AnswersPublished24 sources
PHP2Shell: dwie krytyczne luki w PHP i pilna aktualizacja
PHP2Shell obejmuje dwie luki umożliwiające zdalne wykonanie kodu bez uwierzytelnienia. Poprawki zawierają wersje PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
Opublikowane przezEdytowane za pomocą GPT-6 LunaObrazy wygenerowane za pomocą GPT Image 2
Research answer
Key takeaways
- PHP2Shell obejmuje dwie luki umożliwiające zdalne wykonanie kodu bez uwierzytelnienia.
- Poprawki zawierają wersje PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Administratorzy powinni sprawdzić wdrożenia i pilnie zastosować aktualizację lub potwierdzoną poprawkę dostawcy.
AI Prompt
openai.comCreate a landscape editorial hero image for this Studio Global article: What is the full picture of the PHP2Shell security crisis as of October 21, 2026, including PHP’s prevalence across websites; the unauthenti. Article summary: As of October 21, 2026, PHP2Shell was an urgent patching crisis involving two unauthenticated remote-code-execution vulnerabilities, with emergency PHP updates released after premature disclosure and reports of attack at. Topic tags: general, general web, government. Style: premium digital editorial illustration, source-backed research mood, clean composition, high detail, modern web publication hero. Use reference image context only for broad subject, composition, and topical grounding; do not copy the exact image. Avoid: logos, brand marks, copyrighted characters, real person likenesses, fake screenshots, UI text, readable text, watermarks, charts with fake n
PHP2Shell to nazwa dwóch krytycznych luk w obsłudze żądań przez PHP: CVE-2026-109618 i CVE-2026-109619. Mogą one umożliwić osobie atakującej uruchomienie kodu na podatnym serwerze bez logowania. Zespół PHP opublikował pilne poprawki 21 października 2026 r., po tym, jak informacje o lukach ujrzały światło dzienne przed planowanym terminem. Zgłaszane próby ataków nie stanowią same w sobie dowodu udanego włamania. 4
6
15
Na czym polegają luki PHP2Shell
Oba błędy dotyczą samego PHP, a nie konkretnej aplikacji internetowej. Według ostrzeżeń bezpieczeństwa podatne są wersje PHP 5.4 i nowsze; odpowiednio przygotowane żądanie może wywołać lukę podczas przetwarzania ruchu internetowego. 8
14
Luki mają różne przyczyny. CVE-2026-109618 wiąże się z uszkodzeniem pamięci w sytuacji wyczerpania pamięci, a CVE-2026-109619 — z nieaktualnym stanem globalnym. Obie otrzymały ocenę 9,2 w skali CVSS 4.0, czyli poziom krytyczny. 4
15
PHP jest szeroko stosowane, ale dostępne źródła nie podają wiarygodnego odsetka wszystkich witryn, które mogą być podatne. Szacunki popularności bywają liczone na różne sposoby, dlatego pojedyncza liczba nie musi oznaczać liczby zagrożonych stron. Dla administratora kluczowe jest ustalenie, czy jakakolwiek używana przez niego instalacja PHP obsługująca ruch sieciowy nie została jeszcze zaktualizowana. 3
14
Ujawnienie informacji, badania z pomocą AI i poprawki
Informacje o lukach stały się publiczne 20 października — dzień przed wydaniem pilnych poprawek i przed planowanym ujawnieniem szczegółów, które miało nastąpić 22 października. 6
7
16
Cloudflare wymienił w swoim opisie ujawnienia Calif, Wiz, OpenAI i Quarkslab. Relacje z tamtego okresu opisywały badania Calif prowadzone z pomocą AI oraz niezależne wykrycie i zgłoszenie luk przez Wiz. Dostępne źródła nie wyjaśniają dokładnie, jaki wkład techniczny miała każda z tych stron. 14
20
Poprawki opublikowane 21 października to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. 15
16 Administratorzy powinni sprawdzić, jakie wersje PHP działają w środowisku produkcyjnym, a następnie zainstalować właściwe wydanie naprawcze albo potwierdzoną poprawkę dostawcy. Dostawca hostingu może przenieść poprawkę bezpieczeństwa do swojej paczki, nie zmieniając widocznego numeru wersji bazowej. Jeśli numer wygląda na starszy, warto sprawdzić komunikat dostawcy.
1
Co wiadomo o próbach wykorzystania luk
21 października w doniesieniach dotyczących bezpieczeństwa pojawiły się informacje o próbach ataków wykorzystujących te luki. Cloudflare przekazał, że obserwował ruch atakujący, a SecurityWeek napisał, że kilka firm zajmujących się cyberbezpieczeństwem odnotowało próby przed wydaniem poprawek PHP. 14
15
Dostępne informacje nie pozwalały jednak na wyciągnięcie jednoznacznego wniosku o udanych włamaniach. Późniejsze podsumowanie doniesień z 21 października wskazywało, że CISA i Kanadyjskie Centrum Cyberbezpieczeństwa nie zaobserwowały ani nie zidentyfikowały wówczas wykorzystania luk, podczas gdy firmy z branży zgłaszały próby ataków. To różne stwierdzenia: próba wysłania złośliwego żądania nie dowodzi udanego włamania, a brak obserwacji ze strony agencji nie oznacza, że do żadnego włamania nie doszło. 25
Aktualizacja, inwentaryzacja i zabezpieczenia tymczasowe
NSA zaleciła organizacjom, by priorytetowo potraktowały poprawki od dostawców i sporządziły wykaz usług sprzętowych i programowych zależnych od podatnych wersji PHP. 17 Informowano również, że CISA zalecała natychmiastową aktualizację.
20 Jeśli nie da się szybko zaktualizować podatnej usługi, w doniesieniach opisywano zalecenie, by tymczasowo wyłączyć ją z sieci zamiast pozostawiać narażoną na atak.
7
21
Cloudflare poinformował, że od 21 października, godz. 03:02 UTC, jego klienci korzystający z bezpłatnej lub płatnej zapory WAF mieli domyślnie włączoną ochronę przed PHP2Shell. 14 Taka ochrona może stanowić dodatkową warstwę zabezpieczeń, ale nie zastępuje aktualizacji PHP. Reguła filtrowania ruchu nie potwierdza, że podatny serwer został naprawiony.
14
17
Sprawdzano również produkty wykraczające poza typowe środowiska hostujące PHP. Help Net Security podał, że Palo Alto Networks uznał wszystkie wersje PAN-OS i Panorama za podatne, a w chwili publikacji materiału nie udostępnił jeszcze poprawek. 33 Zakres podatności i dostępne zabezpieczenia zależą od konkretnego produktu, dlatego użytkownicy urządzeń sieciowych i platform zarządzanych powinni kierować się komunikatem danego producenta, a nie zakładać, że aktualizacja pakietu PHP rozwiąże problem w tych produktach.
Co warto zrobić teraz
PHP2Shell należy potraktować jako pilny problem wymagający aktualizacji: zinwentaryzować usługi korzystające z PHP, zainstalować poprawioną wersję lub potwierdzoną poprawkę dostawcy, a izolację usługi albo filtrowanie ruchu stosować wyłącznie jako rozwiązanie tymczasowe. Doniesienia z 21 października uzasadniają obawy o próby ataków, ale nie pozwalają uznać każdej próby za potwierdzone włamanie. 1
15
17
25
Studio Global AI
Continue your research
This page includes a source-backed answer you can continue inside Studio Global.
People also ask
What is the short answer to "PHP2Shell: dwie krytyczne luki w PHP i pilna aktualizacja"?
PHP2Shell obejmuje dwie luki umożliwiające zdalne wykonanie kodu bez uwierzytelnienia.
What are the key points to validate first?
PHP2Shell obejmuje dwie luki umożliwiające zdalne wykonanie kodu bez uwierzytelnienia. Poprawki zawierają wersje PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Administratorzy powinni sprawdzić wdrożenia i pilnie zastosować aktualizację lub potwierdzoną poprawkę dostawcy.
Sources
bleepingcomputer.comPHP ships emergency patches for critical PHP2Shell flaws
vulncheck.comPHP2Shell Vulnerabilities: CVE-2026-109618 and ...
securityweek.comPHP2Shell Patches Land as First Exploitation Attempts Hit Sensors
access.redhat.comRHSB-2026-013 Request handling memory corruption - php (CVE ...