zaktualizowania środowisk serwerowych. W przypadku braku możliwości szybkiego wdrożenia poprawek wojskowi eksperci zalecają nawet odseparowanie podatnych aplikacji od sieci publicznych. Podkreślono również, że sama aktualizacja systemów zarządzania treścią, takich jak WordPress, nie wystarczy, jeśli na serwerze działa narażona wersja PHP.