Po wykryciu dwóch luk w podstawowym języku stron internetowych, jakim jest PHP, agencje rządowe w całej Europie tymczasowo wyłączyły swoje serwisy internetowe, zaś zarówno firmy, jak i instytucje publiczne gorączkowo przeprowadzają aktualizacje. Jednak mamy do czynienia z wyścigiem pomiędzy administratorami bezpieczeństwa a hackerami i już zaczęły się włamania.
Język PHP – Personal Home Page – czyli jak go na początku nazwano, a którego historia sięga lat 90., decyduje o sporej części znanych zasobów sieciowych na całym świecie. To część takich rozwiązań i aplikacji skryptowych, jak WordPress, Drupal, Joomla czy Magento, co oznacza, że jest praktycznie wszędzie, a każda krytyczna luka w nim to konsekwencje dla całego Internetu.
„Wszystkie serwery korzystające z jakiejkolwiek wersji PHP wydanej w ciągu ostatnich 20 lat są narażone na atak. Problem ten dotyczy większości Internetu” – stwierdziła Tiffany Farriss, tymczasowa dyrektor generalna organizacji Drupal Association.
„PHP stanowi fundament witryn opartych na systemach WordPress, Drupal, Joomla i Magento, platform hostingu współdzielonego, paneli sterowania oraz ogromnej liczby programów, które nawet nie informują, że w rzeczywistości korzystają z PHP” – zauważa firma z branży cyberbezpieczeństwa, Huntress.
Co istotne, błędy wykryto po analizie z pomocą sztucznej inteligencji a narzędzia oparte na AI pozwalają bez większego trudu przeprowadzić inżynierię wsteczną błędu, zaczyna się więc wyścig – hakerzy będą starali się wykorzystać lukę zanim administratorzy zdążą zainstalować aktualizacje.
Według Costina Raiu, współzałożyciela firmy TLP:Black zajmującej się cyberbezpieczeństwem oraz reagowaniem na incydenty, to AI napędza swoisty „wyścig o wykorzystanie luki”. Jego zdaniem kolejnym etapem może być poszukiwanie takich luk, które umożliwią „masowe przejęcie kontroli nad wszystkimi podatnymi na ataki serwerami WWW w Internecie”.
Potwierdza to wywiad brytyjski MI6, którego raport twierdzi, iż działają na tym polu grupy sponsorowane i utrzymywane przez „aktorów państwowych”, wskazując tu na Rosję i Chiny.
Obie luki są krytyczne, bowiem umożliwiają „nieuwierzytelnione zdalne wykonanie kodu”, czyli przejecie faktycznej kontroli nad aplikacją i w konsekwencji serwerem. Zagrożone są wszystkie instalacje PHP obsługujące zapytania internetowe, w tym te korzystające z rozwiązań podstawowych, takich jak PHP-FPM, mod php dla serwera Apache, php-cgi, FrankenPHP oraz LiteSpeed.
Twórcy PHP udostępnili pilne aktualizacje usuwające dwie krytyczne luki. Obecne Wersje PHP 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35 łatają te luki oznaczone jako CVE-2026-109618 i CVE-2026-109619.
„Uważamy, że największe ryzyko dotyczy modułu mod_php; istnieje już potwierdzony sposób wykorzystania luki, w którym nieuwierzytelnione zapytanie może wywołać atak, zanim jeszcze uruchomi się jakikolwiek kod aplikacji” – poinformowali twórcy.
Jednak oznacza to, że określenie „co” zostało faktycznie narażone stanowi ogromny problem.
„Liczba miejsc, które trzeba sprawdzić, aby zidentyfikować podatne na zagrożenia wersje PHP rośnie bardzo szybko i osiąga ogromną skalę” – powiedział serwisowy branżowemu The Register John Hammond, starszy główny badacz ds. bezpieczeństwa w firmie Huntress.
Tymczasem według danych firmy Censys, zajmującej się analizą zasobów internetowych, około 1,5 mln z 2,6 mln hostów korzysta ze starszych wersji PHP, dla których nie istnieje żadna poprawka.
Jak się okazało, luka została wykryta dzięki działaniu systemów analitycznych opartych na AI. Firma Calif przekazała na swoim blogu, że odkryła luki 1 sierpnia dzięki wykorzystaniu „szerokiego” modelu językowego i od tego czasu pracowała nad rozwiązaniem problemu. Z kolei należąca do Alphabet firma Wiz poinformowała, że zidentyfikowała lukę korzystając z własnego autonomicznego narzędzia opartego na AI – Wiz Atlas – a także z modeli Google Gemini 4 Argon oraz OpenAI GPT-5.6 Sol. Co ciekawe, także analitycy Wiz napisali, że luki te pozostawały ukryte w kodzie źródłowym PHP przez ponad dekadę a ich wykorzystanie przez człowieka byłoby niezwykle skomplikowane.
„Przed erą sztucznej inteligencji takie ręczne działania byłyby trudne do przeprowadzenia, a jeszcze trudniejsze do skalowania […]. Dzięki AI nie stanowi to już przeszkody” – stwierdzono w raporcie.
Calif i Wiz zaznaczyły, że w kwestii tego odkrycia współpracowały ze sobą, a także z zespołem rozwijającym PHP oraz firmą OpenAI.
„Zgodnie z przewidywaniami, nasze systemy monitorowania zagrożeń – watchTowr Intel – już odnotowują próby wykorzystania najnowszych luk w PHP w rzeczywistych warunkach. Do naszych czujników trafiają różne kody typu PoC [dowód koncepcji], wykorzystujące m.in. nagłówki User-Agent typu »php2shell«. Choć jak dotąd nikomu nie udało się skutecznie przeprowadzić ataku, spodziewamy się, że sytuacja ta może wkrótce ulec zmianie” – zauważył Jake Knott, szef działu analizy zagrożeń w firmie watchTowr.
Agencje ds. cyberbezpieczeństwa na całym świecie zaapelowały do firm i organizacji o natychmiastową aktualizację oprogramowania lub wyłączenie witryn internetowych do czasu przeprowadzenia aktualizacji.
„W sytuacjach, gdy natychmiastowe zastosowanie poprawek nie jest możliwe, organizacje powinny rozważyć odizolowanie aplikacji dostępnych z poziomu Internetu od sieci publicznych – aż do momentu udostępnienia odpowiedniej poprawki” – zalecił zespół CERT-EU w komunikacie opublikowanym przed wydaniem aktualizacji. Organizacja wskazała, że każda z luk otrzymała ocenę 9,2 w skali CVSS, co oznacza „zagrożenie krytyczne”.
Proces „łatania” ten już się zaczął. Holenderskie Krajowe Centrum Cyberbezpieczeństwa NCSC wyłączyło swoje publicznie dostępne serwisy internetowe. Za nim poszły port w Rotterdamie, rządowy portal Overheid.nl, krajowy związek piłkarski KNVB, witryny pięciu największych partii politycznych w kraju oraz strony internetowe kilku szpitali.
Duńska spółka cyberbezpieczeństwa samorządów Kombit poinformowała o wyłączeniu kilku usług, w tym krajowej platformy komunikacyjnej dla szkół.
W Finlandii państwowy dostawca usług informatycznych Valtori poinformował o profilaktycznym wyłączeniu wszystkich rządowych serwisów dostępnych przestrzeni publicznej. Podobnie postąpiło francuskie Ministerstwo Spraw Wewnętrznych.
Według informacji otrzymanych przez ISBiznes.pl polskie rządowe serwisy informatyczne nie są na stałe wyłączane, ale „trwają cały czas prace nad poprawkami”. Jednak są problemy z witrynami samorządowymi, które „niestety miewają problemy z cyberbezpieczeństwem i tam można spodziewać się kłopotów”. Prace nad poprawkami są prowadzone także w bankach i firmach finansowych. Ogółem największe i duże polskie podmioty gospodarcze według informacji nieoficjalnych „powinny poradzić sobie z poprawkami”, jednak pozostaje problem firm małych i średnich, gdzie „wszystko zależny od kompetencji i zainteresowania firm i osób obsługujących zasoby sieciowe danego podmiotu”.
