Luki w PHP pozwalają na zdalne wykonanie kodu bez uwierzytelnienia

Wykryte podatności otrzymały ocenę 9,2 w klasyfikacji CVSS v4.0. Problem tkwi w interpreterze PHP, dlatego zagrożone są instalacje działające na podatnych wersjach, w tym WordPress, Drupal, Magento, Joomla czy Laravel. Błąd dotyczy środowisk wykorzystujących PHP-FPM, Apache z modułem mod_php, php-cgi, FrankenPHP oraz LiteSpeed. Według komunikatu najwyższe ryzyko występuje w przypadku konfiguracji mod_php, w której nieuwierzytelnione żądanie może wywołać atak przed wykonaniem kodu aplikacji.

Badacze z firmy Wiz Research, którzy zgłosili błędy, poinformowali, że co najmniej jedna z tych kwestii dotyczy wszystkich wersji PHP począwszy od 5.4. Wykazano możliwość nieuwierzytelnionego wykonania kodu na obrazach kontenerów z systemami WordPress, Drupal i Joomla, a także na prostej aplikacji „Hello World”. Błędy pozwalają również na odczytanie pamięci procesów roboczych PHP, która może zawierać hasła, tokeny i klucze API.

Reakcja serwisów i pierwsze próby ataków

Informacje o podatnościach, nazwane terminem PHP2Shell, wyciekły 20 października przed skoordynowanym ujawnieniem poprawek. Partnerzy hostingowi zgłosili przypadki aktywnej eksploatacji, a telemetria odnotowała próby sondowania serwerów. Cloudflare wdrożyło wstępne reguły WAF, zaznaczając, że jest to rozwiązanie tymczasowe, skuteczne wtedy, gdy serwer przyjmuje ruch wyłącznie za pośrednictwem Cloudflare. Ostrzeżenia opublikowały CERT-EU oraz brytyjskie NCSC.

W ramach środków ostrożności przed publikacją łatki część organizacji wyłączyła serwisy. W Holandii w tryb offline przeszły portale DigiD i MijnOverheid, strona Izby Reprezentantów, Tweakers oraz serwis centrum cyberbezpieczeństwa NCSC. W Japonii prace serwisowe objęły między innymi platformy Kodmon, Shadowverse: Worlds Beyond oraz Sakura Rental Server. Na wyłączenie swoich serwerów zdecydowali się również twórcy The SEO Framework.

Zalecenia dla administratorów i konfiguracje tymczasowe

Pełne usunięcie problemu zapewnia aktualizacja interpretera do wydań PHP 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 bądź pakiety od dostawcy systemu. Repozytorium rpms.remirepo.net nie udostępniło pakietów w dniu publikacji łatek, w związku z czym zalecana jest zmiana źródeł na pakiety dystrybucyjne lub kompilacja ze źródeł. Wersja 8.1 oraz starsze nie otrzymują już aktualizacji od projektu PHP, chociaż przygotowano minimalne backporty dla wersji PHP 7.4, PHP 8.0 i PHP 8.1 dla osób kompilujących ze źródeł.

W sytuacji braku możliwości natychmiastowej aktualizacji PHP udostępniło wytyczne zmniejszające ekspozycję na atak:

• W przypadku luki CVE-2026-109618 należy ustawić dyrektywę memory_limit=-1 bez możliwości jej nadpisania przez aplikację, na przykład poprzez php_admin_value w puli FPM lub konfiguracji Apache. Należy również ograniczyć post_max_size do wartości 8M lub 32M oraz ustawić niższą wartość upload_max_filesize.
• W przypadku luki CVE-2026-109619 należy wprowadzić session.upload_progress.enabled=0 na poziomie pliku php.ini, puli FPM lub konfiguracji serwera i zrestartować procesy robocze. W PHP 8.5 należy ustawić fatal_error_backtraces=0 i zrestartować procesy robocze.

Oznakami prób ataku mogą być nietypowe żądania multipart, po których następują błędy limitu pamięci lub powtarzające się odpowiedzi HTTP 500, nieoczekiwanie duże lub uszkodzone pliki cookie PHPSESSID w odpowiedziach oraz niewyjaśnione restarty procesów roboczych PHP. W przypadku zaobserwowania takich symptomów należy przeprowadzić aktualizację, traktować serwer jako potencjalnie skompromitowany oraz rozważyć rotację przechowywanych danych uwierzytelniających.