PHP2Shell: krytyczne luki w PHP już atakowane – zaktualizuj serwer

Dwie krytyczne luki w PHP, nazwane wspólnie PHP2Shell, są już skutecznie wykorzystywane w atakach. 26 października 2026 r. BleepingComputer opisał pierwsze potwierdzone przejęcie serwera: honeypot zarejestrował zdalne wykonanie kodu na Apache z mod_php i PHP 8.4.26. Poprawki są dostępne od 21 października – jeśli Twoja strona, sklep czy WordPress działa na PHP, aktualizacja nie powinna czekać.

Na czym polegają luki

Chodzi o CVE-2026-109618 i CVE-2026-109619, obie z oceną CVSS 9.2. Pierwsza dotyczy obsługi braku pamięci: gdy żądanie przekroczy memory_limit w niefortunnym momencie, PHP może zostawić częściowo zainicjowane dane i potem potraktować je jako poprawne. Druga to „nieświeży” stan globalny – dane z poprzedniego żądania mogą przetrwać i zostać użyte przez kolejne żądanie obsługiwane przez ten sam proces.

Efekt w obu przypadkach jest ten sam: atakujący bez logowania może uruchomić własny kod na serwerze. Według zespołu PHP zagrożone są wszystkie instalacje obsługujące ruch WWW – PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Najwyższe ryzyko dotyczy mod_php, gdzie atak może zadziałać, zanim wykona się jakikolwiek kod aplikacji.

Co trzeba zrobić

Zaktualizuj PHP do wersji 8.5.12, 8.4.27, 8.3.36 lub 8.2.35. Zespół PHP podkreśla, że nie ma pełnych obejść – aktualizacja to jedyne bezpieczne wyjście. Na serwerach z Linuksem sprawdź pakiety od dostawcy dystrybucji, bo dostali poprawki wcześniej. Wersje 8.1 i starsze nie są już wspierane przez projekt PHP – trzeba przejść na nowszą lub skorzystać z łatek od dostawcy LTS.

Masz hosting współdzielony? Sprawdź w panelu, jaką wersję PHP masz ustawioną, i zapytaj dostawcę, czy wgrał już poprawki. Warto też przejrzeć logi pod kątem nietypowych procesów uruchamianych przez PHP.

Kolejna luka w kolejce

23 października zespół PHP ujawnił jeszcze jedną podatność RCE – CVE-2026-115560. Na razie nie ma dla niej poprawki, ale dotyczy tylko nietypowego połączenia konfiguracji i kodu aplikacji. Zalecane obejście to ustawienie session.upload_progress.enabled=0 w konfiguracji PHP.

PHP napędza około 70% stron w internecie, więc skala jest ogromna. Dla właścicieli małych firm, sklepów i blogów wniosek jest prosty: dziś sprawdź wersję PHP, a jeśli jest starsza niż wymienione wyżej – zaktualizuj albo poproś o to hosting.

Źródło: PHP.net – security advisory z 21.10.2026, BleepingComputer

Artykuł zredagowany przy pomocy AI.