Podatności PHP2Shell umożliwiają przejęcie serwera WWW bez logowania; amerykańskie CISA, NSA i FBI ostrzegają, by natychmiast zainstalować łatki lub wyłączyć serwery

WASZYNGTON

W języku programowania PHP, powszechnie stosowanym na stronach internetowych i serwerach aplikacji internetowych, wykryto dwie krytyczne luki bezpieczeństwa umożliwiające wykonywanie poleceń na serwerze bez uwierzytelnienia, co skłoniło amerykańską Agencję ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA), Agencję Bezpieczeństwa Narodowego (NSA) oraz Federalne Biuro Śledcze (FBI) do pilnego wezwania do natychmiastowego wdrożenia poprawek. W dniach od 21 do 23 października (czasu USA) te trzy agencje poinformowały o lukach oznaczonych jako CVE-2026-109618 i CVE-2026-109619 za pośrednictwem alertów, komunikatów prasowych oraz powiadomień pożytku publicznego (PSA). Wszystkie instytucje zgodnie zaleciły, aby organizacje, które nie są w stanie natychmiast dokonać aktualizacji, odłączyły podatne systemy od sieci.

CISA informuje, że luki „php2shell” umożliwiają nieuwierzytelnione zdalne wykonanie kodu

W alercie opublikowanym 21 października CISA stwierdziła, że dwie luki, określane jako „php2shell”, umożliwiają nieuwierzytelnione zdalne wykonanie kodu w PHP. Podatne są wszystkie instalacje PHP obsługujące żądania sieciowe. CISA wskazała jako przykłady Apache z modułem mod_php, PHP-FPM, php-cgi, FrankenPHP oraz LiteSpeed. CISA dodała, że kombinacja z mod_php została sklasyfikowana przez twórców PHP jako stwarzająca najwyższe ryzyko.

Załatane wersje to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. CISA oświadczyła, że organizacje powinny niezwłocznie zaktualizować swoje oprogramowanie do tych wersji. Zaznaczyła jednak, że do momentu publikacji alertu nie zaobserwowała udanych ataków w środowisku rzeczywistym wykorzystujących te luki. Tego samego dnia konto CISA ds. cyberbezpieczeństwa opublikowało na platformie X identyfikatory obu luk, informując organizacje o konieczności natychmiastowego wdrożenia poprawek.

CISA zaktualizowała ten alert 23 października, dodając reguły detekcji SIGMA służące do wykrywania podejrzanej aktywności oraz uwzględniając materiały instytucji partnerskich. Wśród materiałów partnerskich znalazły się wytyczne brytyjskiego Narodowego Centrum Cyberbezpieczeństwa, Australijskiego Centrum Cyberbezpieczeństwa podlegającego Australijskiej Dyrekcji Sygnałowej, Narodowego Centrum Cyberbezpieczeństwa Nowej Zelandii, Kanadyjskiego Centrum Cyberbezpieczeństwa oraz Narodowego Centrum Cyberbezpieczeństwa Holandii.

Tego samego dnia NSA również wydała ostrzeżenie w osobnym komunikacie prasowym.

NSA ostrzega, że podmioty cybernetyczne z dużym prawdopodobieństwem wykorzystają te luki jako broń

W komunikacie prasowym z 21 października NSA poinformowała, że twórcy PHP wydali tego dnia (w środę) łatki open source. NSA zauważyła, że PHP (skrót od „PHP: Hypertext Preprocessor”) działa na większości głównych systemów operacyjnych, wykonuje się bezpośrednio na serwerach WWW i jest osadzany w kodzie HTML w celu tworzenia dynamicznych stron internetowych. NSA stwierdziła, że ze względu na tak powszechne zastosowanie wada ta może stworzyć dogodne warunki do nadużyć. NSA nadała temu zestawowi luk nazwę „PHP2Shell” i oświadczyła, że priorytetowo traktuje identyfikację złośliwych podmiotów cybernetycznych próbujących je wykorzystać.

NSA oświadczyła, że napastnik może przejąć kontrolę nad podatnymi serwerami WWW bez uprzedniego dostępu ani uwierzytelnienia. Za pomocą tej metody może wykradać poufne dane, zakłócać działanie usług lub przemieszczać się w głąb sieci – dodała agencja. NSA podkreśliła, że luki te są wadami samego PHP, a nie hostowanych aplikacji czy konfiguracji, w związku z czym serwery działające na podatnych wersjach PHP są bezpośrednio narażone na ataki.

NSA, odpowiedzialna za bezpieczeństwo narodowe USA, stwierdziła, że „podmioty cybernetyczne z dużym prawdopodobieństwem wykorzystają luki PHP2Shell jako broń”. Z uwagi na powagę zagrożenia natychmiastowe wdrożenie poprawek jest wymagane we wszystkich departamentach i agencjach rządu federalnego USA. NSA zaleciła zachowanie czujności w nadchodzących tygodniach wobec urządzeń i usług dostępnych z poziomu Internetu, które korzystają z PHP, wzmocnienie rejestrowania zdarzeń oraz zastąpienie usług PHP, które utraciły wsparcie techniczne (EOL) i nie są kompatybilne z łatkami. Konto NSA ds. cyberbezpieczeństwa również opublikowało to ostrzeżenie na platformie X tego samego dnia.

W poście tym NSA wskazała, że luki te często zapewniają bezpośredni dostęp do systemu plików lub bazy danych serwera. Agencja zaleciła odłączenie systemów od sieci, jeśli natychmiastowa aktualizacja nie jest możliwa, i zapowiedziała rychłe wydanie szczegółowych wytycznych.

NSA poradziła uważne śledzenie aktualizacji, zaznaczając, że inni dostawcy oprogramowania mogą udostępniać poprawki w miarę ich przygotowania, oraz poinformowała, że najnowsze wskazówki dotyczące ograniczenia ryzyka można znaleźć na stronie komunikatów bezpieczeństwa twórców PHP. NSA zapowiedziała, że będzie współpracować ze społecznością wywiadowczą, CISA i innymi ekspertami, aby identyfikować i usuwać luki w systemach rządowych i związanych z bezpieczeństwem narodowym.

CISA wzywa do przeprowadzenia pełnej inwentaryzacji systemów korzystających z PHP

CISA zażądała przede wszystkim zidentyfikowania wewnątrz organizacji wszystkich systemów, na których działa PHP. Jak wskazała CISA, PHP jest często zintegrowane wewnątrz innego oprogramowania, przez co może nie być widoczne na pierwszy rzut oka. CISA wezwała do natychmiastowego załatania w pierwszej kolejności systemów wystawionych na działanie Internetu. Organizacje, które nie mogą natychmiast przeprowadzić aktualizacji lub nadal korzystają z niewspieranych wersji PHP 8.1 i starszych, muszą odłączyć systemy oparte na PHP od sieci do czasu zakończenia instalacji poprawek lub aktualizacji.

CISA zaapelowała o zapoznanie się z oficjalnym komunikatem bezpieczeństwa twórców PHP i zweryfikowanie instrukcji instalacji poprawek. CISA wskazała, że zapory sieciowe aplikacji internetowych mogą zapewnić częściową ochronę do czasu zaktualizowania systemów. Ponadto zaleciła monitorowanie podejrzanej aktywności, takiej jak uruchamianie powłoki systemowej przez procesy robocze PHP czy pobieranie narzędzi.

23 października FBI wydało powiadomienie pożytku publicznego I-102326-PSA, będące kontynuacją wpisu opublikowanego 21 października w mediach społecznościowych. FBI stwierdziło, że PHP jest powszechnie stosowanym językiem programowania napędzającym strony internetowe i aplikacje webowe, a dwie wykryte luki mogą umożliwić złośliwym podmiotom cybernetycznym zdalne wykonanie kodu w rdzeniu PHP, narażając na niebezpieczeństwo wrażliwe dane i sieci. Wydział Cybernetyczny FBI opublikował tę informację na platformie X 21 października.

FBI oświadczyło, że aktualizacje bezpieczeństwa są już dostępne i należy je wdrożyć niezwłocznie. Przy ustalaniu miejsc występowania PHP FBI zaleciło priorytetowe traktowanie systemów wystawionych na działanie Internetu oraz produktów dostawców zawierających spakowane PHP, a także monitorowanie serwerów WWW pod kątem niespodziewanego uruchamiania powłoki poleceń lub pobierania plików przez procesy PHP. FBI wskazało, że najnowsze informacje można znaleźć w komunikatach twórców PHP, biuletynie bezpieczeństwa CERT-EU Unii Europejskiej 2026-018 oraz w katalogu znanych wykorzystywanych podatności (KEV) agencji CISA. FBI zaapelowało do przedsiębiorstw i operatorów stron internetowych o sprawdzenie, czy ich systemy są podatne na atak. W przypadku wykrycia oznak naruszenia bezpieczeństwa zalecono odizolowanie dotkniętych systemów, zabezpieczenie logów serwera WWW i PHP oraz zgłoszenie incydentu do lokalnego biura FBI lub za pośrednictwem strony ic3.gov. FBI podkreśliło, że zgłoszenia te pomagają organom ścigania w identyfikacji sprawców oraz w ostrzeganiu innych organizacji, zanim poniosą one szkody.

Źródła (KST)

• CISA (USA), „Critical Vulnerabilities in PHP Require Immediate Patching” (opublikowano 21 października 2026 r., zaktualizowano 23 października): https://www.cisa.gov/news-events/alerts/2026/10/21/critical-vulnerabilities-php-require-immediate-patching
• Agencja Bezpieczeństwa Narodowego USA (NSA), „NSA Advisory: Critical Patches Recommended for PHP Vulnerabilities” (21 października 2026 r.): https://www.nsa.gov/Press-Room/Press-Releases-Statements/Press-Release-View/Article/4630238/nsa-advisory-critical-patches-recommended-for-php-vulnerabilities/
• Federalne Biuro Śledcze USA (FBI), „Critical Vulnerability Alert: PHP Core” (powiadomienie pożytku publicznego I-102326-PSA, 23 października 2026 r.): https://www.fbi.gov/investigate/cyber/alerts/2026/critical-vulnerability-alert-php-core
• Wpis konta CISA Cyber na platformie X: https://x.com/CISACyber/status/2112947079458717969
• Wpis konta NSA Cyber na platformie X: https://x.com/NSACyber/status/2112903220209098897
• Wpis Wydziału Cybernetycznego FBI na platformie X: https://x.com/FBICyberDiv/status/2112921648252719420