PHP2Shell — krytyczne luki w PHP pozwalają przejąć serwery WWW (2026)

Czym jest to zagrożenie?

21 października 2026 roku projekt PHP wydał awaryjne aktualizacje bezpieczeństwa dla dwóch krytycznych luk w samym języku PHP, nazwanych PHP2Shell:

CVE-2026-109618 — błąd obsługi pamięci wywoływany, gdy serwerowi kończy się pamięć podczas odczytu przesłanego formularza

CVE-2026-109619 — błąd typu „use-after-free”, w którym jedno żądanie ponownie wykorzystuje resztki pamięci po poprzednim żądaniu, które uległo awarii

Obie oceniono na 9,2 na 10 (krytyczne). Razem umożliwiają zdalne wykonanie kodu bez uwierzytelniania: atakujący, który może wysłać żądanie do podatnego serwera, potencjalnie uruchomi na nim własne polecenia — bez hasła, bez konta i niezależnie od kodu samej strony.

PHP napędza dużą część internetu, w tym WordPressa, Drupala, Joomlę, Magento, aplikacje w Laravelu oraz niezliczone sklepy internetowe i portale klientów. Palo Alto Networks naliczyło ponad 22 miliony dostępnych z internetu instalacji PHP, które są potencjalnie narażone.

Oś czasu

| Data | Wydarzenie |

|---|---|

| 17 października 2026 | Honeypoty Amazona rejestrują pierwszą próbę wykorzystania luki — cztery dni przed jej ujawnieniem |

| 21 października 2026 | PHP publikuje komunikat i wydaje wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35 |

| 21 października 2026 | W ciągu godziny zaczyna się masowe skanowanie internetu; co najmniej jeden europejski rząd zapobiegawczo wyłącza swoją stronę |

| 22 października 2026 | Cloudflare informuje o milionach prób ataku |

| 23 października 2026 | PHP ostrzega przed powiązanym, mniej groźnym problemem (CVE-2026-115560) przy nietypowych konfiguracjach sesji; poprawka pojawi się w kolejnym regularnym wydaniu |

Kogo to dotyczy?

Zagrożona jest każda instalacja PHP obsługująca żądania WWW — niezależnie od tego, czy działa jako Apache mod_php (najbardziej ryzykowna konfiguracja), PHP-FPM, php-cgi, LiteSpeed czy FrankenPHP, łącznie z kontenerami Docker z własnym PHP.

| Wersja PHP | Status |

|---|---|

| 8.5 przed 8.5.12 | Podatna — zaktualizuj do 8.5.12 |

| 8.4 przed 8.4.27 | Podatna — zaktualizuj do 8.4.27 |

| 8.3 przed 8.3.36 | Podatna — zaktualizuj do 8.3.36 |

| 8.2 przed 8.2.35 | Podatna — zaktualizuj do 8.2.35 |

| 7.4, 8.0, 8.1 (koniec wsparcia) | Podatne — brak oficjalnego wydania; tylko pakiety dystrybucji lub backporty kodu źródłowego |

| 7.3 i starsze | Podatne — brak poprawki; konieczna aktualizacja |

Dystrybucje Linuksa otrzymały poprawki z wyprzedzeniem, więc zaktualizowane pakiety są dostępne przez zwykłe aktualizacje systemu. Niektórzy dostawcy wprowadzają poprawki bez zmiany numeru wersji — sprawdź komunikat bezpieczeństwa swojej dystrybucji.

Jak atakujący to wykorzystują

Skanowanie: boty przeszukują miliony stron w poszukiwaniu serwerów PHP

Spreparowane żądanie: atakujący wysyła ogromny formularz (nazwy pól o rozmiarze kilku megabajtów, czasem z ukrytymi danymi binarnymi), by doprowadzić PHP do braku pamięci lub błędu krytycznego

Przejęcie: jeśli uszkodzenie pamięci się powiedzie, serwer wykonuje polecenie atakującego

Ładunek: firmy Sophos i Arctic Wolf zaobserwowały próby instalacji wariantu botnetu Mirai; inni atakujący zwykle podrzucają web shelle, koparki kryptowalut lub kradną bazy danych

Badacze zauważają, że zbudowanie niezawodnego exploita jest trudniejsze, niż początkowo sądzono, i wiele prób kończy się niepowodzeniem — ale przy milionach prób dziennie niezałatane serwery prędzej czy później zostaną trafione.

Dlaczego to ważne — nawet jeśli nie masz serwera

Jeśli masz prywatnego bloga, stronę małej firmy lub sklep internetowy na hostingu współdzielonym, niemal na pewno działa on na PHP. Przejęte strony są wykorzystywane do:

Kradzieży danych klientów, w tym imion i nazwisk, adresów i danych płatniczych wpisywanych przy zamówieniu

Przekierowywania odwiedzających na strony phishingowe lub fałszywe alerty „wykryto wirusa”

Udostępniania złośliwego oprogramowania pod zaufaną nazwą domeny

Wysyłania spamu, który niszczy reputację domeny

Jako odwiedzający nie załatasz cudzego serwera — ale możesz zauważyć oznaki, że znana Ci strona została zmanipulowana.

Lista sygnałów ostrzegawczych

Dla właścicieli stron:

❌ Wpisy w logach o wyczerpaniu pamięci z odwołaniem do „Unknown on line 0”

❌ Nietypowo duże żądania POST, awarie procesów roboczych lub błędy segmentation fault w logach serwera WWW

❌ Procesy PHP lub serwera WWW uruchamiające powłoki (sh, bash) lub nieznane programy

❌ Nowe, nieznane pliki PHP w folderach uploadu lub pamięci podręcznej

❌ Nieoczekiwane nowe konta administratorów w CMS

Dla odwiedzających:

❌ Znana strona nagle przekierowuje Cię gdzie indziej

❌ Wyskakujące okna twierdzą, że urządzenie jest zainfekowane, lub każą „zaktualizować” przeglądarkę

❌ Strona płatności wygląda inaczej niż zwykle lub prosi o więcej danych niż zazwyczaj