Krytyczne wycieki PHP: dlaczego strony internetowe są zagrożone na całym świecie
The Strategic Newb Editorial Team
Zaktualizowano:
Tłumaczenie z oryginału; zachowano liczby i źródła. Przeczytaj oryginał →
Zaktualizowano 21 października 2026 r. W tym artykule opisano sytuację według źródeł wymienionych poniżej w tym dniu.
Strona internetowa może chwilowo zniknąć, gdy administrator próbuje zapobiec cyberatakowi. Dzieje się tak teraz po odkryciu dwóch krytycznych luk w zabezpieczeniach w PHP. Z oprogramowania korzystają strony internetowe i aplikacje internetowe w różnych krajach. W rezultacie problem ma zasięg międzynarodowy.
Aktualizacje zabezpieczeń są już dostępne. Najważniejszym pytaniem dla administratorów witryn jest zatem to, czy ich dostawca usług hostingowych lub zespół techniczny faktycznie wdrożył rozwiązanie. Projekt PHP
Co się dzieje z PHP?
PHP to oprogramowanie umożliwiające serwerom wykonanie kodu strony internetowej. Odwiedzający zazwyczaj widzą tylko wynik: stronę, formularz lub sklep internetowy. Za widocznymi częściami może kryć się ta sama technologia.
Luki są zarejestrowane jako CVE-2026-109618 i CVE-2026-109619. W obu przypadkach stopień nasilenia wynosi 9,2 na 10. Według CERT-EU w pewnych okolicznościach mogą pozwolić atakującym na wykonanie kodu bez uprzedniego logowania. Nazywa się to zdalnym wykonaniem kodu. CERT-EU
To sprawia, że bezpieczeństwo serwera jest ważne, nawet jeśli sama strona internetowa jest dobrze utrzymana.
Czy problem PHP jest globalny?
Tak, ryzyko techniczne ma charakter globalny. Jest związane z używanym oprogramowaniem i konfiguracjami, a nie z granicami państw. Instalacja podatna na ataki może znajdować się w małej firmie, organizacji międzynarodowej lub na współdzielonej platformie hostingowej.
Ostrzeżenia mają także charakter międzynarodowy. CERT-EU opublikował porady dotyczące bezpieczeństwa dla organizacji. Australijskie Centrum Cyberbezpieczeństwa również opublikowało krytyczne ostrzeżenie dotyczące PHP. Podkreśla to, że nie jest to incydent wyłącznie holenderski. CERT-EUAustralijskie Centrum Bezpieczeństwa Cybernetycznego
Ryzyko globalne nie oznacza jednak, że w każdym kraju wystąpią takie same zakłócenia. Nie oznacza to jednak, że wszystkie strony internetowe korzystające z PHP zostały zhakowane. Rzeczywiste konsekwencje zależą między innymi od podatności instalacji i podjętych środków.
Dlaczego organizacje same przełączają strony internetowe w tryb offline?
Tymczasowo niedostępna strona internetowa może wynikać ze środka zapobiegawczego. CERT-EU zaleca natychmiastową aktualizację. Jeżeli nie jest to możliwe, organizacje powinny rozważyć tymczasowe odizolowanie aplikacji dostępnych z Internetu od sieci publicznych. CERT-EU
Konkretny przykład pochodzi z Holandii. Narodowe Centrum Cyberbezpieczeństwa poinformowało, że na wszelki wypadek wyłączyło swoją witrynę internetową ze względu na luki w PHP. Raport ten potwierdza zastosowanie środka ochronnego, a nie udane włamanie. NCSC Holandia
Różnica może być niewidoczna dla użytkowników: widzą komunikat o błędzie lub stronę konserwacji. Różnica jest istotna dla oceny zdarzenia.
Czy napastnicy są już aktywni?
CERT-EU informuje, że szczegóły techniczne są przedmiotem publicznej dyskusji i krążą pierwsze oznaki nadużyć. Zwiększa to szansę na faktyczną eksploatację. Potwierdza to pilność problemu, ale nie podaje łącznej liczby stron internetowych, na które zaatakowano hakerów. CERT-EU
Należy zatem rozdzielić trzy sytuacje:
| Sytuacja | Znaczenie |
|---|---|
| Wrażliwe | System zawiera lukę w zabezpieczeniach. |
| Offline jako środek ostrożności | Administrator tymczasowo ogranicza dostępność. |
| Potwierdzono, że doszło do naruszenia | Dochodzenie wykazało nieautoryzowany dostęp lub niewłaściwe użycie. |
Sam komunikat o błędzie nie stanowi dowodu kradzieży danych.
Które aktualizacje PHP rozwiązują problem?
Projekt PHP opublikował te aktualizacje zabezpieczeń 21 października 2026 r.: Projekt PHP
| Seria PHP | Wydanie z poprawkami bezpieczeństwa |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Dostawcy systemów operacyjnych mogą również włączać rozwiązania do własnych pakietów. Dlatego pozwól dostawcy lub administratorowi potwierdzić, która paczka jest bezpieczna. PHP 8.1 i starsze wersje nie otrzymują już regularnych aktualizacji z projektu PHP; wsparcie ze strony innych dostawców może się różnić. Projekt PHP
Co to oznacza dla stron WordPress?
WordPress używa PHP. Sama aktualizacja WordPressa, motywu lub wtyczki nie zastępuje instalacji PHP na serwerze. Dlatego Wordfence podkreśla, że właściciele powinni określić, kto jest odpowiedzialny za aktualizację PHP: dostawca usług hostingowych czy własny zespół techniczny. Wordfence
Poproś tę stronę o konkretne potwierdzenie zainstalowanego rozwiązania zabezpieczającego. W przypadku przerwy zapytaj także, kiedy będzie można wznowić usługę w sposób kontrolowany.
Często zadawane pytania dotyczące wycieków PHP
Czy cały internet nie działa?
Źródła, z których korzystano, nie potwierdzają tego twierdzenia. Istnieje szerokie ryzyko techniczne, a jego konsekwencje różnią się w zależności od usługi.
Czy witryna offline została zhakowana?
Nie wynika to z niedostępności. Administrator może celowo tymczasowo wyłączyć stronę internetową.
Czy aktualizacja WordPressa wystarczy?
Instalacja PHP musi zostać osobno zaktualizowana przez stronę zarządzającą serwerem. Wordfence
Czy tymczasowe środki ochronne wystarczą?
Według projektu PHP tylko aktualizacja zapewnia pełną naprawę tych luk. Środki tymczasowe mogą zmniejszyć narażenie na określone drogi ataku. Projekt PHP
Źródła
Projekt PHP — oficjalne uwagi i komunikaty dotyczące bezpieczeństwa z 21 października 2026 r.
CERT-EU – Critical Vulnerabilities in PHP, Opinia 2026-018
Wordfence — PSA: nadchodzące krytyczne wydanie zabezpieczeń PHP
Czytaj dalej
Incydenty cybernetyczne w supermarketach: zagrożenia cyfrowe w świecie fizycznym