PHP2Shell: Dwie krytyczne luki w PHP powodują globalne zamknięcia witryn

PHP, język skryptowy obsługujący dużą część kodu po stronie serwera w sieci, został dotknięty dwiema istotnymi lukami w bezpieczeństwie ujawnionymi w październiku 2026 roku. Zbiorowo nazwane "PHP2Shell" i śledzone jako CVE-2026-109618 i CVE-2026-109619, błędy umożliwiają atakującemu bez konta lub hasła wykonanie dowolnego kodu na zainfekowanym serwerze internetowym.

Co robią luki

Według firmy zajmującej się bezpieczeństwem watchTowr, CVE-2026-109618 występuje, gdy PHP zabraknie pamięci w trakcie konfigurowania przychodzącego żądania, pozostawiając wewnętrzne dane żądania tylko częściowo zainicjowane; procedura czyszczenia PHP błędnie traktuje te nieprawidłowe dane jako prawidłowe. CVE-2026-109619 obejmuje stan wewnętrzny powiązany z jednym żądaniem, który przetrwał po uwolnieniu pamięci, na którą wskazuje, więc późniejsze żądanie obsługiwane przez ten sam proces roboczy może używać tego przestarzałego stanu przed zresetowaniem go przez normalną inicjalizację.

Firma badawcza Wiz, która przeanalizowała te luki, powiedziała Help Net Security, że problemy pozostawały niezauważone przez lata i zajmują miejsce wśród najtragiczniejszych błędów kiedykolwiek odkrytych w tym języku. Poza pełnym zdalnym wykonywaniem kodu watchTowr powiedział, że błędy mogą również powodować upadek procesów roboczych PHP, pozwalać na dowolne odczytywanie plików lub wyciek pamięci serwera.

Kto to znalazł i kiedy

Dwie luki zostały zgłoszone w wyniku odrębnych badań. Porada watchTowr przypisuje odkrycie zespołowi badań bezpieczeństwa firmy Calif, podczas gdy relacja Help Net Security przypisuje identyfikację i ujawnienie badaczom z Wiz. Oś czasu ujawnienia była niezwykła: informacje, które miały pozostać w tajemnicy, wyciekły publicznie 20 października 2026 roku, a watchTowr potwierdził autentyczność wycieków. Deweloperzy PHP odpowiedzieli, wydając poprawki o dzień wcześniej niż planowana data 22 października, o 14:00 UTC 21 października 2026 roku.

Zakres: kto uruchamia podatny PHP

PHP pozostaje jednym z najszerzej używanych języków po stronie serwera w sieci, a luki mogą wpłynąć na każdą konfigurację przetwarzającą przychodzące żądania HTTP za jego pośrednictwem. Dotyczy to PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed, zgodnie z watchTowr, co oznacza, że błąd znajduje się na poziomie serwera, a nie w żadnej pojedynczej aplikacji.

Ponieważ PHP 7.4, 8.0 i 8.1 nie są już oficjalnie obsługiwane, watchTowr mówi, że nie ma poprawki z głównego projektu PHP dla witryn nadal pracujących na tych gałęziach, chociaż poprawki dystrybucji Linux lub dostawcy wsparcia długoterminowego mogą być dostępne jako opcja tymczasowa; w przeciwnym razie te instalacje muszą przejść do gałęzi obsługiwanej. PHP 7.3 i starsze nie mają żadnej poprawki, według watchTowr. Porada PHP mówi, że żadna zmiana konfiguracji w pełni nie zamyka luk bez aktualizacji oprogramowania.

Wpływ i eksploatacja

Help Net Security powiedział, że sieć honeypot zarządzana przez Amazon wykryła próby eksploatacji 17 października 2026 roku — cztery dni przed publiczną poprawką — co sugeruje, że niektórzy atakujący mieli wczesny dostęp do szczegółów exploita. WatchTowr powiedział, że jego własna sieć honeypot "Attacker Eye" obserwowała aktywną eksploatację na wolności, która trwała po wydaniu poprawki 21 października. Systemy zarządzania treścią oparte na PHP, w tym WordPress, Drupal i Joomla, a także aplikacje oparte na Laravel i platformy handlu elektronicznego, wszystkie znajdują się w obszarze dotkniętym, ponieważ działają na podatnym silniku PHP.

W miarę postępu łatania agencje rządowe, fora internetowe, platformy do gier i niektóre witryny związane z infrastrukturą zostały wyłączone jako środek ostrożności, podczas gdy operatorzy zastosowali poprawki, zgodnie z relacją podsumowaną na stronie PHP2Shell w Wikipedii. Brytyjskie Narodowe Centrum Cyberbezpieczeństwa poleciło organizacjom, które nie mogły natychmiast zainstalować poprawek, aby zamiast tego przełączyć podatne systemy w tryb offline, podała Help Net Security.

Ocena ważności i co powinni robić operatorzy witryn

Sami deweloperzy PHP ocenili obie luki na 9,2 z 10 w skali CVSS v4.0, co stanowi ocenę "krytyczną", według rady watchTowr. Wyraźna ścieżka naprawy, zgodnie z poradą PHP i watchTowr, polega na aktualizacji do PHP 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 w zależności od gałęzi, którą uruchamia serwer; witryny na 7.4, 8.0 lub 8.1 powinny używać poprawki dystrybucji lub przejść do gałęzi obsługiwanej, podczas gdy serwery na 7.3 lub starsze nie mają dostępnej poprawki i wymagają uaktualnienia.