AnswersPublished23 sources
PHP2Shell: jak dwie luki w PHP wywołały październikowy alarm bezpieczeństwa
Dwie luki PHP2Shell mogły pozwolić na zdalne wykonanie kodu bez uwierzytelnienia. Po przedwczesnym ujawnieniu informacji 20 października poprawki opublikowano 21 października, zamiast czekać do planowanego terminu 22 października.
Opublikowane przezEdytowane za pomocą GPT-6 LunaObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- Dwie luki PHP2Shell mogły pozwolić na zdalne wykonanie kodu bez uwierzytelnienia.
- Po przedwczesnym ujawnieniu informacji 20 października poprawki opublikowano 21 października, zamiast czekać do planowanego terminu 22 października.
- Amazon zgłosił próbę ataku z 17 października, ale dostępne źródła nie potwierdzają, że doszło do szerokiej fali skutecznych włamań.
- PHP udostępniło poprawki dla wersji 8.2–8.5. Administratorzy powinni sprawdzić wszystkie serwery obsługujące żądania WWW i zaktualizować je do odpowiedniego wydania.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What happened during the October 2026 PHP2Shell security crisis, including the AI assisted discovery of CVE 2026 109618 and CVE 2026 109619. Article summary: PHP2Shell prompted emergency PHP security releases on October 21, 2026, after early disclosure disrupted the planned October 22 release; the two flaws could allow unauthenticated remote code execution.. Topic tags: general web, openai, prompt engineering, ai, code. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numb
PHP2Shell to nazwa dwóch poważnych luk w samym środowisku uruchomieniowym PHP: CVE-2026-109618 i CVE-2026-109619. Mogły one umożliwić napastnikowi uruchomienie kodu na serwerze bez logowania. Obie oceniono na 9,2 w skali CVSS v4.0. 9
10
Informacje o podatnościach przedostały się do opinii publicznej 20 października 2026 r. Poprawki, pierwotnie zaplanowane na 22 października, opublikowano dzień wcześniej. Dla administratorów oznaczało to mniej czasu na przygotowanie aktualizacji i sprawdzenie, gdzie działa podatna wersja PHP. 4
6
7
Jak odkryto luki i na czym polegało ryzyko
Badacze z firmy Calif wykryli problem w sierpniu w ramach inicjatywy OpenAI „Patch the Planet”. Według relacji, które wymieniają użyte narzędzia AI, Calif korzystało z GPT-5.6 Sol, a zespół Wiz niezależnie badał podatności z pomocą Wiz Atlas, Gemini 4 Argon i GPT-5.6 Sol. AI wspierała pracę badawczą, ale dostępne źródła nie pozwalają zmierzyć, czy w tym przypadku przyniosła większe korzyści obrońcom, czy potencjalnym napastnikom. 6
18
21
Luki tkwiły w PHP, a nie w konkretnym dodatku, motywie czy systemie zarządzania treścią. CVE-2026-109618 wiąże się z uszkodzeniem pamięci w sytuacji wyczerpania limitu pamięci. CVE-2026-109619 dotyczy pozostawania nieaktualnego stanu globalnego. W określonych warunkach problemy te mogły doprowadzić do zdalnego wykonania kodu. 7
15
Podatność obejmowała PHP od wersji 5.4, a więc również starsze instalacje używane przez serwery WWW. Nie należy jednak utożsamiać tego zakresu z dokładnie potwierdzoną, czternastoletnią historią każdej z luk. 3
6
14
Pilne aktualizacje i starsze wersje
21 października projekt PHP wydał poprawione wersje: 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Zalecenie dotyczyło wszystkich instalacji obsługujących żądania internetowe — między innymi PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. 15
PHP 8.1 i starsze wydania nie otrzymują już rutynowych aktualizacji bezpieczeństwa od projektu. Niektóre dystrybucje Linuksa i dostawcy wsparcia długoterminowego mogą jednak przygotowywać własne poprawki. Właściciele takich systemów powinni sprawdzić zalecenia dostawcy zamiast zakładać, że aktualizacja do jednej z wymienionych wersji PHP będzie dla nich dostępna.
Skala zagrożenia i doniesienia o atakach
PHP ma według szacunków działać na około 70 proc. stron internetowych. Palo Alto Networks wskazało ponad 22,6 mln wystawionych do internetu instancji potencjalnie podatnych na PHP2Shell. To szacunki dotyczące możliwej ekspozycji, a nie liczba potwierdzonych włamań. 23
Amazon Threat Intelligence odnotował próbę wykorzystania podatności w telemetrii honeypota MadPot 17 października — cztery dni przed publicznym ujawnieniem informacji. Wykrycie próby nie przesądza, że atak się powiódł. Z kolei Sansec 22 października ocenił, że masowe wykorzystanie luk jest mniej prawdopodobne, niż zakładano w dniu wydania poprawek. Dostępne materiały nie potwierdzają skali szeroko zakrojonych, udanych włamań. 4
6
10
Doniesienia z czasu kryzysu wspominały również o tymczasowym wyłączaniu niektórych stron na czas wdrażania aktualizacji, ale dostępne informacje nie opisują szczegółowo konkretnych przestojów ani ich skutków.
Reakcja służb i dodatkowe ostrzeżenie PHP
Amerykańska NSA zaleciła organizacjom sporządzenie wykazu usług zależnych od PHP i nadanie priorytetu poprawkom. CISA również wzywała do pilnej aktualizacji, a Google, AWS i Microsoft publikowały wskazówki dla swoich klientów. 3
17
18
23 października PHP poinformowało o odrębnym, mniej prawdopodobnym scenariuszu zdalnego wykonania kodu, oznaczonym jako CVE-2026-115560. Dotyczy on nietypowego połączenia ustawień sesji i sposobu działania aplikacji. Do czasu kolejnego regularnego wydania naprawczego PHP zaleciło ustawienie session.upload_progress.enabled=0. Wyjątek dotyczy aplikacji, które nie zmieniają w trakcie działania obsługi serializacji sesji — w takim przypadku według wskazówek PHP funkcja może pozostać włączona. 19
Co wiadomo, a czego nie potwierdzono
W okresie poprzedzającym ujawnienie problemu miały pojawić się jego wcześniejsze sygnały. Dostępne materiały nie pozwalają jednak rzetelnie potwierdzić wszystkich szczegółów dotyczących tego, co PHP Foundation wiedziała w 2024 r., ani przypisywanego jej określenia „strukturalna porażka” czy wpływu ograniczonych zasobów na obsługę zgłoszenia. 21
Nie ma też wystarczających podstaw, by potwierdzić informacje o narzędziu OpenAI do sprawdzania wersji PHP albo o deklarowanej dotacji Daybreak w wysokości miliarda dolarów. Warto oddzielać te niezweryfikowane twierdzenia od potwierdzonych informacji o wydanych poprawkach i zaleceniach bezpieczeństwa.
W tym samym okresie opisywano także inne incydenty: demonstrację „Node2Shell” dotyczącą Node.js, problemy z kluczami urzędu certyfikacji eMudhra oraz incydent związany z LiteLLM. To odrębne sprawy, a przytoczone materiały nie wskazują, by wynikały z PHP2Shell.
Najważniejszy praktyczny wniosek jest prosty: ustalić, gdzie działa PHP, sprawdzić wersję i wdrożyć właściwą poprawkę lub zalecenie dostawcy. Sama obecność podatnego PHP nie dowodzi, że serwer został zaatakowany — tak samo jak wykryta próba ataku nie jest równoznaczna ze skutecznym włamaniem. 17
18
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: jak dwie luki w PHP wywołały październikowy alarm bezpieczeństwa"?
Dwie luki PHP2Shell mogły pozwolić na zdalne wykonanie kodu bez uwierzytelnienia.
What are the key points to validate first?
Dwie luki PHP2Shell mogły pozwolić na zdalne wykonanie kodu bez uwierzytelnienia. Po przedwczesnym ujawnieniu informacji 20 października poprawki opublikowano 21 października, zamiast czekać do planowanego terminu 22 października.
What should I do next in practice?
Amazon zgłosił próbę ataku z 17 października, ale dostępne źródła nie potwierdzają, że doszło do szerokiej fali skutecznych włamań.