PHP2Shell: dwie krytyczne luki w PHP, które wyłączyły rządowe witryny

PHP2Shell to pseudonim dwóch luk w samym języku programowania PHP, a nie w żadnej pojedynczej witrynie internetowej ani aplikacji. Są one śledzone jako CVE-2026-109618 i CVE-2026-109619, a zespół bezpieczeństwa PHP ocenił obie jako 9,2 z 10 w skali CVSS v4.0, jej kategorię 'krytyczną', zgodnie z oficjalną stroną archiwum projektu PHP za 2026 rok.

Co dokładnie robią te dwie luki

Zgodnie z oficjalnym poradnikiem PHP, CVE-2026-109618 jest wyzwalane, gdy PHP zabraknie pamięci podczas obsługi żądania sieci web. Błąd braku pamięci może przerwać PHP przed pełną konfiguracją wewnętrznych danych żądania, a proces czyszczenia, który następuje, może następnie traktować te niekompletne dane jako prawidłowe, co może prowadzić do uszkodzenia pamięci i zdalnego wykonania kodu.

CVE-2026-109619 jest opisana przez PHP jako błąd 'zatęchłego stanu globalnego': dane związane z żądaniem jednego odwiedzającego mogą pozostać w pamięci serwera po tym, jak powinny być wyczyszczone, a następne żądanie odwiedzającego obsługiwane przez ten sam proces roboczy może ostatecznie działać na tych resztkach. Firma zajmująca się bezpieczeństwem watchTowr, która zarządza globalną siecią systemów monitorowania, powiedziała, że oba błędy pozwalają atakującemu na uruchomienie kodu bez wymaganego logowania, zanim jeszcze kod własny witryny internetowej zacznie się wykonywać.

Holenderska firma bezpieczeństwa Sansec dodała dalsze szczegóły techniczne, powiedziała, że jedną ze ścieżek do wykorzystania przebiega przez funkcję 'postęp przesyłania' sesji PHP i może ujawnić dane, takie jak hasła, klucze API i klucze szyfrowania, które przypadkowo znajdowały się w pamięci serwera z innych, powiązanych żądań.

Dlaczego tyle witryn internetowych było zagrożonych

Luki znajdują się wewnątrz silnika PHP, więc każda witryna internetowa lub aplikacja zbudowana w PHP jest potencjalnie zagrożona, niezależnie od tego, który system zarządzania treścią działa na górze. Obejmuje to powszechnie używane platformy, takie jak WordPress, Drupal, Joomla, Magento i Nextcloud, zgodnie z Sansec. PHP pozostaje jednym z najczęściej używanych języków programowania po stronie serwera w sieci, co jest jednym z powodów, dla których luki te były traktowane jako stanowiące szerokie, na dużą skalę ryzyko.

Pracownicy ds. bezpieczeństwa w firmie Wiz zidentyfikowali luki, a Help Net Security poinformowała, że pracownicy badawczy powiedzieli, że postępy w narzędziach frontier AI znacznie obniżyły barierę techniczną do zamiany dawno znanego, trudnego do eksploatacji problemu obsługi pamięci na działający kod eksploitacyjny.

Dlaczego rządy wyłączyły witryny

Szczegóły techniczne luk wyciekły zanim oficjalna łatka PHP była gotowa, skracając zwykłą przewagę, którą obrońcy otrzymują zanim łatka staje się publiczna. Blog bezpieczeństwa Safeguard poinformował, że 21 października 2026 r. Niderlandy wyłączyły usługi, w tym witrynę własnego krajowego centrum cyberbezpieczeństwa, Overheid.nl, witrynę Izby Reprezentantów i kilka witryn szpitali i partii politycznych jako środek ostrożności. Finski państwowy dostawca usług IT Valtori wyłączył usługi sieci rządowej jako środek ostrożności, a duńska municypalna firma IT Kombit wyłączyła kilka usług, w tym krajową platformę komunikacji szkolnej. Ministerstwo Spraw Wewnętrznych Francji czasowo wyłączyło witryny prefektur i lokalnych organów administracyjnych, mówiąc, że czeka na zastosowanie łatki PHP. Federalny dostawca IT Niemiec ITZBund i Ministerstwo Spraw Zagranicznych Belgii również wyłączyły witryny, chociaż Safeguard poinformował, że podali różne powody: ITZBund powiedział, że nie ma wiedzy o żadnych incydentach bezpieczeństwa, podczas gdy Ministerstwo Spraw Zagranicznych Belgii powołało się na raporty ataków.

watchTowr powiedziała, że jej sieć honeypot, Attacker Eye, zanotowała rzeczywiste próby eksploatacji zaczynające się 21 października 2026 r., dzień po wycieku i w dniu, gdy PHP opublikowała swoją łatkę.

Porównanie dwóch luk

Jak chronić swoją witrynę i dane

1. Jeśli prowadzisz witrynę internetową na PHP: zaktualizuj do naprawionej wersji — PHP 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 — i następnie uruchom ponownie wszystkie procesy robocze PHP, ponieważ porada PHP i runZero podkreślają, że aktualizacja jest jedynym kompletnym rozwiązaniem.
2. Jeśli nadal jesteś w PHP 7.4, 8.0 lub 8.1, które nie otrzymują już oficjalnych aktualizacji, uzyskaj łatkę bezpieczeństwa z wstecznym portem od dystrybutora Linux lub dostawcy hostingu, ponieważ projekt PHP przestał obsługiwać te gałęzie, zgodnie ze stroną archiwum PHP.
3. Dopóki nie będziesz w stanie zainstalować łatki, runZero zaleca tymczasowe kroki na poziomie serwera lub proxy: ograniczyć limity pamięci, aby aplikacje nie mogły je przekraczać, egzekwować niskie limity rozmiaru żądania i przesyłania wieloczęściowego oraz wyłączyć funkcję 'postęp przesyłania' sesji.
4. Sprawdź dzienniki dostępu serwera internetowego pod kątem nietypowych żądań POST multipart/form-data, które, zdaniem Sansec, są powszechne dla znanych prób eksploatacji, i obserwuj nieoczekiwane skoki pamięci PHP lub błędy krytyczne.
5. Jako zwykły użytkownik Internetu nie możesz zainstalować łatek na serwerach, którymi nie zarządzasz, ale możesz obserwować powiadomienia o naruszeniach od usług, których używasz, używać unikalnego hasła dla każdego konta i włączyć uwierzytelnianie dwuskładnikowe, aby wyciek hasła sam w sobie nie wystarczył do dostępu do Twoich kont.

Co pozostaje niejasne

Według przeglądanych raportów wśród ekspertów panowała niezgoda co do tego, jak rozpowszechniona była aktywna eksploatacja w momencie, gdy kilka rządów zdecydowało się wyłączyć witryny; Safeguard poinformował, że rząd holenderski powiedział, że nie widział żadnych oznak aktywnej eksploatacji, gdy działał, podczas gdy watchTowr oddzielnie potwierdził rzeczywiste próby ataków na swoje honeypoty następnego dnia.