PHP2Shell: krytyczne luki w PHP znalezione przez AI. Atakujący już z nich korzystają
Dwie luki w PHP pozwalają przejąć serwer bez logowania. Poprawki wyszły 21 października, a CISA potwierdza, że obie są już wykorzystywane w atakach. Sprawdź swoją wersję PHP.
Październik 2026 r. zapisze się w historii bezpieczeństwa stron internetowych. 21 października PHP Foundation wydała awaryjne poprawki dwóch krytycznych luk, nazwanych PHP2Shell. PHP napędza ok. 70% stron na świecie — od blogów na WordPressie po sklepy i systemy firmowe. Luki pozwalają atakującemu uruchomić własny kod na serwerze bez logowania (zdalne wykonanie kodu, RCE).
Wyjątkowe jest to, kto je znalazł. Według OpenAI błędy wykryli agenci AI pracujący w koalicji badaczy i firm bezpieczeństwa, która przez dwa miesiące analizowała kod PHP. OpenAI twierdzi, że sztuczna inteligencja znalazła luki, zanim zrobili to przestępcy.
Co to za luki?
- CVE-2026-109618 — błąd w obsłudze braku pamięci. Gdy PHP zostanie przerwany w trakcie przygotowywania danych żądania, sprzątanie po żądaniu może potraktować niekompletne dane jako poprawne.
- CVE-2026-109619 — „nieświeży” stan wewnętrzny. Dane jednego żądania mogą przetrwać zwolnienie pamięci i zostać użyte przez kolejne żądanie obsługiwane przez ten sam proces.
Obie luki mają ocenę 9,2 w skali CVSS 4.0. Dotyczą wszystkich sposobów uruchamiania PHP na serwerze WWW: PHP-FPM, Apache z mod_php (tu ryzyko jest największe), php-cgi, FrankenPHP i LiteSpeed. Podatne są wersje sięgające aż PHP 5.4.
Ataki trwają
Reakcja przestępców była natychmiastowa. Szef Cloudflare Matthew Prince napisał, że w ciągu kilku godzin od ogłoszenia odnotowano „miliony” prób wykorzystania luki. Amerykańska agencja CISA wpisała obie luki do katalogu podatności aktywnie wykorzystywanych w atakach (KEV).
Izraelska firma Dream Group opisała atak, w którym połączono PHP2Shell z luką w jądrze Linuksa (Fragnesia, CVE-2026-46300) i przejęto pełną kontrolę (root) nad 25 serwerami — w USA, Japonii, na Tajwanie i w Korei Południowej, w tym w środowisku powiązanym z rządem USA. Na serwerach atakującego znaleziono narzędzia AI, a styl ok. 40 skryptów sugeruje pomoc sztucznej inteligencji. Badacze podkreślają jednak, że nie ma bezpośredniego dowodu, że exploit napisała AI, a przypisanie ataku grupie powiązanej z Chinami jest na razie wstępne.
Luki dotykają też sprzętu sieciowego: Palo Alto Networks poinformował, że podatne są wszystkie wersje PAN-OS i Panoramy.
FBI zaleciło, by strony, których nie da się natychmiast załatać, wyłączyć. Podobnie brytyjskie NCSC. Część usług rządowych w Wielkiej Brytanii, Finlandii i Japonii była przez to czasowo niedostępna.
Co zrobić?
- Sprawdź wersję PHP (
php -vlub panel hostingu). - Zaktualizuj do wersji z poprawką: 8.5.12, 8.4.27, 8.3.36 lub 8.2.35. Jeśli PHP pochodzi z pakietów systemu (Debian, Ubuntu, RHEL), zainstaluj aktualizację od dystrybucji — dostawcy otrzymali poprawki wcześniej.
- Zrestartuj procesy PHP (np. PHP-FPM, Apache) — sama instalacja pakietu nie wystarczy.
- PHP 8.1 i starsze nie mają już oficjalnego wsparcia. Zespół PHP udostępnił minimalne łatki dla 7.4, 8.0 i 8.1 do samodzielnej kompilacji; dla jeszcze starszych wersji jedyną drogą jest migracja.
- Jeśli nie możesz załatać od razu: dla CVE-2026-109619 pomaga tymczasowo
session.upload_progress.enabled=0, ale to nie zamyka wszystkich wariantów ataku. Rozważ wyłączenie strony do czasu aktualizacji. - Masz stronę na hostingu współdzielonym? Zapytaj dostawcę, czy serwery są już zaktualizowane.