AnswersPublished23 sources
PHP2Shell: dwie krytyczne luki w PHP. Sprawdź, czy Twoje serwery są już załatane
PHP2Shell to dwie krytyczne luki w PHP: CVE 2026 109618 i CVE 2026 109619. Obie otrzymały ocenę 9,2 w CVSS v4.0 i mogą pozwolić na zdalne wykonanie kodu bez uwierzytelnienia.
Opublikowane przezEdytowane za pomocą GPT-6 LunaObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- PHP2Shell to dwie krytyczne luki w PHP: CVE 2026 109618 i CVE 2026 109619. Obie otrzymały ocenę 9,2 w CVSS v4.0 i mogą pozwolić na zdalne wykonanie kodu bez uwierzytelnienia.
- Poprawki dla gałęzi PHP 8.2–8.5 to odpowiednio wersje 8.2.35, 8.3.36, 8.4.27 i 8.5.12.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What are the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, why are both rated 9.2 out of 10, how do they enable unauthentic. Article summary: PHP2Shell is the collective name for two critical PHP flaws, CVE-2026-109618 and CVE-2026-109619, reported to permit unauthenticated remote code execution; emergency fixes were released on October 21, 2026. [3][5] The av. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell to wspólna nazwa dwóch krytycznych luk w podstawowym środowisku uruchomieniowym PHP: CVE-2026-109618 i CVE-2026-109619. Obie oceniono na 9,2 — poziom krytyczny — w skali CVSS v4.0. Wykorzystanie błędów może umożliwić wykonanie kodu na serwerze bez logowania. Zespół PHP opublikował awaryjne poprawki 21 października 2026 r. 
Dla administratorów najważniejsze jest teraz zaktualizowanie PHP. Zgłoszone próby wykorzystania luk, w tym aktywność odnotowana przez honeypot Amazona przed publicznym ujawnieniem problemu, uzasadniają szybkie działanie. Same w sobie nie dowodzą jednak, że doszło do włamania na rzeczywisty serwer. 36
Na czym polegają luki PHP2Shell?
Błędy mają różne mechanizmy:
- CVE-2026-109618 wiąże się z obsługą braku pamięci. Gdy PHP wyczerpie dostępny limit pamięci, przetwarzanie może zostać przerwane, zanim wewnętrzne dane żądania zostaną w pełni zainicjowane. Podczas sprzątania PHP może następnie potraktować nieprawidłowe dane tak, jakby były poprawne.
58
- CVE-2026-109619 dotyczy nieaktualnego stanu wewnętrznego. Według opisów pewne dane związane z żądaniem mogą pozostać w użyciu po zwolnieniu pamięci, w której były przechowywane. To problem typu use-after-free, czyli odwołanie do zwolnionej pamięci.
9
Luki dotyczą obsługi odpowiednio spreparowanych żądań HTTP, w tym danych multipart/form-data — formatu powszechnie używanego przy przesyłaniu plików. 1
Co oznacza ocena 9,2?
Obie luki mają ocenę 9,2 na 10, poziom krytyczny, według CVSS v4.0. Istotnym elementem ryzyka jest możliwość zdalnego wykonania kodu bez uwierzytelnienia: atakujący nie musi się logować, by podjąć próbę uruchomienia kodu na podatnym serwerze.
Dostępne materiały nie zawierają kompletnych wektorów CVSS, dlatego nie pozwalają dokładnie wyjaśnić, jak poszczególne parametry składają się na wynik 9,2. Ocena opisuje powagę podatności, ale sama nie przesądza, jak prawdopodobny jest atak na konkretny serwer ani czy zaobserwowana próba zakończyła się powodzeniem.
Które wersje PHP należy zaktualizować?
Raporty wskazują, że podatność dotyczy wersji PHP od 5.4. 55 Poprawione wydania dla wymienionych gałęzi PHP 8.x to:
| Gałąź PHP | Poprawiona wersja |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Wersje te opublikowano 21 października 2026 r. Zaktualizuj system do poprawionego wydania w używanej gałęzi lub do nowszego wydania z tej samej gałęzi.
Lista obejmuje wersje od 8.2 do 8.5. Jeśli serwer działa na starszej lub niewspieranej gałęzi, sprawdź informacje o poprawkach i zalecenia dostawcy PHP albo systemu operacyjnego. Nie zakładaj, że jedna z wymienionych wersji będzie bezpośrednią aktualizacją dla każdego starszego wydania.
Wyciek informacji i próby ataków — co wiadomo?
Informacje o podatnościach pojawiły się publicznie 20 października, przed planowanym ujawnieniem 22 października. PHP opublikowało awaryjne poprawki dzień później. 8
42 Dostępne źródła potwierdzają wcześniejsze ujawnienie i przyspieszenie publikacji poprawek, ale nie dowodzą, że przyczyną był omyłkowo opublikowany film demonstracyjny firmy Calif.
Amazon Threat Intelligence poinformował o próbie wykorzystania PHP2Shell zarejestrowanej przez honeypot MadPot 17 października — cztery dni przed publicznym ujawnieniem podatności. Amazon odnotował także exploity typu proof of concept w okolicy publikacji poprawek 21 października. Telemetria honeypota pokazuje aktywność wymierzoną w system-pułapkę, a nie potwierdzone włamanie do prawdziwej organizacji.
Cloudflare poinformował o wdrożeniu zabezpieczeń w okolicach ujawnienia luk, a ówczesne doniesienia opisywały ruch i próby ataków obserwowane przez firmy zajmujące się bezpieczeństwem. 55
35 Oceny skali i skuteczności tych działań były jednak rozbieżne: część dostawców mówiła o aktywnym lub powszechnym wykorzystywaniu luk, podczas gdy inne relacje wskazywały, że agencje rządowe nie potwierdziły udanych ataków.
33
36
Dostępne informacje uzasadniają poważne traktowanie prób wykorzystania PHP2Shell, ale nie pozwalają uznać każdej zgłoszonej próby za skuteczne włamanie ani stwierdzić, że ataki były powszechne. Przy ocenie incydentów warto rozróżniać próbę ataku, działający exploit i potwierdzone naruszenie bezpieczeństwa systemu produkcyjnego.
Co zrobić do czasu aktualizacji?
Najważniejszym działaniem jest instalacja poprawionej wersji PHP. AWS wskazuje, że pełnym rozwiązaniem jest aktualizacja. Jeśli nie da się jej przeprowadzić od razu, tymczasowe ograniczenie ekspozycji może obejmować blokowanie przesyłania plików w formacie multipart. To jednak środek przejściowy, a nie zamiennik poprawki.
Kanadyjskie Centrum Cyberbezpieczeństwa wydało krytyczny alert dotyczący luk i ryzyka wykonania kodu bez uwierzytelnienia. 2 Dostępne źródła informują również o zaleceniu NSA, by odłączyć systemy od sieci, jeśli nie można ich niezwłocznie zaktualizować.
27 Warto sprawdzić także zalecenia dostawcy i właściwych instytucji dla konkretnego wdrożenia — zwłaszcza gdy PHP jest częścią produktu lub jest zarządzane przez firmę hostingową.
W praktyce: ustal, gdzie działa PHP, zainstaluj właściwą poprawkę i uważnie analizuj alerty. Powaga PHP2Shell wymaga pilnego działania, ale próba ataku, działający exploit i potwierdzone włamanie to trzy różne rzeczy.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: dwie krytyczne luki w PHP. Sprawdź, czy Twoje serwery są już załatane"?
PHP2Shell to dwie krytyczne luki w PHP: CVE 2026 109618 i CVE 2026 109619. Obie otrzymały ocenę 9,2 w CVSS v4.0 i mogą pozwolić na zdalne wykonanie kodu bez uwierzytelnienia.
What are the key points to validate first?
PHP2Shell to dwie krytyczne luki w PHP: CVE 2026 109618 i CVE 2026 109619. Obie otrzymały ocenę 9,2 w CVSS v4.0 i mogą pozwolić na zdalne wykonanie kodu bez uwierzytelnienia. Poprawki dla gałęzi PHP 8.2–8.5 to odpowiednio wersje 8.2.35, 8.3.36, 8.4.27 i 8.5.12.