Krytyczny błąd PHP2Shell zagraża dużej części stron internetowych. Co to oznacza dla Ciebie?

Europejski zespół ds. cyberbezpieczeństwa CERT-EU ostrzega przed dwoma krytycznymi błędami w języku PHP, na którym działa duża część internetu. Władze rządowe w kilku krajach prewencyjnie wyłączyły z ich powodu niektóre swoje strony internetowe. Co właściwie się stało i czy dotyczy to również Ciebie?

Co to jest PHP2Shell?

PHP to język, w którym „działa” duża część stron internetowych – portale informacyjne, sklepy internetowe i blogi. Według serwisu W3Techs, używa go 69,3% stron, dla których technologia jest znana. Wiele z nich opiera się na systemie zarządzania treścią WordPress, a wśród nich jest także Svět Androida.

Według ostrzeżenia CERT-EU, chodzi o luki w zabezpieczeniach CVE-2026-109618 i CVE-2026-109619 z oceną ważności 9,2 na 10. Umożliwiają one atakującemu uruchomienie własnego kodu na serwerze bez żadnego hasła. Mówiąc prościej: obca osoba mogłaby przejąć kontrolę nad stroną, zmienić jej zawartość lub wyciągnąć z niej dane.

Szczegóły miały pozostać tajne (pod embargiem) aż do wydania poprawek, ale część informacji wyciekła wcześniej. Deweloperzy PHP, zgodnie ze swoim ogłoszeniem, wydali poprawione wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35 dnia 21 października. Wersje 8.1, 8.0 i 7.4 otrzymały jedynie minimalne awaryjne poprawki, dla jeszcze starszych wersji deweloperzy PHP nie wydali poprawki. Według deweloperów, nie istnieje inne pełne rozwiązanie niż aktualizacja.

Co możesz zauważyć?

Nie musisz nic aktualizować na telefonie ani komputerze, błąd znajduje się na serwerach, a nie w Twoich urządzeniach. Mimo to może Cię dotknąć:

• niektóre strony internetowe mogą być tymczasowo niedostępne – CERT-EU zaleca administratorom, którzy nie mogą od razu zaktualizować, rozważenie ich odłączenia od internetu,
• na stronach internetowych może przestać działać przesyłanie plików, np. zdjęć do ogłoszenia lub załączników do formularza.

Według agencji Reuters, cytowanej przez ČTK, niektóre swoje strony internetowe prewencyjnie wyłączyły już na przykład urzędy w Holandii, Francji i Finlandii.

Gdyby popularna strona zaczęła zachowywać się dziwnie – przekierowywała Cię gdzie indziej lub niespodziewanie prosiła o dane logowania lub płatność – niczego nie wypełniaj. A jeśli strona, której używasz, zgłosi wyciek danych, zmień hasło tam i wszędzie, gdzie używasz tego samego. Masz własną stronę? Zapytaj swojego hostingu, czy już zaktualizował PHP.

Jaką rolę odgrywa sztuczna inteligencja?

Błędy odkryła firma zajmująca się bezpieczeństwem Wiz, która podaje, że modele AI pomogły jej znaleźć błąd i zweryfikować poprawkę. Te same narzędzia mogą jednak pomóc również atakującym.

Jak wygląda sytuacja Světa Androida?

Hosting zapewnia nam firma Lynt. Jej szef techniczny, Vladimír Smitka, stwierdził na platformie X, że zespół monitoruje ruch i ma przygotowane wyłączenie przesyłania plików jako najmniej inwazyjną obronę. Exploity, czyli instrukcje do wykorzystania luk, które krążyły po internecie, według jego słów nie doprowadziły go do prawdziwego błędu.

Na razie nikt nie wie, czy będzie to analogia do „problemu roku 2000″, który dzięki wczesnym poprawkom obył się bez większych szkód, czy też fala prawdziwych ataków. Firma Cloudflare, według swojego dyrektora technicznego, odnotowała pierwsze próby ataków. Artykuł będzie na bieżąco aktualizowany.

Natrafiłeś na stronę, która nie ładuje się lub zachowuje się dziwnie?

Źródła: CERT-EU, PHP.net, Wiz