PHP2Shell: krytyczne luki w PHP wymuszają awaryjne aktualizacje
Amerykańska agencja CISA zaleca odłączenie od sieci serwerów PHP, których nie można od razu załatać. Pierwsza próba ataku miała nastąpić już cztery dni przed ujawnieniem luk.
Autor: Marcel
Tłumaczenie automatyczne z języka niemieckiego · może zawierać błędy · Przeczytaj oryginał
Z powodu dwóch krytycznych luk w zabezpieczeniach języka skryptowego PHP zespół PHP opublikował w środę, 21 października, awaryjne aktualizacje. Amerykańska agencja ds. cyberbezpieczeństwa CISA wezwała administratorów do natychmiastowej aktualizacji systemów lub odłączenia ich od sieci.
Luki określane jako PHP2Shell, CVE-2026-109618 i CVE-2026-109619, umożliwiają według CISA zdalne wykonanie kodu bez uwierzytelnienia. Atakujący mogą więc uruchomić własny kod na serwerze bez logowania. Podatności mają wynik CVSS 9,2 w skali sięgającej 10.
Luki załatano w wersjach PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Kto korzysta z PHP 8.1 lub starszego albo nie może od razu zaktualizować systemu, powinien według zaleceń CISA odłączyć go od sieci. Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) wydaje takie samo zalecenie dla systemów, których nie da się natychmiast załatać.
Próba ataku przed ujawnieniem luk
Według Amazon Threat Intelligence, działu bezpieczeństwa amerykańskiego koncernu, już w sobotę, 17 października, doszło do próby wykorzystania luk – cztery dni przed ich ujawnieniem.
Producent sprzętu sieciowego Cisco poinformował w komunikacie dotyczącym bezpieczeństwa własnych produktów, że jego zespół ds. bezpieczeństwa nie zna żadnych złośliwych prób wykorzystania luk. Obejść tymczasowych nie ma.
Według gazety New York Times administratorzy zapobiegawczo wyłączyli wiele stron internetowych. Niezałatany serwer miał dać się całkowicie przejąć.
Około 69 proc. stron internetowych korzysta z PHP
Skalę problemu wyznacza popularność języka. Według danych serwisu analitycznego W3Techs z 22 października PHP działa na 69,3 proc. wszystkich stron, dla których można rozpoznać język po stronie serwera. Sam system zarządzania treścią WordPress, oparty na PHP, odpowiada według tych danych za około 40 proc. wszystkich stron na świecie.
PHP działa na serwerze i generuje tam HTML lub inne dane wyjściowe, które trafiają do przeglądarki. Sam kod źródłowy pozostaje na serwerze. Do dużych użytkowników należą Wikipedia ze swoim oprogramowaniem MediaWiki, systemy Drupal, Joomla i Magento oraz platforma handlowa Etsy.
Język powstał z prywatnego narzędzia. Duńsko-kanadyjski programista Rasmus Lerdorf napisał w latach 1994/1995 skrypty, by zliczać odwiedziny na swojej stronie domowej i obsługiwać formularze. W czerwcu 1995 roku opublikował kod jako „Personal Home Page Tools”. Dziś PHP oznacza „PHP: Hypertext Preprocessor”.
PHP nigdy nie był planowany jako pełnoprawny język programowania. Lerdorf powiedział później, że po prostu zawsze dodawał kolejny praktyczny krok. Ponieważ PHP był łatwy do nauki i działał na tanim hostingu, język stał się standardem dla dynamicznych stron internetowych.
Wiele stron działa na starych wersjach PHP
Według W3Techs około 65 proc. stron opartych na PHP korzysta z wersji 8, 27 proc. nadal z PHP 7, a niecałe 8 proc. z PHP 5. Przestarzałe instalacje z PHP 7 i starszym pozostają zagrożeniem dla bezpieczeństwa.
Według PHP Foundation aktywnie rozwijane są obecnie PHP 8.5 i 8.4, a PHP 8.3 i 8.2 otrzymują już tylko aktualizacje bezpieczeństwa. Starsze wersje nie dostają już oficjalnych aktualizacji. Wsparcie dla PHP 8.2 kończy się z końcem 2026 roku, dla PHP 8.5 z końcem 2029 roku. Kolejna wersja, PHP 8.6, planowana jest na listopad.