AnswersPublished25 sources
PHP2Shell: co oznaczają luki w PHP i jak pomogła je znaleźć sztuczna inteligencja
PHP2Shell obejmuje dwie krytyczne luki w PHP, które mogły umożliwić zdalne uruchomienie kodu bez uwierzytelnienia. Calif wykorzystała GPT 5.6 Sol do wykrycia krytycznego błędu, a Wiz niezależnie znalazła i zgłosiła obie luki.
Opublikowane przezEdytowane za pomocą GPT-6 LunaObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- PHP2Shell obejmuje dwie krytyczne luki w PHP, które mogły umożliwić zdalne uruchomienie kodu bez uwierzytelnienia.
- Calif wykorzystała GPT 5.6 Sol do wykrycia krytycznego błędu, a Wiz niezależnie znalazła i zgłosiła obie luki.
- Zaobserwowane skanowanie i próby wykorzystania podatności nie potwierdzają, że doszło do udanych włamań.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What does the October 24, 2026 report on the AI-discovered PHP2Shell vulnerabilities reveal about CVE-2026-109618 and CVE-2026-109619, their. Article summary: The available evidence describes PHP2Shell as two critical PHP vulnerabilities enabling remote code execution, with CVSS 4.0 ratings of 9.2, discovered through AI-assisted security research and addressed with emergency p. Topic tags: general, general web, news. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake numbers
PHP2Shell to wspólna nazwa dwóch krytycznych luk w samym PHP — języku programowania wykorzystywanym do obsługi wielu stron i aplikacji internetowych. Błędy, oznaczone jako CVE-2026-109618 i CVE-2026-109619, mogły pozwolić napastnikowi uruchomić kod na serwerze bez logowania. Obie podatności otrzymały ocenę 9,2 w skali CVSS 4.0. Projekt PHP opublikował pilne poprawki 21 października 2026 r. 8
9
10
Sprawa przyciągnęła uwagę także dlatego, że w badaniach nad bezpieczeństwem wykorzystano narzędzia AI. Calif użyła GPT-5.6 Sol do wykrycia krytycznej luki, a Wiz niezależnie odkryła i zgłosiła obie podatności. Warto jednak rozdzielić wykrywanie błędów przez badaczy od późniejszych prób ich wykorzystania: dostępne doniesienia o skanowaniu nie dowodzą, że ataki zakończyły się przejęciem serwerów. 20
29
34
Na czym polegały luki PHP2Shell
Nie chodziło o błąd w konkretnej platformie, takiej jak WordPress, ani w pojedynczej wtyczce. Podatności dotyczyły samego PHP. W przypadku CVE-2026-109618 problem wiązał się z obsługą sytuacji braku pamięci, gdy dane żądania były jeszcze tylko częściowo zainicjowane. CVE-2026-109619 dotyczyła nieaktualnego stanu wewnętrznego, który mógł pozostać po zwolnieniu pamięci, z którą był powiązany. Oba błędy mogły prowadzić do zdalnego wykonania kodu. 10
26
Ocena 9,2 w skali CVSS 4.0 oznacza poziom krytyczny. Szczególne znaczenie miała możliwość zdalnego działania bez uwierzytelnienia — atakujący nie musiał wcześniej logować się do serwera. 9
10
Jaką rolę odegrała sztuczna inteligencja
Calif znalazła krytyczny błąd z pomocą modelu GPT-5.6 Sol firmy OpenAI, w ramach inicjatywy Patch the Planet. Wiz prowadziła własne, niezależne badania i zgłosiła obie luki. Według doniesień w pracach Wiz wykorzystano również narzędzie Wiz Atlas oraz modele Gemini 4 Argon i GPT-5.6 Sol. 20
29
W relacjach pojawiają się różne daty dotyczące początków badań i zgłoszeń. Jedno źródło podaje, że Calif wykryła błędy 1 sierpnia, inne — że pierwszą lukę zgłosiła zespołowi PHP 11 sierpnia. Obie wersje opisują współpracę z opiekunami projektu przed październikowym ujawnieniem podatności. 20
30
To rozróżnienie jest istotne: AI pomogła badaczom znaleźć luki. Nie oznacza to, że dostępne źródła potwierdzają wykorzystanie agentów AI do przeprowadzenia późniejszych ataków.
Poprawki i reakcja administratorów
21 października PHP opublikowało poprawione wersje: 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Są to numery wydań samego projektu PHP. Dystrybucje Linuksa mogą przenosić poprawkę bezpieczeństwa do swoich pakietów, zachowując inną numerację wersji — dlatego administratorzy powinni sprawdzić także komunikat bezpieczeństwa swojej dystrybucji, a nie polegać wyłącznie na numerze widocznym w systemie. 8
27
Ujawnienie luk skłoniło część operatorów stron do czasowego wyłączenia systemów na czas oceny ryzyka. Według doniesień 21 października niedostępne były między innymi niektóre strony rządowe w Europie i innych częściach świata. 21 Inna relacja wskazuje, że wyciek szczegółów podatności przyczynił się do przesunięcia publikacji poprawek o dzień.
22
33
Dla organizacji korzystających z PHP najważniejsze jest sprawdzenie, czy zaktualizowano tę instancję PHP, która obsługuje ruch internetowy, oraz zastosowanie właściwej poprawki. Należy też stosować się do instrukcji dostawcy dotyczących ponownego uruchomienia usług i weryfikacji aktualizacji. Jeśli serwerem zarządza firma hostingowa, warto poprosić ją o potwierdzenie, że poprawka została wdrożona — sam wygląd strony nie pozwala tego ustalić. 8
24
Próby ataków to nie to samo co udane włamania
Cloudflare i Patchstack miały zaobserwować sondowanie podatności przed opublikowaniem poprawki PHP 21 października. W późniejszym raporcie mowa była o milionach prób ataków, natomiast BBC informowało 22 października, że nie odnotowano wówczas znanych przypadków skutecznego wykorzystania luki. Te doniesienia uzasadniają ostrożność, ale nie potwierdzają, że próby zakończyły się przejęciem serwerów. 2
3
34
Najtrafniejszy wniosek jest więc wyważony: PHP2Shell stanowiło poważne zagrożenie, szybko zwróciło uwagę atakujących i wymagało pilnego instalowania poprawek. Liczby dotyczące prób nie powinny być jednak przedstawiane jako liczba udanych włamań. Przywołane źródła nie podają wiarygodnej liczby narażonych stron ani nie potwierdzają ataków przeprowadzonych przez agentów AI.
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: co oznaczają luki w PHP i jak pomogła je znaleźć sztuczna inteligencja"?
PHP2Shell obejmuje dwie krytyczne luki w PHP, które mogły umożliwić zdalne uruchomienie kodu bez uwierzytelnienia.
What are the key points to validate first?
PHP2Shell obejmuje dwie krytyczne luki w PHP, które mogły umożliwić zdalne uruchomienie kodu bez uwierzytelnienia. Calif wykorzystała GPT 5.6 Sol do wykrycia krytycznego błędu, a Wiz niezależnie znalazła i zgłosiła obie luki.
What should I do next in practice?
Zaobserwowane skanowanie i próby wykorzystania podatności nie potwierdzają, że doszło do udanych włamań.
Sources
wppoland.comPHP2Shell: is my WordPress site at risk and what to do - WPPoland
expresscomputer.inPHP2Shell: Security vendors race to contain a critical vulnerability as exploitation attempts spread
nivector.comPHP2Shell: the two critical PHP flaws that pushed governments offline
internazionale.itGovernment websites go dark after AI-discovered flaw ...