Aktualności

21 października 2026 r. ujawniono krytyczne luki bezpieczeństwa w samym języku PHP, oznaczone jako PHP2Shell. Mogą one umożliwić atakującym zdalne przejęcie serwera lub wykradzenie poufnych danych — nawet jeśli strona internetowa została poprawnie zaprogramowana. Szczegóły techniczne i zalecenia znajdują się poniżej.

O co chodzi?
Badacze odkryli kilka bardzo poważnych błędów w „silniku” PHP, czyli podstawowym oprogramowaniu, na którym działa znaczna część internetu. Luki mogą potencjalnie pozwolić na:

– zdalne wykonanie kodu (RCE) — atakujący może uruchomić własne polecenia na serwerze;
– wyciek pamięci procesu — odczytanie danych pozostawionych w pamięci serwera, takich jak hasła, tokeny, klucze API czy certyfikaty;
– przejęcie kontroli nad stroną, jej defacement albo przeprowadzenie dalszego ataku na infrastrukturę firmy.

Problem dotyczy samego PHP, a nie konkretnej wtyczki, motywu czy aplikacji. Oznacza to, że zagrożone mogą być również poprawnie napisane, proste strony, jeśli korzystają z podatnej wersji PHP.

Czym jest PHP?
PHP to język programowania używany głównie do tworzenia dynamicznych stron internetowych. W uproszczeniu: gdy odwiedzasz sklep internetowy, blog, formularz kontaktowy czy panel logowania, PHP często odpowiada za działanie strony — sprawdza dane, łączy się z bazą, wyświetla treści i obsługuje użytkowników.

PHP działa po stronie serwera, czyli na komputerze firmy hostingowej lub w chmurze, a nie w przeglądarce użytkownika. Jest podstawą m.in. WordPressa, Drupala, Joomla oraz oprogramowania MediaWiki, na którym działa Wikipedia. PHP zasila około 70% stron internetowych na świecie.

Na czym polega problem?
Wykryte błędy to tzw. problemy bezpieczeństwa pamięci. PHP może nieprawidłowo obsługiwać sytuacje awaryjne, zwłaszcza gdy podczas przetwarzania żądania zabraknie pamięci lub wystąpi błąd krytyczny. W takiej sytuacji w pamięci procesu PHP mogą pozostać „uszkodzone” lub nieaktualne dane.

Kolejne żądanie obsługiwane przez ten sam proces może przypadkowo skorzystać z tych danych. Atakujący może to wykorzystać, aby:
– odczytać fragmenty pamięci zawierające wrażliwe informacje;
– uszkodzić pamięć procesu;
– doprowadzić do wykonania własnego kodu na serwerze.

Badacze zademonstrowali zdalne wykonanie kodu bez logowania na aktualnych instalacjach WordPressa, Drupala i Joomla. Jest to szczególnie niepokojące, ponieważ atak nie wymaga słabego hasła ani podatnej wtyczki — wystarczy podatna wersja PHP.

Jak i kiedy wykryto problem?
Pierwszą lukę odkryto 19 sierpnia 2026 r., wykorzystując zaawansowane modele AI do analizy i tworzenia exploita. Dzień później potwierdzono możliwość zdalnego wykonania kodu na Drupalu, a 21 sierpnia także na WordPressie.

Zgłoszenie do zespołu bezpieczeństwa PHP nastąpiło 24 sierpnia 2026 r. PHP potwierdziło problem i rozpoczęło prace nad poprawką 21 września. 21 października 2026 r. wydano wersje PHP zawierające poprawkę i upubliczniono informacje o podatności.

Błędy istniały w kodzie PHP od ponad dekady — sięgają co najmniej wersji PHP 5.4. Nowością jest to, że dzięki AI znacznie łatwiej stało się przekształcić dawne, skomplikowane błędy w realnie działający atak.

Czym grozi?
Jest to zagrożenie o bardzo wysokim poziomie ryzyka. Możliwe skutki to m.in.:- przejęcie serwera przez atakującego i wykonywanie dowolnych poleceń;
– kradzież danych z pamięci, w tym haseł, tokenów sesji, kluczy API i certyfikatów;
– atak na klientów i partnerów, np. przez podszywanie się pod usługę, wysyłanie spamu lub rozprzestrzenianie złośliwego oprogramowania;
– uszkodzenie lub defacement strony, przerwanie działania serwisu i utrata zaufania użytkowników;
– dalsze przeniknięcie do infrastruktury, jeśli skradzione poświadczenia umożliwiają dostęp do paneli administracyjnych, baz danych, chmury czy innych systemów.

Szczególnie groźne jest to, że lukę można wykorzystać bez uwierzytelnienia, czyli bez znajomości loginu i hasła.

Co trzeba zrobić?
Najważniejsze działanie to jak najszybsza aktualizacja PHP do wersji zawierającej poprawkę wydaną 21 października 2026 r. Tylko aktualizacja PHP usuwa problem u źródła; same zabezpieczenia aplikacji czy firewall nie stanowią pełnego rozwiązania.

Jeśli zarządzasz stroną lub serwerem:
– Sprawdź wersję PHP używaną przez stronę, panel administracyjny, sklepy i aplikacje wewnętrzne.
– Zaktualizuj PHP do najnowszej wersji zawierającej poprawkę bezpieczeństwa.
– Po aktualizacji zrestartuj usługi PHP, np. PHP-FPM, Apache z modułem PHP albo kontenery z PHP.
– Przejrzyj logi pod kątem nietypowych żądań typu multipart, błędów limitu pamięci, powtarzających się odpowiedzi HTTP 500, nietypowo dużych lub błędnych ciasteczek PHPSESSID oraz nagłych restartów procesów PHP.
– W razie podejrzenia włamania zmień hasła, rotuj klucze API i tokeny oraz sprawdź serwer pod kątem nieautoryzowanych plików i procesów.

Jeśli korzystasz z hostingu, agencji lub dostawcy SaaS:
– Skontaktuj się z dostawcą hostingu, twórcą strony, agencją IT lub dostawcą aplikacji.
– Zapytaj wprost: „Czy nasze środowisko korzysta z PHP i czy zostało już zaktualizowane do wersji z poprawką dla PHP2Shell?”
– Poproś o potwierdzenie daty aktualizacji, wersji PHP po zmianie oraz ewentualnych tymczasowych działań ograniczających ryzyko.
– Upewnij się, że dostawca monitoruje oznaki wykorzystania luki i ma plan reakcji na incydent.

Jeśli używasz WordPressa, Drupala lub Joomla:

 Aktualizacja samego WordPressa, Drupala czy Joomla nie naprawi tej luki, ponieważ problem leży w PHP, poniżej warstwy aplikacji. Należy zaktualizować środowisko PHP dostarczane przez hosting lub serwer.

Warto mimo to zaktualizować również CMS, wtyczki i motywy, ponieważ jest to standardowa praktyka bezpieczeństwa — nie zastąpi to jednak pilnej aktualizacji PHP.

Podatne wersje PHP mogą umożliwić zdalne wykonanie kodu i wyciek danych, także na stronach korzystających z WordPressa, Drupala lub Joomla. Zalecana jest pilna aktualizacja PHP do wersji z poprawką, a w razie podejrzenia włamania — zmiana poświadczeń i sprawdzenie serwera. Aktualizacja CMS, wtyczek i motywów nie zastępuje aktualizacji PHP.

W razie pytań zapraszamy do kontaktu.