W październiku 2026 roku świat usłyszał o dwóch krytycznych podatnościach w samym PHP. Rządowe i firmowe strony na całym świecie na chwilę przestały działać, a NSA i europejska agencja cyberbezpieczeństwa ostrzegały firmy przed atakiem. Podatności nazwano PHP2Shell. Najciekawsze jest jednak to, kto je znalazł.
Co dokładnie wykryto
Chodzi o dwie luki oznaczone jako CVE-2026-109618 i CVE-2026-109619. Obie dotyczą bezpieczeństwa pamięci w silniku PHP i obie pozwalają na zdalne wykonanie kodu bez logowania. Zespół PHP ocenił każdą na 9,2 w skali CVSS 4.0, czyli krytycznie.
- CVE-2026-109618: gdy PHP zabraknie pamięci w nieodpowiednim momencie, dane żądania zostają tylko częściowo przygotowane, a mechanizm czyszczenia traktuje je jak poprawne.
- CVE-2026-109619: stan wewnętrzny jednego żądania może przetrwać po zwolnieniu pamięci i zostać użyty przez kolejne żądanie obsługiwane przez ten sam proces.
Zagrożone są wszystkie instalacje PHP obsługujące żądania z internetu: PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Dotyczy to wersji od 5.4 do 8.5, czyli praktycznie każdego PHP z ostatniej dekady. Badacze Wiz pokazali działający atak na WordPressa i Drupala.
Kto to znalazł: AI
Pierwszy fragment problemu znalazł 1 sierpnia badacz z firmy Calif, korzystając z modelu GPT-5.6 Sol w ramach inicjatywy OpenAI „Patch the Planet”. Niezależnie, w sierpniu, te same podatności wykryli badacze z Wiz, używając m.in. modeli Gemini i GPT. Obie grupy zgłosiły problem zespołowi PHP, razem z PHP Foundation przygotowano poprawkę i skoordynowano publikację.
Błąd był w PHP od około 14 lat. Setki tysięcy programistów, audyty i narzędzia statyczne go nie wychwyciły. Nie wiemy, czy bez AI ktoś by go w końcu znalazł. Wiemy, że przez ponad dekadę tak się nie stało, a modele znalazły go w kilka tygodni. Bardzo możliwe, że bez nich luki tkwiłyby w PHP dalej.
To jednak miecz obosieczny. Skoro dwa zespoły niezależnie trafiły na to samo w tym samym miesiącu, równie dobrze mogli trafić na to ci, którzy dziury wykorzystują. PHP Foundation już ostrzega, że AI będzie takie słabości znajdować coraz łatwiej.
Jaka jest poprawka
Poprawki trafiły do wersji 8.5.12, 8.4.27, 8.3.36 i 8.2.35 (wydanie z 21 października 2026). Zespół PHP podkreśla, że pełnym rozwiązaniem jest wyłącznie aktualizacja. Tymczasowe obejścia, takie jak wyłączenie session.upload_progress.enabled czy ograniczenia post_max_size, zmniejszają ryzyko, ale nie czynią instalacji bezpieczną.
Po premierze doszły dwie drobne informacje. 23 października PHP zalecił wyłączenie session.upload_progress.enabled=0 do czasu kolejnego wydania, jako ochronę przed mało prawdopodobnym wektorem ataku (pełny opis CVE-2026-115560 ma się pojawić z następnym wydaniem). 26 października pojawiły się też poprawione buildy dla Windowsa z naprawą luki w bibliotece Brotli.
Jeśli Twoja strona działa na PHP 8.1 lub starszym, projekt PHP nie wydaje już dla niego aktualizacji. Dla 7.4, 8.0 i 8.1 przygotowano jedynie minimalne backporty dla osób budujących PHP ze źródeł. Wersja 8.2 przestaje być wspierana 31 grudnia 2026.
Co zrobić teraz
- Sprawdź wersję PHP. Znajdziesz ją w panelu hostingu albo zapytaj dostawcę.
- Zaktualizuj do wspieranej, załatanej wersji lub poproś o to hosting. Na współdzielonym hostingu aktualizację robi dostawca, więc zapytaj, czy już ją wdrożył.
- Zaktualizuj też CMS i wtyczki. To najczęstszy cel ataków na WordPressa i Drupala.
- Zaplanuj odejście od starych wersji. PHP 8.1 i starsze dziś nie mają wsparcia projektu.
- Miej kopię zapasową i monitoring. Gdy coś pójdzie nie tak, liczy się szybki powrót do działającej wersji.
Wniosek
To nie jest historia o strachu przed AI. To historia o tym, że ktoś przeczesał kod tak dokładnie, jak człowiek nie miał szans, i znalazł dziurę sprzed 14 lat. Skoro narzędzia są już dostępne, strony trzeba aktualizować szybciej niż kiedyś, bo okno między wykryciem luki a atakiem się skraca.
System SeoWisely oraz projekty niestandardowe korzystają z najnowszych technologii, takich jak PHP 8.5.12, w którym naprawiono obie luki PHP2Shell. Są na bieżąco sprawdzane i aktualizowane, więc strony oparte na moim systemie pracują na załatanym środowisku.
Jeśli nie masz czasu pilnować wersji PHP, aktualizacji i bezpieczeństwa swojej strony, mogę zająć się tym za Ciebie w ramach opieki nad stroną: comiesięczny audyt bezpieczeństwa, aktualizacje techniczne i monitoring dostępności. Szczegóły na seowisely.pl.
Źródła: komunikaty bezpieczeństwa PHP z 20–26 października 2026 (php.net), analiza Wiz Research (PHP2Shell), doniesienia Fortune, CNBC, Al Jazeera i ABC7.
