Krytyczne luki PHP zmuszają witryny rządowe do przejścia w tryb offline przed awaryjną łatą

Zespół deweloperów PHP zaplanował niecykliczny wydany wydanie bezpieczeństwa na 14:00 UTC 21 października 2026 r., aby naprawić dwie krytyczne luki po wycieku szczegółów w Internecie dzień wcześniej, zgodnie z The Hacker News i firmą bezpieczeństwa Sansec. Luki były śledzone jako CVE-2026-109618 i CVE-2026-109619 i były nieoficjalnie nazywane "PHP2Shell" przez badaczy, nazwa, którą własny zespół PHP nie przyjął, zgłosiła The Hacker News.

Jakie są te luki

Zgodnie z opisem technicznym Sansec, CVE-2026-109618 jest luką use-after-free w obsłudze postępu przesyłania PHP, która może wyciekać pamięć serwera — w tym hasła, tokeny sesji i prywatne klucze TLS — poprzez plik cookie PHPSESSID, w sposób, który firma porównała do błędu Heartbleed z 2014 r. CVE-2026-109619 jest oddzielną luką use-after-free wyzwalana, gdy podczas wyczerpania pamięci pojawia się błąd krytyczny, w połączeniu z zamieszaniem typów w OPcache PHP, które, zdaniem Sansec, umożliwia zdalne wykonanie kodu. Obie luki są osiągalne przez żądania multipart/form-data, format używany przez strony internetowe do przesyłania plików.

Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) opisało ryzyko w swoim komunikacie z 21 października jako pozwalające atakującemu na "wykonywanie poleceń na dowolnym serwerze internetowym z systemem PHP" bez konieczności logowania i oceniło problem jako krytyczny.

Dlaczego rządy i platformy przeszły w tryb offline

Ponieważ PHP stanowi podstawę dużej części sieci web, kilka organizacji postanowiło wyłączyć witryny skierowane do publiczności, zamiast czekać na łatę. Techzine podał, że holenderskie usługi rządowe, w tym MijnOverheid, DigiD i systemy parlamentarne, zostały czasowo wyłączone, a historia wiadomości przekazana przez KSL stwierdziła, że agencje cyberbezpieczeństwa w Holandii i Finlandii wyłączyły witryny rządowe w celu ostrożności. Techzine również podał, że Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) i amerykańska Agencja Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) wydały alerty wzywające administratorów do zastosowania łat lub wyłączenia dotkniętych systemów, podczas gdy Wikipedia i Meta nadal działały, stosując zmodyfikowane środowiska uruchomieniowe PHP i reguły zapory sieciowej aplikacji zamiast przejścia w tryb offline.

Sansec poinformowała, że główny deweloper PHP Gina Peter Banyard opisał wyłączenie serwerów przed przybyciem łaty jako najrozsądniejszą opcję dla organizacji niemogących natychmiast zastosować poprawkę — wskazówkę, którą postępowało kilka holenderskich instytucji.

Cloudflare stwierdziła, że zaczęła widzieć próby eksploatacji przed wydaniem oficjalnej łaty. Zgodnie z raportem KSL, główny technolog Cloudflare stwierdził, że firma obserwuje wczesne ataki i stale aktualizuje swoje łagodzenia, gdy pojawiają się nowe metody ataków, opisując ochronę Cloudflare jako czasowe rozwiązanie do czasu przybycia oficjalnej poprawki PHP. Sansec osobno poinformowała, że Cloudflare wykryła ataki rozpoczynające się o 07:43 UTC 21 października, około sześć godzin przed zaplanowaną poprawką PHP.

• WordPress, Drupal, Joomla i Magento, systemy zarządzania treścią i e-commerce zbudowane na PHP
• Konkretne wersje nazwane przez Sansec jako potwierdzone podatne: Magento 2.4.9, WordPress 7.1.2, Drupal 11.4.3, Joomla 6.1.4, MediaWiki 1.46.2, Roundcube 1.7.4, phpMyAdmin 5.2.3, Nextcloud 35.0.1, Laravel 13.11 i Symfony 8.1
• Platformy hostingu współdzielonego i panele sterowania, które zawierają PHP, zgodnie z komunikatem NCSC
• Holenderskie usługi rządowe DigiD i MijnOverheid, zgodnie z Techzine

Skala ekspozycji: szacunki się różnią

Co wiadomo, a co nie

Zespół PHP potwierdził, że PHP 8.2, 8.3, 8.4 i 8.5 otrzymają oficjalne poprawki — oczekiwane jako wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35, zgodnie z The Hacker News — podczas gdy gałęzie na końcu życia 8.1 i wcześniejsze nie będą łatane przez dostawcę. Jednak Sansec stwierdziła, że poniższy błędny kod pochodzi z PHP 5.4.0, co oznacza, że wiele starszych, nieobsługiwanych instalacji prawdopodobnie pozostaje podatne bez dostępnej oficjalnej poprawki. Zgodnie z The Hacker News, na dzień raportu z 21 października nie było dostępne publiczne proof-of-concept, a luki nie zostały dodane do katalogu Known Exploited Vulnerabilities CISA w tym czasie — chociaż późniejsze oświadczenie Cloudflare wskazywało, że próby ataku były już w toku.

Tło: jak znaleziono luki

Oś czasu Sansec śledzi pierwszy błąd do badań, które rozpoczęły się 1 sierpnia 2026 r., przez badacza używającego uchwytu "Calif" pracującego z OpenAI, który zgłosił go zespołowi bezpieczeństwa PHP 11 sierpnia. Drugi powiązany raport pochodził od zespołu Wiz Research — nazwany przez Sansec jako Sagi Tzadik, Shir Tamari, Nir Ohfeld i Tomer Schwartz — 24 sierpnia. Sansec stwierdziła, że oba zespoły badawcze przypisały modele AI przyspieszeniu pracy nad znalezieniem i dostosowaniem exploitów w różnych wersjach PHP, a jeden badacz podobno osiągnął działający exploit w ciągu około tygodnia. Szczegóły skoordynowanego, objętego embargiem ujawnienia wyciekły na jaw 20 października, zmuszając PHP do przyspieszenia ogłoszenia i ustalenia wydania łaty na 21 października.