Dwie krytyczne luki w PHP o nazwie "PHP2Shell" zagrażają większości sieci Web

21 października 2026 roku projekt PHP wydał poprawione wersje języka po tym, jak badacze bezpieczeństwa ujawnili dwie krytyczne luki umożliwiające zdalne wykonywanie kodu, wspólnie nazwane "PHP2Shell". Luki te, śledzone jako CVE-2026-109618 i CVE-2026-109619, zostały odkryte przez firmę bezpieczeństwa chmury Wiz Research, która przyznała organizacjom Calif i OpenAI zasługę za wkład w odkrycie, koordynację i weryfikację poprawek, zgodnie z publicznym artykułem Wiz.

Co robią te dwie luki

Wiz mówi, że dwa CVE-ów faktycznie łączą cztery odrębne błędy bazowe. CVE-2026-109618 obejmuje lukę typu use-after-free w deserializerze postępu przesyłania sesji PHP, którą można wykorzystać do zdalnego wykonywania kodu, a także powiązaną lukę, która może wyciek pamięć z uruchamianego procesu workera PHP bez uwierzytelniania. CVE-2026-109619 obejmuje use-after-free w obsłudze śledzenia stosu błędów PHP oraz oddzielną lukę typu confusion w OPcache, pamięci podręcznej kodu bajtowego PHP.

Według Wiz, oba problemy znajdują się w ścieżkach kodu, przez które przechodzą prawie wszystkie żądania PHP: zarządzanie pamięcią i obsługa błędów. Fundacja PHP sformułowała tę samą uwagę w komentarzach cytowanych przez outlet SecurityWeek.

Oś czasu odkrycia

Zespół badawczy Wiz — wymieniony w jego wpisie na blogu jako Sagi Tzadik, Shir Tamari, Nir Ohfeld i Tomer Schwartz — mówi, że znalazł pierwszy błąd 19 sierpnia 2026 roku i potwierdził działające exploity zdalnego wykonywania kodu na instalacjach WordPress i Drupal przez następne dwa dni. Zespół zgłosił swoje ustalenia zespołowi bezpieczeństwa PHP 24 sierpnia 2026 roku. Publiczne ujawnienie i odpowiadające im poprawki nastąpiły 21 października 2026 roku.

Wiz mówi, że używała modeli kodowania AI, w tym Google Gemini 4 Argon i OpenAI GPT-5.6 Sol, aby pomóc w budowaniu proof-of-concept exploitów, opisując pracę, którą wcześniej wyspecjalizowani badacze wykonywaliby miesiące, jako osiągalną w godzinach.

Kto jest dotkniętych

Wiz oświadcza, że bazowe luki istnieją w każdej wersji PHP wydanej mniej więcej w ciągu ostatniego dziesięciolecia, z co najmniej jednym z dwóch CVE-ów obecnym od PHP 5.4 dalej. Firma mówi, że potwierdziła nieuwierzytelnione zdalne wykonywanie kodu na bieżących wydaniach trzech szeroko używanych systemów zarządzania zawartością: WordPress, Drupal i Joomla. SecurityWeek donosi, że błędy wpływają na wspólne metody wdrażania PHP, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed.

Wiz charakteryzuje skalę ekspozycji jako wpływającą na około 70% Internetu, co odnosi się do udziału witryn internetowych działających na PHP w jakiś sposób, zgodnie z opisem firmy.

Próby eksploatacji od ujawnienia

Wiele firm bezpieczeństwa monitorowało ruch ataku wokół ujawnienia. SecurityWeek donosi, że firma watchTowr wykryła pierwsze próby eksploatacji w naturze mniej więcej w momencie wydania poprawek, ale nie potwierdziła skutecznego kompromisu. Hadrian powiedział SecurityWeek, że obserwował próby eksploatacji na dużą skalę przed nawet wydaniem poprawek, skoncentrowane na ścieżce kodu postępu przesyłania sesji PHP. Patchstack, Cloudflare i Vega zarejestrowały próby w dniu ujawnienia, a Amazon powiedział, że zidentyfikował próby eksploatacji cztery dni przed wydaniem poprawek.

Dlaczego skala PHP czyni to znaczącym

PHP został utworzony przez duńsko-kanadyjskiego programistę Rasmusa Lerdorfa, po raz pierwszy wydany w 1995 roku i pozostaje jednym z najczęściej używanych języków skryptowych po stronie serwera do tworzenia witryn internetowych, zgodnie z Wikipedią. To samo źródło zauważa, że od listopada 2025 roku ponad połowa witryn internetowych zasilanych PHP nadal korzystała z nieobsługiwanego branża PHP 7, a około 9,7% nadal korzystało z PHP 5, która została wycofana wiele lat temu — wzorzec starszego oprogramowania, który badacze bezpieczeństwa mówią, komplikuje szybką łatę w całym ekosystemie PHP.