Krytyczne luki w PHP zagrażają milionom stron. Polska wyłącza część serwisów BIP

Dwie poważne luki w oprogramowaniu PHP mogą pozwolić hakerom przejąć kontrolę nad serwerami obsługującymi miliony stron internetowych. W Polsce z tego powodu czasowo wyłączono część stron Biuletynu Informacji Publicznej. CERT Polska ostrzega, że sama zmiana ustawień serwera nie wystarczy – konieczna jest aktualizacja oprogramowania. Podobne środki ostrożności podjęły instytucje w wielu krajach Europy.

Dwie luki w zabezpieczeniach PHP, oznaczone jako CVE-2026-109618 i CVE-2026-109619, postawiły w stan gotowości administratorów serwerów i zespoły cyberbezpieczeństwa. Według komunikatu CERT Polska, błędy w mechanizmie zarządzania pamięcią umożliwiają zdalne wykonanie dowolnych poleceń systemowych. W praktyce napastnik może w ten sposób przejąć kontrolę nad podatnym serwerem.

Problem ma szeroki zasięg. PHP obsługuje bowiem znaczną część internetu, w tym witryny oparte na popularnych systemach zarządzania treścią, sklepach internetowych i aplikacjach webowych. Według różnych szacunków, język ten wykorzystuje około 70-75% stron, dla których udało się zidentyfikować technologię po stronie serwera. Oznacza to, że konsekwencje błędów mogą wykraczać daleko poza pojedyncze serwisy.

Polska wyłącza część stron Biuletynu Informacji Publicznej

W Polsce pierwsze działania ochronne objęły część serwisów administracji publicznej. Centralny Ośrodek Informatyki zdecydował o czasowym wyłączeniu stron Biuletynu Informacji Publicznej działających w Systemie Scentralizowanego Dostępu do Informacji Publicznej (SSDIP). Jak wyjaśniło Ministerstwo Cyfryzacji, ma to umożliwić wdrożenie niezbędnych zabezpieczeń i ograniczyć ryzyko wykorzystania podatności.

Ograniczenie dotyczy wyłącznie stron udostępnianych przez serwis ssdip.bip.gov.pl. Nie oznacza wyłączenia wszystkich stron BIP w kraju ani objęcia tym działaniem każdego systemu wykorzystywanego przez urzędy do publikowania informacji publicznej. Dla obywateli oznacza to czasowe utrudnienia w dostępie do dokumentów i informacji publikowanych przez instytucje korzystające z SSDIP. Dla administratorów to sygnał, że nawet jeśli nie zaobserwowali jeszcze próby włamania, powinni pilnie sprawdzić czy ich infrastruktura jest podatna.

CERT Polska zaleca instalację poprawionej wersji PHP jako jedyną skuteczną metodę ochrony przed wykorzystaniem opisanych luk. Zespół podkreśla, że zagrożenie dotyczy wszystkich wersji PHP od 5.4 wzwyż. Problem może więc obejmować zarówno nowsze środowiska, jak i starsze instalacje, które nadal działają w organizacjach.

Aktualizacja PHP to podstawa. Ustawienia mogą jedynie ograniczyć ryzyko

Wczoraj (21 października) autorzy PHP opublikowali poprawki bezpieczeństwa. CERT Polska wskazuje następujące bezpieczne wersje głównych wspieranych linii:

PHP 8.5 – wersja 8.5.12;
PHP 8.4 – wersja 8.4.27;
PHP 8.3 – wersja 8.3.36;
PHP 8.2 – wersja 8.2.35.

W przypadku starszych linii, w tym PHP 5.6, 7.0, 8.0 i 8.1, administratorzy powinni sprawdzić dostępność poprawek u dostawców dystrybucji systemu operacyjnego lub producentów oprogramowania wykorzystującego PHP. Dotyczy to również gotowych urządzeń, aplikacji dystrybuowanych jako obrazy kontenerów oraz innych rozwiązań, w których użytkownik nie aktualizuje samodzielnie wszystkich komponentów.

CERT Polska opublikował także zalecenia dotyczące tymczasowej konfiguracji PHP:

• memory_limit na -1, jeżeli pozwalają na to zasoby, a w przeciwnym wypadku 128M lub więcej,
• post_max_size: 8M lub mniej,
• max_input_vars: 1000 lub mniej,
• session.upload_progress.enabled na Off.

To jednak środki ograniczające ryzyko, a nie rozwiązanie problemu. CERT Polska wyraźnie zaznacza, że nawet zastosowanie wszystkich wymienionych ustawień nie wyklucza wykorzystania podatności. Pełną ochronę zapewnia dopiero aktualizacja do bezpiecznej wersji PHP.

Organizacje powinny też sprawdzić, czy w ich systemach nie ma śladów wcześniejszego włamania. Jeśli administratorzy wykryją oznaki wykorzystania luk, CERT Polska prosi o niezwłoczne zgłoszenie incydentu za pośrednictwem serwisu incydent.cert.pl. Bieżące informacje i rekomendacje są publikowane na stronie moje.cert.pl.

Europa czasowo odłącza serwisy publiczne

Polska nie jest oczywiście odosobnionym przypadkiem. Po ujawnieniu podatności instytucje w kilku państwach zdecydowały się na prewencyjne ograniczenie dostępności części usług internetowych. W Holandii wyłączono między innymi wybrane serwisy administracji publicznej, a problemy dotknęły również strony parlamentu i krajowego centrum cyberbezpieczeństwa. Czasowo niedostępne były także niektóre witryny instytucji i organizacji spoza administracji centralnej.

W Danii firma informatyczna Kombit wyłączyła część usług, w tym krajową platformę komunikacji szkolnej. Z kolei fiński operator usług IT dla administracji publicznej Valtori poinformował o prewencyjnym odłączeniu publicznych usług sieciowych. We Francji działaniami konserwacyjnymi objęto strony resortu spraw wewnętrznych i wybrane serwisy administracji lokalnej. Problemy odnotowano również w Niemczech i Belgii.

W Wielkiej Brytanii czasowo wyłączono między innymi strony władz lokalnych Edynburga, Bristolu i Oksfordu. Podobne środki zastosowały organizacje zarządzające infrastrukturą internetową. Fundacja Wikimedia prewencyjnie wyłączyła część systemów, a Internet Archive na krótko ograniczyło dostępność swoich usług.

Skala reakcji pokazuje, że administratorzy nie czekają na potwierdzenie ataków na własne systemy. W przypadku podatności pozwalającej na zdalne wykonywanie poleceń na serwerze czasowe odłączenie usługi może być bezpieczniejszym rozwiązaniem niż utrzymywanie jej dostępności bez możliwości szybkiego wdrożenia poprawki.

Ostrzeżenia wydały również agencje zajmujące się cyberbezpieczeństwem poza Europą, w tym amerykańska Agencja Bezpieczeństwa Narodowego (NSA). Zaleciła ona organizacjom korzystającym z PHP natychmiastowe zastosowanie poprawek, a jeśli nie jest to możliwe – wyłączenie podatnych systemów do czasu zabezpieczenia ich przed atakiem. Podobne stanowisko przedstawiły brytyjskie służby cyberbezpieczeństwa.

Sztuczna inteligencja pomogła znaleźć błędy w kodzie

Szczególną uwagę zwraca sposób wykrycia podatności. OpenAI poinformowało, że jego modele pomogły badaczom zaangażowanym w inicjatywę Patch the Planet zidentyfikować krytyczne błędy w PHP. Według firmy, proces przygotowania poprawek trwał około dwóch miesięcy i wymagał współpracy osób rozwijających język, badaczy bezpieczeństwa oraz dostawców zabezpieczeń.

Jak poinformowano, jedną z podatności wykryto z pomocą modelu GPT-5.6 Sol. Niezależne badania prowadziła także firma Wiz, która informowała o wykorzystaniu własnych narzędzi do autonomicznej analizy podatności oraz technologii AI. W prace nad identyfikacją i usunięciem błędów zaangażowane były również inne podmioty, w tym firma Cloudflare.

Według OpenAI, błędy pozostawały w kodzie przez wiele lat. Ich odkrycie pokazuje, że modele AI mogą pomagać w analizie rozbudowanych projektów programistycznych i wskazywać problemy, które przez długi czas umykały uwadze programistów i specjalistów od bezpieczeństwa. Jednocześnie nie oznacza to jednak, że sztuczna inteligencja rozwiązuje problem cyberbezpieczeństwa. Po opublikowaniu poprawek napastnicy mogą analizować zmiany w kodzie, aby ustalić, na czym polegały wcześniejsze błędy i jak wykorzystać systemy, których administratorzy nie zdążyli zaktualizować. Powstaje więc wyścig między obrońcami, którzy muszą zabezpieczyć tysiące serwerów, a atakującymi, którzy mogą automatyzować poszukiwanie podatnych instalacji.

OpenAI ocenia, że w tym przypadku zaawansowane modele pomogły wykryć zagrożenie przed napastnikami, dając zespołom bezpieczeństwa czas na przygotowanie poprawek. Nie jest to jednak gwarancja, że podobny scenariusz powtórzy się przy kolejnych lukach.

PHP to fundament dużej części internetu

PHP jest językiem programowania wykorzystywanym przede wszystkim po stronie serwera. Odpowiada między innymi za generowanie treści stron, obsługę formularzy, logikę aplikacji i komunikację z bazami danych. Korzystają z niego popularne systemy zarządzania treścią, takie jak WordPress, Joomla i Drupal, a także platformy handlu internetowego, w tym rozwiązania oparte na WooCommerce.

Szczególne znaczenie ma popularność WordPressa, na którym działa znaczna część witryn internetowych. Podatność w PHP może zatem dotknąć zarówno niewielkich stron firmowych i sklepów, jak i serwisów informacyjnych czy portali instytucji publicznych. Nie oznacza to, że każda strona oparta na tych technologiach została zaatakowana, ale każda podatna instalacja wymaga pilnej weryfikacji i zabezpieczenia.

Problem wykracza przy tym poza PHP. Tego samego dnia poinformowano o czterech poważnych lukach w Node.js, środowisku uruchomieniowym dla JavaScriptu. Jedna z nich umożliwiała zdalne wykonanie kodu, a dwie inne mogły pozwolić na obejście kontroli certyfikatów TLS. Z kolei LiteLLM, popularne narzędzie open source służące do kierowania zapytań do modeli językowych, zgłosiło atak na łańcuch dostaw oprogramowania. Napastnicy umieścili złośliwy kod w pakietach publikowanych w repozytoriach PyPI, Docker Hub i GitHub Container Registry. Kod miał umożliwiać kradzież haseł, poświadczeń chmurowych i danych dostępowych do usług AI, a także zdalne wykonywanie poleceń.

Wszystkie te incydenty mają różny charakter, ale łączy je skala potencjalnych konsekwencji. Podatność w popularnym komponencie, wykorzystywanym przez wiele organizacji, może otworzyć drogę do ataków na dużą liczbę niezależnych systemów. W przypadku PHP dodatkowym problemem jest obecność starych wersji oprogramowania, których aktualizacja może wymagać zmian w całej infrastrukturze.