Krytyczne luki w PHP zagrażają wielu stronom internetowym. CERT-EU apeluje o pilne działania

Dwie krytyczne podatności w PHP mogą stanowić poważne zagrożenie dla dużej liczby stron i aplikacji internetowych na świecie. Według informacji przywoływanych przez Reutersa, zespół odpowiedzialny za rozwój PHP zapowiedział awaryjne aktualizacje bezpieczeństwa dla luk oznaczonych jako CVE-2026-109618 oraz CVE-2026-109619. Obie otrzymały ocenę 9,2 na 10 w skali CVSS v4.0.

Poprawki mają zostać udostępnione 21 października 2026 roku o godzinie 14:00 UTC. Sprawa jest szczególnie istotna, ponieważ PHP pozostaje jednym z najczęściej wykorzystywanych języków po stronie serwera i stanowi podstawę wielu popularnych systemów oraz platform internetowych.

Ryzyko dla popularnych CMS-ów i sklepów internetowych

PHP jest szeroko stosowany między innymi w rozwiązaniach takich jak WordPress, Drupal, Joomla czy Magento. Oznacza to, że podatności w samym środowisku PHP mogą dotyczyć nie tylko pojedynczych aplikacji, ale również serwerów obsługujących liczne strony, panele administracyjne, usługi hostingowe oraz sklepy internetowe.

Eksperci podkreślają, że sama aktualizacja systemu CMS nie musi wystarczyć, jeśli problem znajduje się w bazowej instalacji PHP. Właściciele stron powinni upewnić się, że odpowiednie poprawki zostaną wdrożone przez administratorów serwerów lub dostawców hostingu.

CERT-EU ostrzega przed możliwością zdalnego wykonania kodu

Zespół reagowania na incydenty komputerowe instytucji Unii Europejskiej, CERT-EU, opublikował pilne ostrzeżenie dotyczące nowych luk. Według komunikatu podatności mogą umożliwiać nieuwierzytelnione zdalne wykonanie kodu, czyli atak bez konieczności posiadania danych logowania do zaatakowanego serwera.

Tego typu scenariusz może prowadzić do poważnych konsekwencji, w tym przejęcia serwera, nieautoryzowanego dostępu do systemów, kradzieży danych lub podmiany treści na stronach internetowych.

Najważniejsze zalecenia

• Zidentyfikować instalacje PHP, które mogą być podatne na nowe luki.
• Przygotować się do natychmiastowego wdrożenia poprawek po ich opublikowaniu przez zespół PHP.
• Skontaktować się z dostawcą hostingu, jeżeli administracja serwerem leży po jego stronie.
• Rozważyć czasowe odizolowanie usług od sieci publicznej, jeśli szybka aktualizacja nie będzie możliwa.

CERT-EU wskazuje, że podatne mogą być wersje PHP sięgające nawet PHP 5. Pełna lista zagrożonych wydań oraz techniczne szczegóły błędów nie zostały jednak jeszcze oficjalnie ujawnione przez zespół PHP.

Pojawiają się pierwsze ataki

Według dyrektora technicznego Cloudflare, Dane’a Knechta, firma obserwuje już pierwsze próby ataków i wdraża reguły ochronne w usłudze Web Application Firewall. Zabezpieczenia te mają obejmować znane wektory wykorzystania podatności i być dostępne również dla klientów korzystających z bezpłatnych planów.

Cloudflare zaznacza jednak, że takie środki są jedynie tymczasową ochroną i nie zastępują właściwych aktualizacji PHP. Podobne sygnały o aktywnym wykorzystywaniu luk miała otrzymać firma Patchstack od kilku partnerów hostingowych.

Z kolei Wordfence zwraca uwagę administratorom WordPressa, że automatyczne uaktualnienie samej platformy WordPress nie usuwa problemów znajdujących się w instalacji PHP. Kluczowe pozostaje wdrożenie poprawek na poziomie serwera.

Starsze instalacje mogą być szczególnie problematyczne

Zespół bezpieczeństwa PHP zaleca aktualizację natychmiast po udostępnieniu poprawek. Organizacje korzystające ze starszych, niewspieranych wersji PHP mogą znaleźć się w trudniejszej sytuacji, ponieważ takie środowiska mogą nie otrzymywać oficjalnych aktualizacji bezpieczeństwa.

Do czasu pełnego wdrożenia poprawek priorytetem pozostaje identyfikacja narażonych systemów, szybkie zastosowanie aktualizacji oraz ograniczenie publicznego dostępu do podatnych aplikacji, jeśli ich zabezpieczenie nie będzie możliwe od razu.