Krytyczne luki w PHP. Rządowe strony w Europie wyłączone, administratorzy muszą aktualizować

Instytucje publiczne w kilku krajach Europy prewencyjnie wyłączyły swoje serwisy internetowe po ujawnieniu dwóch krytycznych luk w PHP – języku programowania, na którym działa znaczna część internetu. Jak podaje PAP, powołując się na Reutersa, przestępcy już wykorzystują te podatności do włamań i przejmowania kontroli nad stronami.

Twórcy PHP poinformowali o wykryciu luk we wtorek, a w środę po południu udostępnili aktualizacje, które je usuwają. Zaapelowali do administratorów o natychmiastową instalację poprawek.

Kto wyłączył strony i dlaczego

Agencje ds. cyberbezpieczeństwa w Europie, Stanach Zjednoczonych, Australii i Japonii wezwały do niezwłocznej aktualizacji PHP, a tam, gdzie nie jest to od razu możliwe – do czasowego wyłączenia zagrożonych serwisów. Na taki krok zdecydowały się m.in. agencje rządowe i instytucje publiczne w Niemczech, Holandii, Belgii, Finlandii i Francji. W Holandii swoją stronę zdjęło z sieci nawet Krajowe Centrum Cyberbezpieczeństwa (NCSC).

Skala potencjalnego problemu jest duża. Według serwisu W3Techs PHP obsługuje większość stron, których język po stronie serwera da się zidentyfikować – TVN24 i Antyweb podają około 70 proc., a Onet i Bankier około 75 proc. Na PHP opiera się też WordPress, na którym działa blisko 43 proc. wszystkich witryn, od blogów i sklepów internetowych po portale informacyjne i serwisy administracji.

Na czym polegają luki

Jak opisuje Antyweb, podatności nazwano wspólnie PHP2Shell i oznaczono identyfikatorami CVE-2026-109618 oraz CVE-2026-109619. Ich groźność oceniono na 9,2 w dziesięciostopniowej skali CVSS, co oznacza poziom krytyczny. Błędy mają dotyczyć zarządzania pamięcią podczas obsługi żądań przez serwer. Według portalu atakujący bez żadnych uprawnień i bez znajomości hasła może zdalnie wykonać dowolny kod, wykraść hasła i inne poufne dane, a nawet przejąć witrynę.

Badacze firmy Wiz, cytowani przez Antyweb, wykazali możliwość ataków na strony oparte na WordPressie, Drupalu i Joomli. Najwyższe ryzyko ma dotyczyć konfiguracji Apache z mod_php, a atak może się zacząć jeszcze przed uruchomieniem kodu aplikacji. Badacze przyznają też, że w wykryciu luk i przygotowaniu metod ataku pomogła sztuczna inteligencja.

Nie ustalono jeszcze ostatecznie, które wersje są podatne. Według PAP problem może dotyczyć wydań począwszy od PHP 5, natomiast CERT Polska, cytowany przez Antyweb, wskazuje na wersje od PHP 5.4.

Jak się zabezpieczyć

Według Antywebu udostępniono poprawione wydania:

• PHP 8.5.12,
• PHP 8.4.27,
• PHP 8.3.36,
• PHP 8.2.35.

Administratorzy powinni zainstalować odpowiednią aktualizację od razu, a korzystający ze starszych wersji – sprawdzić dostępność poprawek u dostawcy hostingu lub systemu. CERT Polska podkreśla, że zmiany w konfiguracji mogą jedynie ograniczyć ryzyko, a pełną ochronę daje wyłącznie aktualizacja PHP. Jeśli nie da się jej wykonać od razu, agencje zalecają czasowe wyłączenie serwisu.

Co to oznacza dla Ciebie. Zwykły internauta nie musi niczego instalować – luki dotyczą serwerów, a nie przeglądarek. Możliwe jednak, że niektóre strony, w tym urzędowe, będą przez pewien czas niedostępne. Jeśli prowadzisz bloga, sklep lub stronę firmową, zwłaszcza na WordPressie, sprawdź u dostawcy hostingu, czy PHP zostało już zaktualizowane, i rozważ zmianę haseł do panelu administracyjnego. Wyłączenie strony nie oznacza, że została zaatakowana – w większości przypadków to środek ostrożności.