AnswersPublished22 sources
PHP2Shell: krytyczne luki w PHP i wersje z poprawkami
PHP2Shell obejmuje dwie podatności w PHP, ocenione na 9,2 w skali CVSS v4.0. Mogą pozwolić atakującemu bez uwierzytelnienia na zdalne wykonanie kodu na podatnym serwerze.
Opublikowane przezEdytowane za pomocą GPT-6 LunaObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- PHP2Shell obejmuje dwie podatności w PHP, ocenione na 9,2 w skali CVSS v4.0. Mogą pozwolić atakującemu bez uwierzytelnienia na zdalne wykonanie kodu na podatnym serwerze.
- Identyfikatory CVE pojawiły się przed planowanym ujawnieniem, a PHP opublikowało poprawki wcześniej, 21 października 2026 r.
- Wykryto próby wykorzystania luk, ale doniesienia o próbach nie są równoznaczne z potwierdzonym włamaniem.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 22, 2026 report reveal about the PHP2Shell vulnerabilities CVE-2026-109618 and CVE-2026-109619, including their 9.2 se. Article summary: The October 22 coverage describes PHP2Shell as an urgent patching crisis: CVE-2026-109618 and CVE-2026-109619 were rated 9.2 and could allow remote attackers to execute code without authentication, prompting emergency up. Topic tags: general, general web, user generated. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fa
PHP2Shell to nazwa dwóch krytycznych luk w PHP: CVE-2026-109618 i CVE-2026-109619. Obie oceniono na 9,2 w skali CVSS v4.0. Mogą umożliwić osobie nieuwierzytelnionej zdalne wykonanie kodu na podatnym serwerze. Poprawki pojawiły się 21 października 2026 r., po tym, jak szczegóły sprawy wyszły na jaw przed planowanym terminem ujawnienia. Szybko odnotowano próby ataków, ale sama próba nie dowodzi udanego włamania. 1
3
14
Na czym polegają luki PHP2Shell?
Podatności dotyczą obsługi żądań i zarządzania pamięcią w samym PHP, a nie konkretnego frameworka czy kodu jednej witryny. CVE-2026-109618 wiąże się z obsługą błędu braku pamięci, a CVE-2026-109619 — z nieaktualnym stanem wewnętrznym. Zgłaszanym skutkiem może być zdalne wykonanie kodu bez uwierzytelnienia. 1
14
Oznacza to, że znaczenie ma wersja środowiska PHP, nawet jeśli w kodzie aplikacji nie wykryto osobnej luki. Zgodnie z zaleceniami operacyjnymi, uwagę powinny zwrócić instalacje PHP obsługujące żądania internetowe. 55
Które wersje PHP zawierają poprawki?
PHP opublikowało poprawione wydania 21 października 2026 r. Są to:
Systemy korzystające ze starszych wersji w tych gałęziach należy zaktualizować do odpowiedniego wydania z poprawką. Szczegóły podatności pojawiły się publicznie przed przewidywanym terminem ujawnienia, co przyspieszyło publikację aktualizacji. 3
13
33
Jak doszło do przedwczesnego ujawnienia?
20 października na Hacker News pojawił się wpis wymieniający oba identyfikatory CVE. Zapowiadał ujawnienie szczegółów 22 października. Wpis usunięto, ale jego zrzuty ekranu zaczęły krążyć w sieci. Badacze bezpieczeństwa potwierdzili później, że informacje były prawdziwe, a podatności objęte embargiem. 3
Według doniesień Calif wykryło jedną z luk przy wsparciu modelu OpenAI. W relacjach o skoordynowanej reakcji wymieniano też Wiz, które niezależnie odkryło i zgłosiło podatności. Dostępne informacje nie potwierdzają, że błędy istniały od około 20 lat, ani nie pozwalają przypisać każdej z luk konkretnemu zespołowi badawczemu. 27
33
Wyłączenia usług i zalecenia dla organizacji
Niektóre organizacje tymczasowo wyłączyły usługi, zachowując ostrożność podczas reagowania na zagrożenie. Doniesienia wymieniały serwisy powiązane z Ministerstwem Finansów Japonii, platformą BambooHR, Portem Rotterdam oraz Wikimedia. Same przerwy w działaniu usług nie są dowodem, że doszło do włamania. 19
Amerykańska agencja CISA wezwała organizacje prowadzące strony oparte na PHP do natychmiastowego zastosowania poprawek. 33 Dostępne doniesienia nie podają pełnej liczby usług wyłączonych prewencyjnie ani nie potwierdzają wszystkich informacji o rzekomo dotkniętych szpitalach, szkołach i instytucjach publicznych.
Co wiadomo o próbach wykorzystania luk?
Doniesienia dotyczą aktywności zarówno sprzed publicznego ujawnienia, jak i z okresu po nim:
- Amazon poinformował, że jego honeypot MadPot wykrył próbę wykorzystania luki 17 października — przed publikacją poprawek 21 października. Obserwacja honeypota potwierdza próbę skierowaną przeciwko temu czujnikowi, nie udane włamanie do innego systemu.
50
58
- Cloudflare odnotował tysiące prób w ciągu dziesięciu godzin poprzedzających publiczne ogłoszenie oraz miliony po ujawnieniu. Są to liczby zaobserwowanych prób w jego sieci, a nie liczba skutecznie zaatakowanych serwerów.
36
- CISA przekazała, że w chwili publikacji swojego ostrzeżenia nie zaobserwowała wykorzystania podatności. To informacja o stanie obserwacji agencji w danym momencie; nie wyklucza prób wykrytych przez firmy dysponujące innymi źródłami danych.
- Sophos skorygował wcześniejszy komunikat o udanych atakach w środowiskach klientów. Firma podała, że jej telemetria wskazywała na skanowanie i niewielką liczbę nieudanych prób, bez dowodów udanego włamania w monitorowanych środowiskach na moment aktualizacji.
7
Łącznie te doniesienia uzasadniają pilne podejście do aktualizacji: próby ataków były obserwowane, a potencjalne skutki poważne. Nie dowodzą jednak, że każda próba się powiodła, ani nie dają wiarygodnej, całościowej liczby przejętych systemów.
Czego dostępne informacje nie potwierdzają?
Dostępne doniesienia nie podają wiarygodnej liczby podatnych serwerów dostępnych z internetu, nie potwierdzają, że luki istniały od około 20 lat, ani nie dowodzą, że atakujący użyli AI do przygotowania exploitów PHP2Shell. Wsparcie modelu AI opisano w kontekście odkrywania podatności — to odrębna kwestia od tego, jak napastnicy mogli je znaleźć lub wykorzystać. 27
33
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: krytyczne luki w PHP i wersje z poprawkami"?
PHP2Shell obejmuje dwie podatności w PHP, ocenione na 9,2 w skali CVSS v4.0. Mogą pozwolić atakującemu bez uwierzytelnienia na zdalne wykonanie kodu na podatnym serwerze.
What are the key points to validate first?
PHP2Shell obejmuje dwie podatności w PHP, ocenione na 9,2 w skali CVSS v4.0. Mogą pozwolić atakującemu bez uwierzytelnienia na zdalne wykonanie kodu na podatnym serwerze. Identyfikatory CVE pojawiły się przed planowanym ujawnieniem, a PHP opublikowało poprawki wcześniej, 21 października 2026 r.
What should I do next in practice?
Wykryto próby wykorzystania luk, ale doniesienia o próbach nie są równoznaczne z potwierdzonym włamaniem.