Bezpieczeństwo · 29 października 2026
Krytyczne luki PHP2Shell zagrażają milionom usług internetowych
Dwie krytyczne luki w języku PHP, znane pod wspólną nazwą PHP2Shell, stwarzają poważne ryzyko dla organizacji korzystających z witryn internetowych, portali klienta oraz innych aplikacji webowych. Błędy te umożliwiają nieuwierzytelnionym napastnikom zdalne wykonanie kodu na dotkniętych serwerach, co może prowadzić do wycieku poufnych informacji lub przerwania ciągłości usług.
Luki zidentyfikowane jako CVE-2026-109618 oraz CVE-2026-109619 otrzymały ocenę krytyczną z wynikiem 9,2 w skali CVSS 4.0. Pierwsza z nich dotyczy uszkodzenia pamięci podczas obsługi błędów braku pamięci, natomiast druga wiąże się ze starym stanem globalnym, gdzie procesy robocze PHP uzyskują dostęp do referencji pamięci zwolnionej po poprzednim żądaniu. Obie podatności mogą prowadzić do zdalnego wykonania kodu, a w przypadku mod_php ryzyko jest najwyższe, ponieważ ataki mogą zostać przeprowadzone przed wykonaniem kodu aplikacji, co czyni uwierzytelnianie nieskutecznym.
Według danych z panelu Censys z dnia 22 października 2026 roku, zidentyfikowano około 36,7 miliona usług skierowanych do internetu, które mogą być narażone ze względu na wersję PHP. Projekt PHP wskazał, że zagrożone są wszystkie instalacje przetwarzające żądania webowe, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP oraz LiteSpeed. Podatność dotyczy środowiska uruchomieniowego PHP, co oznacza, że aktualizacja samych systemów zarządzania treścią lub wtyczek nie rozwiąże problemu.
Projekt PHP udostępnił aktualizacje bezpieczeństwa 21 października 2026 roku. Poprawione wersje to PHP 8.2.35, 8.3.36, 8.4.27 oraz 8.5.12. Wersje 8.1 i starsze nie otrzymują już standardowych aktualizacji bezpieczeństwa, dlatego organizacje korzystające z tych wydań muszą szukać wsparcia u dostawców lub dokonać aktualizacji do nowszych wersji.
Firma Fortinet potwierdziła, że jej produkty, w tym system operacyjny FortiOS, FortiManager, FortiAnalyzer oraz FortiWeb, nie są podatne na te luki. Jednocześnie FortiGuard Labs udostępnił wirtualne poprawki oraz sygnatury IPS, które mają pomóc w blokowaniu znanych technik ataków przed dotarciem do systemów, dając organizacjom czas na przetestowanie i wdrożenie oficjalnych aktualizacji PHP.