21 października 2026 roku opublikowano informacje o dwóch krytycznych lukach w środowisku uruchomieniowym PHP, znanych jako PHP2Shell. Oznaczone jako CVE-2026-109618 oraz CVE-2026-109619, otrzymały wskaźnik zagrożenia 9,2 w standardzie CVSS 4.0. Problem dotyczy nieprawidłowego zarządzania pamięcią podczas przetwarzania przychodzących żądań. Luki umożliwiają nieautoryzowanym napastnikom zdalne wykonanie złośliwego kodu (RCE) na serwerze, co stwarza ryzyko przejęcia kontroli nad witrynami internetowymi i zgromadzonymi danymi.
Charakterystyka podatności PHP2Shell
Zapewnienie bezpieczeństwa w przypadku luk PHP2Shell różni się od standardowych procedur naprawczych w systemie WordPress. Ponieważ błąd znajduje się bezpośrednio w interpreterze PHP, żadna aktualizacja wtyczki, motywu ani samego rdzenia WordPressa nie eliminowała zagrożenia. Jedynym skutecznym rozwiązaniem była instalacja poprawionego pakietu PHP na poziomie systemu operacyjnego serwera.
Ze względu na powszechność wykorzystania języka PHP w systemach zarządzania treścią, podatność PHP2Shell stwarzała bezpośrednie zagrożenie dla wielu serwisów internetowych. Brak wymogu posiadania uprawnień lub konta w serwisie sprawiał, że automatyczne skrypty mogły potencjalnie przejmować podatne serwery.
Deweloperzy PHP udostępnili oficjalne poprawki 21 października dla wersji PHP 8.2, 8.3, 8.4 oraz 8.5. Dla starszych wydań, które nie posiadają oficjalnego wsparcia społeczności, niezbędne było zastosowanie poprawek przygotowanych przez podmioty trzecie, takie jak dostawca pakietów Freexian.
Środki zapobiegawcze i wdrożenie poprawek przez Kinsta
Zabezpieczenie stron na platformie Kinsta odbyło się w sposób automatyczny na poziomie całej infrastruktury, bez konieczności ingerencji ze strony użytkowników. Działania obejmowały następujące etapy:
- Włączenie uaktualnionych reguł zapory zapobiegawczej Cloudflare WAF na brzegu sieci, co zatrzymywało próby eksploatacji przed dotarciem do serwerów.
- Wprowadzenie dodatkowych modyfikacji w konfiguracji środowiska PHP na serwerach w celu ograniczenia przestrzeni ataku.
- Instalacja załatanych wersji PHP w zakresie od PHP 7.4 do PHP 8.5 na wszystkich środowiskach produkcyjnych, testowych oraz uśpionych.
- Analityka i wymiana danych o wzorcach ataków z partnerem Patchstack oraz przeprowadzenie audytów serwerów.
Incydent został oficjalnie uznany za rozwiązany 22 października 2026 roku o godzinie 08:26 UTC. Weryfikacja środowisk nie wykazała żadnych śladów naruszenia bezpieczeństwa witryn. Klienci platformy nie muszą ręcznie zmieniać wersji PHP ani restartować środowisk. Standardowe czynności konserwacyjne, obejmujące aktualizację wtyczek i motywów, pozostają jednak konieczne w celu ochrony przed innymi zagrożeniami.
