Krytyczny alert bezpieczeństwa: aktywne ataki na serwery PHP

Bezpieczeństwo cyfrowe stron internetowych po raz kolejny znalazło się w centrum uwagi globalnych służb cyberbezpieczeństwa. Amerykańska Agencja ds. Bezpieczeństwa Cybernetycznego i Infrastruktury, znana jako CISA, oficjalnie potwierdziła trwające w sieci aktywne ataki. Zagrożenie dotyczy niedawno zpatchedowanych luk określanych jako PHP2Shell, które zostały natychmiast dopisane do katalogu znanych podatności podlegających eksploatacji (KEV).

Omawiany problem dotyka technologii, na której opiera się ogromna większość współczesnych witryn w globalnej sieci. PHP, czyli Hypertext Preprocessor, to serwerowy język skryptowy wykorzystywany w szacunkowo 70% wszystkich serwisów internetowych na świecie. Skala potencjalnych zagrożeń jest ogromna, co wymusza natychmiastową reakcję administratorów oraz dostawców rozwiązań technologicznych.

Szacunki udostępnione przez Censys wskazują, że w momencie ogłoszenia alertu ponad 32,51 miliona usług PHP wciąż uruchamiało wersje dotknięte tym problemem. W obliczu rosnącej liczby incydentów kluczowe staje się zrozumienie natury tych podatności oraz wdrożenie wymaganych poprawek w zarządzaniu infrastrukturą serwerową.

Szczegóły techniczne luk PHP2Shell z oceną CVSS 9.2

Obydwie kluczowe podatności PHP zostały ocenione na 9.2 w dziesięciostopniowej skali CVSS, co oznacza krytyczny poziom zagrożenia. Umożliwiają one nieautoryzowane zdalne wykonanie kodu na zaatakowanych wdrożeniach serwerowych bez konieczności przechodzenia procesu logowania.

Pierwsza z luk oznaczona jest jako CVE-2026-109618 i stanowi podatność polegającą na korupcji pamięci (out-of-memory corruption). Drugi problem, zarejestrowany pod numerem CVE-2026-109619, wynika ze stanu wewnętrznego żądania (stale internal request-state). Obie te słabości otwierają drogę do przeprowadzenia skutecznych ataków typu RCE.

Dodanie tych dwóch wad do katalogu KEV nastąpiło bezpośrednio po tym, jak Adel Karimi, lider ds. wykrywania i reagowania w Perplexity, potwierdził udane przypadki zdalnego wykonania kodu wymierzone w systemy typu honeypot w dniu 24 października 2026 roku. Badacz podkreślił, że nie były to wyłącznie awarie systemu, lecz w pełni potwierdzone RCE połączone z użytecznym ujawnieniem pamięci.

Potwierdzenie skuteczności ataków i oficjalne poprawki

W swoich analizach Adel Karimi wskazał, że uzyskana odpowiedź dostarczyła między innymi zdekodowany zrzut ciasteczek o wielkości 800 KiB oraz adres funkcji pochodzący z tego zrzutu. Dane te były wykorzystywane w kolejnym ładunku egzekucyjnym.

Ekspert zaznaczył jednak, że dowody te demonstrują dany łańcuch na celowo sprzyjającym pojedynczym profilu roboczym mod_php i nie stanowią pomiaru niezawodności eksploatacji na innych konfiguracjach, liczbach procesów roboczych czy specyficznych aplikacjach. Powiązany temat opisaliśmy w artykule „Zainfekowany font na stronie. Jak darmowe zasoby zagrażają firmie?”.

W odpowiedzi na zagrożenie, odpowiednie łatki zostały udostępnione w wersjach PHP 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35, które opublikowano 21 października 2026 roku. Agencje federalne w Stanach Zjednoczonych otrzymały czas do 29 października 2026 roku na wdrożenie niezbędnych poprawek bezpieczeństwa.

Globalny zasięg podatności i dodatkowe zagrożenia dla systemów Windows

Poważny charakter tych luk wywołał falę alertów opublikowanych przez liczne organizacje rządowe, dostawców oprogramowania oraz firmy zajmujące się cyberbezpieczeństwem na całym świecie. Na liście podmiotów dotkniętych lub analizujących problem znalazły się dziesiątki marek technologicznych i przemysłowych, takich jak ABB, Cisco, Dell, HP, IBM, Oracle, Siemens, a także systemy zarządzania treścią i platformy e-commerce.

Dodatkowo, 26 października 2026 roku Fundacja PHP wydała specjalne kompilacje dla systemu Windows oznaczone wersjami 8.5.12-1, 8.4.27-1, 8.3.36-1 oraz 8.2.35-1. Miały one na celu zaadresowanie kolejnej podatności CVE-2026-111497.

Ta luka typu out-of-bounds write w bibliotece dekodera Brotli (znana również pod nazwami takimi jak Broccoli2Shell, HTTP2Shell czy Node2Shell) dotyka wersji Brotli od 1.0.3 do 1.2.0. Jak wyjaśniła Fundacja PHP, w kompilacjach dla Windows podatny dekoder może być osiągany przez rozszerzenie cURL, gdy włączona jest automatyczna dekompresja odpowiedzi HTTP.

Co to oznacza dla małej firmy?

Dla właścicieli małych przedsiębiorstw, których strony oparte są na popularnych systemach i funkcjonują na standardowych serwerach, opisywane incydenty stanowią bezpośrednie przypomnienie o konieczności dbania o zaplecze techniczne. Jeśli serwer, na którym utrzymywana jest witryna, korzysta z nieaktualizowanej wersji środowiska PHP lub przestarzałych bibliotek, ryzyko przejęcia witryny przez hakerów drastycznie rośnie.

Skutkiem udanego ataku może być nie tylko przestój w działaniu firmy czy utrata wizerunku, ale również poważne problemy związane z wyciekiem poufnych danych klientów i naruszeniem przepisów RODO. Warto pamiętać, że stabilne i bezpieczne środowisko serwerowe wymaga stałego nadzoru, o który często trudno w codziennym prowadzeniu działalności gospodarczej. Firmy z regionów takich jak Śląsk, w tym z miast takich jak Bielsko-Biała, Katowice czy Czechowice-Dziedzice, powinny regularnie weryfikować stan techniczny swojego zaplecza online, pamiętając, że odpowiedni wybór narzędzi do diagnozy potrzeb firmy pozwala odpowiednio wcześnie zidentyfikować krytyczne zaniedbania w obszarze hostingu i oprogramowania.

Podsumowanie

Krytyczne luki typu PHP2Shell z oceną CVSS 9.2 pokazują, jak ważne dla stabilności biznesu w sieci jest regularne aktualizowanie oprogramowania serwerowego. Aktywne ataki potwierdzone przez CISA udowadniają, że cyberprzestępcy błyskawicznie wykorzystują każdą zaniedbaną lukę w popularnych technologiach. Natychmiastowa instalacja oficjalnych łatek bezpieczeństwa przez administratorów serwerów to obecnie absolutny priorytet dla ochrony każdej strony internetowej i sklepu online.