Nowe krytyczne luki w PHP mogą pozwolić napastnikom przejąć serwery bez logowania. Poprawki są dostępne i trzeba wdrożyć je teraz.
21 października 2026 roku zespół PHP opublikował pilny alert dotyczący dwóch krytycznych podatności. Problem nie dotyczy pojedynczej wtyczki ani jednego systemu zarządzania treścią. Błędy znajdują się w samym silniku PHP, na którym działają miliony stron, sklepów i aplikacji internetowych.
Według W3Techs PHP obsługuje 69,2 proc. stron, dla których można rozpoznać język serwerowy. Skala jest więc ogromna.
CO DOKŁADNIE WYKRYTO?
Podatności otrzymały oznaczenia CVE-2026-109618 oraz CVE-2026-109619. Wiz Research podaje dla nich ocenę CVSS do 9,2 na 10. W określonych warunkach atakujący może zdalnie:
- wykonać kod na serwerze bez wcześniejszego logowania,
- przejąć kontrolę nad stroną lub aplikacją,
- odczytać fragmenty pamięci procesu,
- dotrzeć do haseł, tokenów logowania, kluczy API i certyfikatów,
- zmienić zawartość strony albo wykorzystać serwer do dalszych ataków.
Badacze Wiz pokazali działający atak przed uwierzytelnieniem na środowiskach z WordPressem, Drupalem i Joomlą. Nie oznacza to, że błąd leży w tych platformach. Źródłem problemu jest PHP, więc sama aktualizacja wtyczek lub motywu nie wystarczy.
JAKĄ ROLĘ ODEGRAŁA SZTUCZNA INTELIGENCJA?
Firma Calif wykorzystała model GPT-5.6 Sol podczas odkrywania jednej z podatności. Wiz niezależnie znalazł i zgłosił oba problemy. Według OpenAI błędy zostały wykryte przez obrońców, zanim pojawiły się znane publicznie ataki wykorzystujące je na dużą skalę.
Wiz opisuje jednak zmianę, której nie można lekceważyć. Zaawansowane modele pomogły badaczom budować i dostosowywać działające demonstracje ataków do różnych aplikacji w ciągu godzin. Narzędzie, które przyspiesza pracę obrońców, może również skrócić czas potrzebny przestępcom na przygotowanie ataku po ujawnieniu luki.
Nie ma potwierdzenia, że te dwie podatności wywołały masową falę włamań. Jest za to oficjalne zalecenie zespołu PHP: aktualizować natychmiast.
KTO POWINIEN REAGOWAĆ?
Alert obejmuje instalacje PHP obsługujące ruch internetowy, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP oraz LiteSpeed. Zespół PHP ocenia ryzyko jako najwyższe dla mod_php.
Poprawki znalazły się w wersjach:
- PHP 8.5.12,
- PHP 8.4.27,
- PHP 8.3.36,
- PHP 8.2.35.
PHP 8.1 i starsze wersje nie otrzymują już zwykłych aktualizacji bezpieczeństwa od projektu PHP. Niektórzy dostawcy systemów i usług LTS udostępniają własne poprawki, dlatego trzeba sprawdzić konkretny serwer i pakiet, a nie polegać wyłącznie na numerze widocznym w panelu hostingu.
CZY ZAGROŻONY JEST TAKŻE TELEFON LUB DOMOWY KOMPUTER?
Te dwie konkretne luki dotyczą serwerów działających na PHP. Nie atakują bezpośrednio telefonu ani domowego laptopa. Telefon i komputer często przechowują jednak dostęp do poczty, hostingu, bankowości, chmury oraz paneli firmowych. Przejęte hasło, sesja logowania lub skrzynka e-mail może otworzyć drogę do pozostałych usług.
Dlatego bezpieczeństwa strony, serwera, komputera i telefonu nie warto traktować jako czterech oddzielnych tematów. Jeden słaby punkt może wystarczyć, aby napastnik przeszedł dalej.
CO ZROBIĆ TERAZ?
Sprawdź rzeczywistą wersję PHP na serwerze. Jeśli nie wiesz, gdzie ją znaleźć, poproś hosting lub administratora o pisemne potwierdzenie.
Zainstaluj poprawioną wersję. Wyłączenie pojedynczej wtyczki nie naprawia błędu w silniku PHP.
Sprawdź logi i zmiany na koncie. Szukaj nowych administratorów, nieznanych plików, przekierowań, zmienionych ustawień oraz nietypowych logowań.
Włącz MFA i uporządkuj dostęp. Każda osoba powinna mieć własne konto. Nie używaj jednego hasła do hostingu, poczty i panelu strony.
Zweryfikuj kopie zapasowe. Kopia ma wartość dopiero wtedy, gdy wiadomo, że można ją odtworzyć i że nie znajduje się wyłącznie na tym samym zaatakowanym serwerze.
Jeżeli widzisz oznaki włamania, najpierw zabezpiecz logi i dowody. Chaotyczne kasowanie plików może utrudnić ustalenie, co zostało przejęte.
NIE CZEKAJ NA WŁAMANIE. SPRAWDŹ ZABEZPIECZENIA WCZEŚNIEJ
Media Express pomaga osobom prywatnym i firmom zabezpieczać telefony, komputery, konta, strony internetowe, hosting oraz serwery. Możemy zacząć od bezpłatnej konsultacji wstępnej, ustalić największe ryzyko i przygotować audyt zabezpieczeń dopasowany do konkretnego środowiska.
Pomagamy również przy aktualizacjach, MFA, zarządzaniu hasłami, kopiach zapasowych, monitoringu i reagowaniu po incydencie. Pracujemy zdalnie na całym świecie od 1995 roku.
Media Express Security Support
T/SMS: +1-773-800-1520
24/7/365 Emergency Line
Sprawdź pomoc i audyt bezpieczeństwa Media Express
A JAK JEST U WAS?
Czy właściciel strony powinien sam pilnować takich aktualizacji, czy pełną odpowiedzialność powinien brać hosting lub administrator? Sprawdziliście już, jaka wersja PHP działa na Waszej stronie? Napiszcie w komentarzu, ale nie podawajcie publicznie domen, loginów ani innych danych dostępowych.
Źródła: PHP Project, OpenAI, Wiz Research, W3Techs.
wiadomosci #PolskieRadio #PolskieRadioChicago #PolskieRadioUSA #PolskieRadioOnline #Cyberbezpieczenstwo #SztucznaInteligencja