Dwie luki w PHP grożą milionom stron

Krytyczna luka w PHP podnosi alarm

Dwie poważne podatności wykryte w PHP wywołały duże poruszenie w świecie web security. Problem dotyczy języka, na którym działa ogromna część internetu, w tym popularne systemy CMS i sklepy e-commerce. W praktyce oznacza to ryzyko dla milionów stron, także tych powiązanych z ekosystemem kryptowalut.

PHP obsługuje według przytoczonych danych około 69,3% stron, których język po stronie serwera został zidentyfikowany. To sprawia, że nawet pojedyncza luka może mieć bardzo szeroki zasięg.

Co wiadomo o podatnościach

Zidentyfikowane błędy otrzymały oznaczenia CVE-2026-109618 i CVE-2026-109619. Oceniono je na 9,2/10 w skali CVSS v4.0, czyli jako podatności krytyczne. W grę wchodzi RCE – zdalne wykonanie kodu, które może pozwolić napastnikowi uruchamiać dowolne komendy na serwerze.

W praktyce skutki takiego ataku mogą obejmować:

• przejęcie serwera,
• podmianę treści strony,
• instalację złośliwego oprogramowania,
• tworzenie fałszywych stron logowania lub płatności,
• wykradanie danych użytkowników.

Dlaczego zagrożenie jest tak duże

PHP napędza wiele popularnych narzędzi, takich jak WordPress, WooCommerce, Magento czy inne systemy zarządzania treścią i sklepami internetowymi. To oznacza, że potencjalny atak nie musi dotyczyć wyłącznie samych witryn informacyjnych. Jeśli luka zostanie wykorzystana na stronie sklepu, może dojść do podstawienia fałszywego adresu wpłaty, podmiany formularza logowania albo przechwycenia danych klientów.

Dla branży krypto ma to szczególne znaczenie, bo wiele projektów, giełd i serwisów korzysta z tych samych narzędzi webowych do obsługi front-endu, blogów, paneli klienta czy pomocy technicznej.

Kiedy pojawi się poprawka

Kluczowy moment miał nastąpić 21 października o 16:00 czasu paryskiego. Wtedy opublikowano poprawki dla wykrytych błędów. Z opisu wynika jednak, że oficjalny patch dotyczy wyłącznie PHP 8.2 i nowszych wersji. Starsze wydania, takie jak 8.1 czy 7.4, nie mogą liczyć na pełne wsparcie i mogą wymagać szybkiej migracji lub działań ze strony dostawcy hostingu.

To ważna uwaga: aktualizacja samego WordPressa nie wystarczy. Problem leży na poziomie PHP działającego na serwerze, a nie wyłącznie w warstwie aplikacji.

Co mogą zrobić administratorzy

Specjaliści ds. bezpieczeństwa zalecają kilka prostych, ale ważnych kroków:

1. Zidentyfikować wszystkie instalacje PHP w infrastrukturze, także te ukryte w dodatkowych usługach.
2. Sprawdzić wersje PHP i przygotować się do wdrożenia poprawek natychmiast po ich wydaniu.
3. Odłączyć od internetu aplikacje działające na wersjach bez wsparcia, jeśli nie da się ich szybko załatać.
4. Skontaktować się z hostingiem i upewnić się, że infrastruktura zostanie zaktualizowana bez opóźnień.
5. Monitorować procesy serwera, zwłaszcza nietypowe uruchomienia shelli lub poleceń sieciowych przez php-fpm albo apache2.

Dodatkowo użytkownicy domowi, którzy korzystają z urządzeń typu Freebox OS, powinni sprawdzić, czy zdalny dostęp jest włączony. Jeśli nie jest potrzebny, najlepiej go wyłączyć do czasu wyjaśnienia sytuacji.

Czy użytkownicy krypto powinni się martwić

Tak, ale bez paniki. Bezpośrednio zagrożone mogą być przede wszystkim serwisy oparte na PHP. Natomiast platformy korzystające z innych technologii, takich jak Node.js czy Shopify, nie są przez tę konkretną podatność dotknięte, o ile nie używają dodatkowo podatnych komponentów.

Dla zwykłych użytkowników najlepszym podejściem jest ostrożność. Jeśli strona wygląda podejrzanie albo wymaga podłączenia walleta w niepewnym momencie, lepiej odłożyć transakcję do czasu potwierdzenia, że infrastruktura jest bezpieczna.

Szybkie tempo ataków to największy problem

Najbardziej niepokojące w tej sytuacji jest to, jak szybko napastnicy mogą zareagować na publikację poprawki. Po ujawnieniu łatki atakujący mogą porównać stary i nowy kod, a następnie odtworzyć sposób exploitacji. W takiej sytuacji pierwsze próby ataków mogą pojawić się bardzo szybko.

To przypomina wcześniejsze duże incydenty, gdy po ujawnieniu luki w popularnym oprogramowaniu Internet był zasypywany automatycznymi próbami ataku. Tym razem obrona ma przynajmniej jedną przewagę: wiadomo, kiedy zagrożenie zostało ujawnione i kiedy należy działać.

Podsumowanie

Dwie krytyczne luki w PHP pokazują, jak duże znaczenie ma bezpieczeństwo infrastruktury webowej. Choć same podatności nie dotyczą bezpośrednio blockchaina, mogą realnie uderzyć w serwisy związane z kryptowalutami, jeśli działają na podatnych instalacjach PHP.

Najważniejsze pozostaje szybkie wdrożenie aktualizacji, sprawdzenie wersji oprogramowania i ostrożność przy korzystaniu z serwisów, które obsługują płatności lub logowanie do walleta.