W języku PHP, na którym według szacunków opiera się do 70 procent stron internetowych, ujawniono dwie poważne luki bezpieczeństwa oznaczone jako CVE-2026-109618 oraz CVE-2026-109619. Oprogramowanie to stanowi fundament platform takich jak WordPress, Drupal czy Wikipedia. W oficjalnym komunikacie deweloperzy PHP przypisali wykrytym błędom ocenę ryzyka na poziomie 9,2 w dziesięciostopniowej skali.
Podatności obecne w kodzie od dwóch dekad
Według ustaleń firmy watchTowr luki umożliwiają zdalne wykonanie kodu (RCE) na serwerach obsługujących wersje PHP od gałęzi 5 wzwyż. Atakujący mogą wykorzystać tę podatność do przejęcia kontroli nad serwerem, kradzieży danych lub modyfikacji zawartości witryn. Choć sam błąd tkwił w kodzie przez około 20 lat, firma Wiz wskazała, że ręczne przygotowanie działającego łańcucha ataku znajdowało się na granicy ludzkich możliwości technicznych.
Badacz z firmy Calif zidentyfikował podatność przy użyciu modelu sztucznej inteligencji GPT-5.6 Sol firmy OpenAI, zanim zrobili to cyberprzestępcy. Ami Luttwak ze współpracującego przy analizie zespołu Wiz określił znalezisko jako najpoważniejszą lukę powiązaną z badaniami AI w dotychczasowej historii.
Próby ataków PHP2Shell i obciążenie sieci
Dyrektor do spraw bezpieczeństwa informacji w firmie Amazon, CJ Moses, poinformował, że należący do firmy zespół Amazon Threat Intelligence odnotował próby wykorzystania luki pod nazwą PHP2Shell już 17 października za pośrednictwem systemów pułapkowych. Dyrektor generalny Cloudflare, Matthew Prince, przekazał, że firma zarejestrowała tysiące prób ataku na dziesięć godzin przed oficjalną publikacją informacji o błędzie. W ciągu dwóch godzin po ujawnieniu liczba ta wzrosła do setek tysięcy, a kolejnej nocy sięgnęła milionów zapytań.
Dyrektor wykonawcza PHP Foundation, Elizabeth Barron, przekazała, że według wiedzy organizacji nie odnotowano udanego zdalnego wykonania kodu na zabezpieczonych systemach, jednak pilne wdrożenie łatki pozostaje koniecznością.
Tymczasowe wyłączenia witryn i trwałe skutki dla starszych projektów
Część organizacji zdecydowała się na prewencyjne odłączenie serwerów od sieci. Zabezpieczenia wymusiły przerwy w działaniu serwisów DeviantArt, 4chan, Pokémon Home oraz Pokémon Champions. Prace serwisowe dotknęły również agencje rządowe w Holandii i Finlandii. Zespół Internet Archive tymczasowo wyłączył infrastrukturę biblioteki cyfrowej, by wdrożyć poprawki, o czym poinformował jej założyciel Brewster Kahle.
Amerykańska agencja NSA Cybersecurity oraz brytyjskie National Cyber Security Center wydały zalecenia, aby odciąć systemy od internetu w sytuacji, gdy natychmiastowa instalacja aktualizacji nie jest możliwa. OpenAI udostępniło narzędzie ułatwiające deweloperom weryfikację posiadanej wersji środowiska.
Wykrycie podatności przyniosło też nieodwracalne skutki dla nieutrzymywanych technologii. Japońskie gry mobilne World Quest oraz Save My Demonic World, działające od ponad dekady, zostały trwale zamknięte. Twórcy poinformowali, że starsza architektura techniczna uniemożliwia przygotowanie odpowiedniej poprawki bezpieczeństwa.
