PHP2Shell: krytyczne luki w PHP zagrażają serwerom internetowym. Konieczna natychmiastowa aktualizacja

Dwie poważne podatności w interpreterze PHP, oznaczone CVE-2026-109618 i CVE-2026-109619, mogą umożliwić zdalne wykonanie kodu na serwerze bez wcześniejszego uwierzytelnienia. Problem dotyczy zarówno popularnych stron internetowych, jak i zaawansowanych aplikacji biznesowych. Poprawki bezpieczeństwa zostały opublikowane 21 października 2026 roku.

Czym jest PHP2Shell?

PHP pozostaje jedną z najczęściej wykorzystywanych technologii do tworzenia dynamicznych stron i aplikacji internetowych. Korzystają z niego między innymi systemy oparte na WordPress, Drupal i Joomla, a także liczne firmowe portale oraz aplikacje wewnętrzne.

W październiku 2026 roku ujawniono dwie krytyczne podatności w samym interpreterze PHP. Otrzymały one wspólną nazwę PHP2Shell.

Obydwie zostały ocenione na 9,2 punktu w skali CVSS 4.0, co oznacza krytyczny poziom zagrożenia.

Najpoważniejszą konsekwencją jest możliwość wykonania przez atakującego nieautoryzowanego kodu na podatnym serwerze. W zależności od konfiguracji i uprawnień procesu PHP może to prowadzić do kradzieży danych, modyfikacji aplikacji lub dalszej kompromitacji infrastruktury.

Dwie podatności, dwa mechanizmy ataku

CVE-2026-109618 — błędna obsługa wyczerpania pamięci

Pierwsza podatność związana jest z niewłaściwą obsługą sytuacji, w której interpreterowi PHP kończy się dostępna pamięć podczas przygotowywania żądania.

W określonych warunkach PHP może przerwać inicjalizację wewnętrznych struktur danych, a następnie wykorzystywać je tak, jakby zostały prawidłowo przygotowane.

Błąd w zarządzaniu pamięcią może zostać wykorzystany do wykonania nieautoryzowanego kodu.

CVE-2026-109619 — nieprawidłowe zarządzanie stanem interpretera

Druga podatność dotyczy pozostawiania wewnętrznych danych po zakończeniu obsługi żądania.

Kolejne żądanie obsługiwane przez ten sam proces PHP może odwołać się do pamięci, która została już zwolniona. Takie zachowanie stwarza możliwość naruszenia integralności procesu i zdalnego wykonania kodu.

Czy ataki już występują?

Tak. Badacze bezpieczeństwa zaobserwowali próby wykorzystania podatności w rzeczywistym ruchu sieciowym.

Firma watchTowr poinformowała o wykryciu aktywności związanej z PHP2Shell w swojej sieci systemów obserwujących działania atakujących. Z kolei Amazon Threat Intelligence wykrył próbę ataku jeszcze przed oficjalną publikacją poprawek.

Nie oznacza to, że każdy taki przypadek zakończył się przejęciem serwera. Potwierdza jednak, że zagrożenie wykracza poza laboratoryjne testy i wymaga pilnej reakcji administratorów.

Które wersje PHP należy zaktualizować?

21 października opublikowano poprawione wersje dla czterech gałęzi PHP:

Starsze gałęzie PHP również mogą być podatne. Dla niewspieranych wersji nie należy oczekiwać standardowych aktualizacji z oficjalnego cyklu wydawniczego PHP. Konieczna może być migracja do wspieranej wersji lub zastosowanie odpowiednio poprawionych pakietów dostawcy systemu operacyjnego.

Co powinni zrobić administratorzy?

Zalecamy niezwłoczne przeprowadzenie następujących działań:

1. Inwentaryzacja środowiska — identyfikacja wszystkich serwerów, kontenerów i aplikacji korzystających z PHP.
2. Weryfikacja wersji — sprawdzenie rzeczywistej wersji interpretera obsługującego aplikację, nie tylko wersji dostępnej w konsoli systemowej.
3. Aktualizacja — wdrożenie poprawek PHP lub odpowiednich pakietów bezpieczeństwa dystrybucji.
4. Restart procesów — ponowne uruchomienie usług PHP-FPM, Apache albo kontenerów, aby usunąć z pamięci stare procesy.
5. Analiza bezpieczeństwa — sprawdzenie logów HTTP, zdarzeń WAF i systemów EDR pod kątem podejrzanej aktywności.
6. Ograniczenie ekspozycji — odizolowanie aplikacji, których nie można natychmiast zabezpieczyć.

Ważne: sam WAF nie stanowi pełnego rozwiązania problemu. Mechanizmy filtrowania ruchu mogą ograniczać wybrane scenariusze ataku, jednak nie zastępują aktualizacji interpretera.

Dlaczego PHP2Shell jest szczególnie niebezpieczny?

Podatności znajdują się w podstawowej warstwie wykonawczej PHP, a nie w konkretnej wtyczce lub motywie CMS.

Oznacza to, że nawet aktualna aplikacja może pozostawać zagrożona, jeżeli działa na podatnej wersji interpretera.

To istotna różnica. Organizacje często koncentrują się na aktualizacjach aplikacji, zapominając o oprogramowaniu bazowym, bibliotekach i środowisku uruchomieniowym.

Bezpieczeństwo infrastruktury wymaga kompleksowego podejścia

Incydent PHP2Shell przypomina, że skuteczna ochrona aplikacji internetowych nie kończy się na firewallu czy certyfikacie SSL.

Ważne są również zarządzanie podatnościami, regularne aktualizacje, segmentacja sieci, monitorowanie zdarzeń oraz możliwość szybkiego odtworzenia usług.

Alterkom wspiera organizacje w projektowaniu i zabezpieczaniu infrastruktury IT — od serwerów i systemów operacyjnych po ochronę aplikacji, monitoring i rozwiązania cyberbezpieczeństwa.