• admin@kibc
• 21 października 2026
• Brak komentarzy

Zespół CERT Europa działający administracyjnie w strukturach Dyrekcji Generalnej ds. Usług Cyfrowych Komisji Europejskiej poinformował 20 października o planowanym wydaniu specjalnej aktualizacji, która ma usunąć dwie krytyczne podatności w języku PHP. Według dostępnych informacji, w tym nieoficjalnych przecieków, luki te umożliwiają zdalne wykonanie kodu.

Na ten moment nie opublikowano żadnych szczegółów technicznych. Autorzy komunikatu zalecają jak najszybsze przygotowanie się do wdrożenia poprawek. Jeśli natychmiastowa aktualizacja nie jest możliwa, warto rozważyć czasowe odizolowanie aplikacji PHP od sieci publicznej. Jak informuje europejski zespół CERT, poprawki będą wydane dzisiaj, 21 października o godz. 16.00 czasu polskiego. Zespół PHP zastrzegł sobie prawo do wcześniejszego udostępnienia aktualizacji, jeśli szczegóły luk pojawią się publicznie lub pojawią się sygnały o aktywnej eksploatacji.

Techniczne aspekty luk

O co ta panika? Identyfikatory CVE-2026-109618 i CVE-2026-109619 otrzymały ocenę CVSS 9,2, co wskazuje na możliwość zdalnego wykonania kodu bez konieczności uwierzytelnienia. Skalę potencjalnego zagrożenia potęguje fakt, że luki mogą dotyczyć wszystkich wersji PHP począwszy od PHP 5. Oficjalne poprawki są spodziewane wyłącznie dla wspieranych gałęzi (PHP 8.2 i nowsze). UWAGA! Starsze, już niewspierane wersje (w tym PHP 8.1 i wcześniejsze) nie otrzymają oficjalnych aktualizacji.
Poza tą informacją nie ujawniono jeszcze żadnych danych o charakterze technicznym (m.in. dokładnego mechanizmu błędu czy warunków eksploatacji).

Zalecenia CERT Europa

Aby skutecznie zabezpieczyć infrastrukturę, należy zacząć od pełnej inwentaryzacji wszystkich aplikacji i systemów opartych na PHP, ze szczególnym uwzględnieniem popularnych CMS-ów oraz frameworków, takich jak WordPress, Drupal, Joomla, Magento czy Laravel.

Równolegle trzeba opracować sprawny plan awaryjnego wdrażania poprawek, uwzględniający harmonogram okien serwisowych oraz stałe wykonywanie kopii zapasowych plików i baz danych, przy jednoczesnym bieżącym monitorowaniu serwisu php.net pod kątem nowych wydań.

Jeśli natychmiastowe załatanie podatności nie będzie możliwe, konieczne jest prewencyjne ograniczenie dostępu do aplikacji z poziomu sieci publicznej – na przykład poprzez VPN, reguły IP whitelisting lub tymczasowe odłączenie od internetu.

W dłuższej perspektywie kluczowe pozostaje sukcesywne i jak najszybsze migrowanie wszelkich środowisk działających na wycofanych, niewspieranych wersjach PHP do najnowszych, bezpiecznych wydań.
źródła:
https://www.php.net/archive/2026.php#2026-10-20-1
https://cyberplace.social/@GossiTheDog/117474220875882526
https://x.com/watchtowrcyber/status/2112611507749982605
https://cert.europa.eu/publications/security-advisories/2026-018/