Alarm bezpieczeństwa PHP: dwie krytyczne luki zagrażają stronom internetowym i serwerom. Pilne aktualizacje

W dniu 21 października 2026 r. opublikowano istotne ostrzeżenie dotyczące bezpieczeństwa IT, które dotyczy PHP – jednego z najczęściej używanych na świecie języków programowania do tworzenia stron internetowych i aplikacji online.

Luki, oznaczone jako CVE-2026-109618 i CVE-2026-109619, zostały sklasyfikowane jako krytyczne i mogą umożliwiać zdalne wykonanie kodu (Remote Code Execution, RCE) bez konieczności uwierzytelniania.

W praktyce osoba o złych zamiarach mogłaby wykorzystać te luki do przejęcia kontroli nad podatnym serwerem, wykonywania nieautoryzowanych poleceń, uzyskania dostępu do poufnych informacji lub zainstalowania szkodliwego oprogramowania.

Powaga sytuacji sprawiła, że ostrzeżenia opublikowały ważne krajowe i międzynarodowe organizacje zajmujące się cyberbezpieczeństwem, w tym brytyjskie National Cyber Security Centre (NCSC) oraz włoski CERT-AGID.

Jakie strony internetowe i aplikacje są zagrożone?

Luki dotyczą bezpośrednio PHP, a nie konkretnego systemu CMS ani produktu programowego.

W związku z tym zagrożone mogą być strony internetowe i aplikacje oparte na:

• WordPress i WooCommerce, wykorzystywanych w witrynach firmowych, portalach i sklepach internetowych.

• PrestaShop, jednej z najpopularniejszych platform e-commerce.

• Joomla i Drupal, stosowanych do zarządzania treścią i portalami.

• XenForo, oprogramowaniu przeznaczonym do tworzenia forów i społeczności internetowych.

• Laravel i niestandardowych aplikacjach PHP, wykorzystywanych w systemach zarządzania, platformach firmowych i usługach online.

Problem może dotyczyć również infrastruktur korzystających z Apache, Nginx z PHP-FPM, LiteSpeed oraz innych konfiguracji uruchamiania PHP.

Uwaga: aktualizacja WordPressa, PrestaShop lub innego systemu CMS nie wystarczy. Luka dotyczy silnika PHP zainstalowanego na serwerze, który należy zaktualizować lub załatać bezpośrednio.

Które wersje PHP należy zaktualizować?

Oficjalny zespół PHP opublikował 21 października 2026 r. cztery nowe wersje, które usuwają te luki:

Szczególnej uwagi wymagają także instalacje korzystające z PHP 8.1 lub starszych wersji, ponieważ są to gałęzie, które nie są już oficjalnie wspierane.

Niektóre dystrybucje Linuksa oraz niektórzy dostawcy usług mogą udostępniać poprawki bezpieczeństwa w dedykowanych pakietach, niekoniecznie zmieniając numer głównej wersji. Dlatego ważne jest sprawdzenie, czy poprawki zostały faktycznie zastosowane, zamiast poprzestawać na kontroli numeru wersji wyświetlanego w panelu hostingowym.

Ryzyko nie jest tylko teoretyczne: dostępne są narzędzia do wykorzystania luk

Sytuacja jest szczególnie niebezpieczna, ponieważ narzędzia demonstracyjne i techniki wykorzystania tych luk zostały już upublicznione.

Organy zajmujące się cyberbezpieczeństwem zwróciły uwagę na ryzyko ataków na systemy dostępne z internetu oraz, w niektórych przypadkach, na doniesienia o trwających już próbach wykorzystania luk.

Istnienie publicznych exploitów zwiększa prawdopodobieństwo, że nawet atakujący o ograniczonych umiejętnościach technicznych spróbują przejąć kontrolę nad niezaktualizowanymi systemami.

Podatny serwer mógłby zostać wykorzystany do kradzieży danych, przejęcia hostowanych stron, modyfikacji treści, instalacji backdoorów lub wykonywania dalszych szkodliwych działań, w zależności od konfiguracji i dostępnych uprawnień.

Co powinny natychmiast zrobić firmy i administratorzy stron internetowych?

Priorytetem jest sprawdzenie używanej wersji PHP i upewnienie się, że zainstalowano poprawki bezpieczeństwa.

Zaleca się również:

1. Sprawdzenie wszystkich stron internetowych i usług PHP, w tym hostowanych na serwerach dedykowanych, VPS i hostingu współdzielonym.

2. Zastosowanie aktualizacji bezpieczeństwa po uprzednim sprawdzeniu zgodności aplikacji.

3. Kontrolę logów systemowych i dostępów w celu wykrycia podejrzanej aktywności.

4. Weryfikację integralności plików, aplikacji i konfiguracji w celu wykluczenia nieautoryzowanych zmian.

5. Kontrolę bezpieczeństwa danych i kopii zapasowych, zwłaszcza gdy zawierają informacje osobowe, handlowe lub poufne.

Należy podkreślić, że zainstalowanie aktualizacji nie gwarantuje, że wcześniej podatny serwer nie został już przejęty.

Gdy istnieją przesłanki wskazujące na atak, należy przeprowadzić także analizę bezpieczeństwa mającą na celu wykrycie ewentualnych nieuprawnionych dostępów, zmian w plikach i mechanizmów utrzymania dostępu.

Leonardo Network: pomoc w pilnych aktualizacjach i weryfikacjach bezpieczeństwa

Leonardo Network S.r.l. udostępnia swoje kompetencje w zakresie tworzenia oprogramowania, administrowania serwerami i cyberbezpieczeństwa, aby wspierać firmy i profesjonalistów w opanowaniu tej sytuacji kryzysowej.

Możemy zająć się stronami internetowymi, sklepami internetowymi, aplikacjami niestandardowymi i infrastrukturą serwerową, wykonując:

• Weryfikację podatności i zainstalowanych wersji PHP.

• Aktualizację i wdrożenie poprawek bezpieczeństwa wraz z kontrolą zgodności.

• Analizę serwerów i aplikacji potencjalnie przejętych poprzez kontrole techniczne i analizę dostępnych logów.

• Wyszukiwanie malware, backdoorów i nieautoryzowanych zmian.

• Oczyszczanie i przywracanie przejętych systemów w zależności od stwierdzonego stanu.

• Zabezpieczanie i wzmacnianie infrastruktury w celu ograniczenia ryzyka kolejnych ataków.

Masz stronę internetową lub serwer PHP? Skontaktuj się z nami jak najszybciej.

Jeśli nie wiesz, jakiej wersji PHP używa Twoja strona, nie możesz zastosować aktualizacji lub podejrzewasz, że Twój serwer został już naruszony, skontaktuj się z Leonardo Network, aby zamówić weryfikację techniczną i interwencję w zakresie bezpieczeństwa.

Nie czekaj, aż problem z bezpieczeństwem przerodzi się w przerwę w działaniu usług, utratę danych lub przejęcie infrastruktury firmowej.

Skontaktuj się z Leonardo Network

Oficjalne źródła

• PHP – Komunikat o bezpieczeństwie i aktualizacje z 21 października 2026 r.

• NCSC UK – Critical security issue affecting PHP

• CERT-AGID – Due vulnerabilità critiche in PHP

• CERT-EU – Critical Vulnerabilities in PHP