Luki w PHP zagrażają milionom serwisów. CERT Polska: same ustawienia nie wystarczą

Dwa krytyczne błędy w PHP postawiły w stan alarmowy administratorów serwerów na całym świecie, bo pozwalają one na przejęcie kontroli nad maszynami obsługującymi ogromną liczbę witryn internetowych. W Polsce z tego powodu chwilowo zablokowano dostęp do części Biuletynu Informacji Publicznej. CERT Polska podkreśla, że samo przestrojenie konfiguracji serwera to za mało – kluczowa jest instalacja poprawionej wersji oprogramowania. Na podobny krok zdecydowało się wiele instytucji w Europie.

Mowa o podatnościach oznaczonych jako CVE-2026-109618 oraz CVE-2026-109619, które wywołały niepokój wśród zespołów ds. cyberbezpieczeństwa i osób zarządzających infrastrukturą serwerową. Jak podaje CERT Polska, źródłem problemu są błędy w sposobie zarządzania pamięcią, które umożliwiają zdalne uruchomienie dowolnych komend systemowych. W efekcie napastnik zyskuje realną możliwość przejęcia nadzoru nad podatną maszyną.

Skala zagrożenia jest ogromna, ponieważ PHP stoi za sporą częścią globalnej sieci – od systemów zarządzania treścią, przez sklepy internetowe, po aplikacje webowe. Szacunki mówią, że język ten napędza około 70-75 proc. stron, których technologię serwerową w ogóle udało się zidentyfikować. To oznacza, że skutki luk mogą sięgać dużo dalej niż pojedyncze serwisy.

Polska wyłącza część stron Biuletynu Informacji Publicznej

W Polsce pierwszym krokiem zabezpieczającym było ograniczenie dostępu do części serwisów publicznych. Centralny Ośrodek Informatyki podjął decyzję o czasowym zablokowaniu stron BIP funkcjonujących w ramach Systemu Scentralizowanego Dostępu do Informacji Publicznej (SSDIP). Ministerstwo Cyfryzacji wyjaśniło, że ma to dać czas na wdrożenie koniecznych zabezpieczeń i zmniejszyć prawdopodobieństwo wykorzystania luki.

Blokada obejmuje wyłącznie strony publikowane za pośrednictwem serwisu ssdip.bip.gov.pl – nie chodzi więc o wyłączenie wszystkich polskich stron BIP ani o objęcie działaniem każdego systemu, z którego urzędy korzystają do publikowania informacji publicznej. Dla mieszkańców oznacza to chwilowe trudności z dostępem do dokumentów publikowanych przez jednostki korzystające z SSDIP. Dla administratorów systemów to z kolei sygnał, by jak najszybciej zweryfikować, czy ich infrastruktura jest podatna, nawet jeśli nie zaobserwowano jeszcze żadnej próby ataku.

Zdaniem CERT Polska jedynym skutecznym sposobem ochrony jest instalacja poprawionej wersji PHP. Zespół zaznacza, że zagrożenie obejmuje wszystkie wersje PHP począwszy od 5.4, a więc problem dotyczy zarówno nowych środowisk, jak i starszych instalacji wciąż wykorzystywanych przez organizacje.

Aktualizacja PHP to podstawa. Ustawienia mogą jedynie ograniczyć ryzyko

21 października twórcy PHP udostępnili poprawki bezpieczeństwa. CERT Polska wskazuje, które wersje głównych wspieranych gałęzi są bezpieczne.

• PHP 8.5 – wersja 8.5.12
• PHP 8.4 – wersja 8.4.27
• PHP 8.3 – wersja 8.3.36
• PHP 8.2 – wersja 8.2.35

Osoby zarządzające starszymi gałęziami, czyli PHP 5.6, 7.0, 8.0 oraz 8.1, powinny sprawdzić dostępność łatek u dostawców dystrybucji systemu operacyjnego lub producentów oprogramowania opartego na PHP. Uwaga ta dotyczy też gotowych urządzeń, aplikacji rozprowadzanych jako obrazy kontenerów oraz innych rozwiązań, w których użytkownik nie ma pełnej kontroli nad aktualizacją poszczególnych komponentów.

CERT Polska przygotował też listę tymczasowych ustawień konfiguracyjnych PHP, które mogą ograniczyć ryzyko do czasu wdrożenia aktualizacji.

• memory_limit ustawione na -1, o ile pozwalają na to zasoby serwera, a w innym wypadku na 128M lub więcej
• post_max_size na poziomie 8M lub mniej
• max_input_vars na poziomie 1000 lub mniej
• session.upload_progress.enabled ustawione na Off

To jednak tylko środki łagodzące, a nie rozwiązanie samego problemu. CERT Polska wyraźnie zastrzega, że nawet wprowadzenie wszystkich wymienionych ustawień nie gwarantuje odporności na wykorzystanie luk. Pełne zabezpieczenie daje dopiero przejście na bezpieczną wersję PHP.

Organizacjom zaleca się również sprawdzenie, czy w ich systemach nie pojawiły się już ślady wcześniejszego włamania. Jeżeli administratorzy natrafią na dowody wykorzystania luk, CERT Polska prosi o natychmiastowe zgłoszenie incydentu przez serwis incydent.cert.pl. Aktualne informacje i wskazówki publikowane są na stronie moje.cert.pl.

Europa czasowo odłącza serwisy publiczne

Polska nie jest wyjątkiem – po ujawnieniu podatności instytucje w kilku krajach zdecydowały się prewencyjnie ograniczyć dostępność części swoich usług online. W Holandii odłączono między innymi wybrane serwisy administracji publicznej, a kłopoty dotknęły też strony parlamentu oraz krajowego centrum cyberbezpieczeństwa. Przejściowo niedostępne były również niektóre witryny instytucji spoza administracji centralnej.

W Danii firma informatyczna Kombit zablokowała część usług, w tym krajową platformę komunikacji szkolnej. Fiński operator usług IT dla sektora publicznego, Valtori, poinformował o prewencyjnym wyłączeniu publicznych usług sieciowych. We Francji działaniami konserwacyjnymi objęto strony resortu spraw wewnętrznych oraz wybrane serwisy administracji lokalnej. Trudności zgłaszano też w Niemczech i Belgii.

W Wielkiej Brytanii czasowo wyłączono m.in. strony władz lokalnych Edynburga, Bristolu i Oksfordu. Podobne kroki podjęły organizacje odpowiedzialne za infrastrukturę internetową – Fundacja Wikimedia prewencyjnie zablokowała część swoich systemów, a Internet Archive na krótko ograniczyło dostępność swoich usług.

Skala podjętych działań pokazuje, że administratorzy nie czekają na potwierdzenie faktycznego ataku na własne systemy. Przy podatności dającej możliwość zdalnego wykonywania poleceń na serwerze czasowe wyłączenie usługi bywa bezpieczniejsze niż utrzymywanie jej online bez szans na szybkie wdrożenie poprawki.

Ostrzeżenia wydały też agencje zajmujące się cyberbezpieczeństwem spoza Europy, w tym amerykańska Agencja Bezpieczeństwa Narodowego (NSA). Zaleciła ona organizacjom korzystającym z PHP natychmiastowe wdrożenie poprawek, a jeśli nie jest to możliwe – wyłączenie podatnych systemów do czasu ich zabezpieczenia. Zbliżone stanowisko przedstawiły brytyjskie służby odpowiedzialne za cyberbezpieczeństwo.

Sztuczna inteligencja pomogła znaleźć błędy w kodzie

Na uwagę zasługuje sposób, w jaki wykryto te podatności. OpenAI podało, że jego modele wsparły badaczy pracujących w ramach inicjatywy Patch the Planet w identyfikacji krytycznych błędów w PHP. Firma przekazała, że przygotowanie poprawek zajęło około dwóch miesięcy i wymagało współdziałania twórców języka, specjalistów od bezpieczeństwa oraz dostawców rozwiązań ochronnych.

Jak podano, jedną z luk namierzono dzięki modelowi GPT-5.6 Sol. Niezależnie prowadziła badania firma Wiz, która poinformowała o użyciu własnych narzędzi do autonomicznej analizy podatności oraz technologii AI. W proces identyfikacji i usuwania błędów zaangażowane były również inne podmioty, w tym Cloudflare.

Według OpenAI błędy tkwiły w kodzie przez wiele lat. Ich wykrycie dowodzi, że modele AI potrafią analizować rozległe projekty programistyczne i wskazywać problemy, które przez długi czas umykały uwadze programistów i specjalistów od bezpieczeństwa. Nie oznacza to jednak, że sztuczna inteligencja rozwiązuje problem cyberbezpieczeństwa jako taki. Po publikacji poprawek napastnicy mogą analizować zmiany w kodzie, by ustalić, na czym polegały wcześniejsze błędy, i wykorzystać je przeciwko systemom, których administratorzy nie zdążyli zaktualizować. W rezultacie trwa swoisty wyścig między obrońcami, którzy muszą zabezpieczyć tysiące serwerów, a atakującymi zdolnymi automatyzować poszukiwanie podatnych instalacji.

OpenAI uważa, że w tym przypadku zaawansowane modele pozwoliły wykryć zagrożenie wcześniej niż napastnicy, dając zespołom bezpieczeństwa czas na przygotowanie poprawek. Firma zastrzega jednak, że nie jest to gwarancja powtórzenia takiego scenariusza przy kolejnych lukach.

PHP to fundament dużej części internetu

PHP jest językiem programowania działającym głównie po stronie serwera. Odpowiada m.in. za generowanie treści stron, obsługę formularzy, logikę aplikacji i komunikację z bazami danych. Korzystają z niego popularne systemy zarządzania treścią, takie jak WordPress, Joomla i Drupal, a także platformy e-commerce, w tym rozwiązania oparte na WooCommerce.

Szczególne znaczenie ma tu popularność WordPressa, na którym opiera się znaczna część witryn internetowych. Podatność w PHP może więc dotyczyć zarówno niewielkich stron firmowych i sklepów, jak i serwisów informacyjnych czy portali instytucji publicznych. To nie znaczy, że każda witryna oparta na tych technologiach padła ofiarą ataku, ale każda podatna instalacja wymaga pilnej weryfikacji i zabezpieczenia.

Problem nie ogranicza się przy tym do PHP. Tego samego dnia ujawniono cztery poważne luki w Node.js, środowisku uruchomieniowym dla JavaScriptu. Jedna z nich umożliwiała zdalne wykonanie kodu, a dwie kolejne mogły pozwalać na obejście kontroli certyfikatów TLS. Z kolei LiteLLM, popularne narzędzie open source służące do kierowania zapytań do modeli językowych, zgłosiło atak na łańcuch dostaw oprogramowania. Napastnicy ukryli złośliwy kod w pakietach publikowanych w repozytoriach PyPI, Docker Hub i GitHub Container Registry. Kod ten miał umożliwiać kradzież haseł, poświadczeń chmurowych i danych dostępowych do usług AI, a także zdalne wykonywanie poleceń.

Każdy z tych incydentów ma inny charakter, lecz łączy je skala potencjalnych konsekwencji. Podatność w szeroko wykorzystywanym komponencie może otworzyć drogę do ataków na wiele niezależnych systemów naraz. W przypadku PHP dodatkową trudnością jest obecność przestarzałych wersji oprogramowania, których aktualizacja może wymagać zmian w całej infrastrukturze.