Na administratorów stron internetowych spadło ostrzeżenie, jakie rzadko się zdarza: w poniedziałek opiekunowie PHP oznajmili, że wypuszczą łatki na dwie podatności, a do ich publikacji miało zostać nieco ponad 12 godzin. Jak podaje Ars Technica, obie luki mają ocenę wagi 9,2 w skali do 10. Specjaliści uważają je za niezwykle poważne.
PHP to język skryptowy o otwartym kodzie, służący do budowy dynamicznych stron i aplikacji internetowych. Stał się w praktyce jednym z podstawowych klocków sieci. Napędza WordPressa i wiele innych systemów zarządzania treścią, a także sporo narzędzi wewnętrznych w firmach. Jeden z badaczy bezpieczeństwa szacuje, że zagrożonych może być około 1,3 miliona hostów podłączonych do internetu.
Przeciek i film
Komunikat opiekunów pojawił się po wycieku rzekomych szczegółów, których nikt dotąd nie potwierdził. Według Ars Technica raport pokazywał nagranie narzędzia o nazwie PHP2Shell, które wykonuje kod na serwerach z WordPressem 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravelem 13.36.0 i 8.83.29, Symphony 8.1.9, Drupalem 11.4.10 oraz WHMCS 9.0.9. Wszystkie te systemy działają na PHP.
Samego raportu dziennikarzom nie udało się odnaleźć. Firma watchTowr przekazała jednak, że według tego dokumentu problem dotyczy każdej wersji PHP od piątej, wydanej w 2004 roku. Dodała też, że sama potwierdziła, iż luki są prawdziwe. Śledzone są jako CVE-2026-109618 i CVE-2026-109619.
W komunikacie opiekunów czytamy: „Wszyscy użytkownicy PHP są zachęcani, by przygotować się już teraz, aby mogli zaktualizować system, gdy tylko wydanie będzie dostępne”. Zastrzegli też, że zastrzegają sobie prawo do wcześniejszej publikacji, jeśli szczegóły którejś z luk staną się publiczne albo pojawią się dowody aktywnego wykorzystywania ich w sieci. Innymi słowy: podana godzina nie jest gwarancją.
Piętnaście minut
Najmocniej brzmi ostrzeżenie badaczy z firmy Sansec. Oczekują oni, że masowe ataki zaczną się w ciągu 15 minut od premiery łatek. Do przygotowań wzywa też trzecia firma, Webfence, a Huntress opublikowała własny komunikat.
Zalecenia są dość przyziemne. Trzeba ustalić, kto w organizacji odpowiada za PHP, spisać wszystkie aplikacje zbudowane w tym języku i zaplanować okno serwisowe od godziny 14:00 UTC, z planem awaryjnym na wypadek wcześniejszej premiery. Warto zrobić kopię plików witryny i bazy danych oraz śledzić stronę główną PHP.net, gdzie mogą pojawić się nowe komunikaty, także o przyspieszeniu wydania. Niektórzy eksperci sugerują wręcz odłączenie niekrytycznych systemów do czasu załatania.
Czekanie na łatkę
Ars Technica zaznacza, że łatki mogą się ukazać w każdej chwili, więc czujność trzeba zachować aż do ich wdrożenia. Luki tej wagi mogą narobić poważnych szkód w całej sieci, a skala użycia PHP sprawia, że nie jest to problem garstki hobbystów z małymi blogami.
Jest w tej historii coś osobliwego: zwykle o podatnościach dowiadujemy się dopiero po fakcie, a tu napastnicy i obrońcy dostali ten sam zegar. Różnica polega na tym, że jedna strona ma podobno gotowe narzędzie, a druga dopiero pakuje kopie zapasowe. Wygra ten, kto szybciej kliknie „aktualizuj”.
Wpis z pasa „W ruchu”, 21 października 2026. Na zdjęciu: Fragment kodu napisanego w języku PHP.
