Deweloperzy języka PHP wydali 21 października 2026 roku nadzwyczajne aktualizacje bezpieczeństwa, łatające dwie krytyczne luki umożliwiające zdalne wykonanie kodu (RCE). Podatności, nazwane zbiorczo PHP2Shell, dotyczą wszystkich wersji PHP wydanych w ciągu ostatniej dekady i zostały odkryte przy użyciu zaawansowanych modeli sztucznej inteligencji.
Problem jest niezwykle rozległy i dotyczy praktycznie całego ekosystemu PHP. Badacze z firmy Wiz, którzy zidentyfikowali zagrożenie, potwierdzili, że podatna jest każda wersja języka, począwszy od PHP 5.4. Oznacza to, że zagrożone są serwery działające na oprogramowaniu wydawanym przez ponad dziesięć lat. Skalę ryzyka potęguje fakt, że według dostępnych danych około 73,5% usług PHP, które publicznie ujawniają swoją wersję, działa na podatnym oprogramowaniu (wersja 8.1 lub starsza).
Odkryte luki obejmują nie tylko możliwość zdalnego wykonania kodu, ale również błędy prowadzące do ujawnienia zawartości pamięci serwera. Połączenie tych dwóch wektorów ataku stwarza krytyczne zagrożenie dla stabilności i bezpieczeństwa aplikacji internetowych na całym świecie.
Największe zaniepokojenie budzi sposób, w jaki luki PHP2Shell mogą zostać wykorzystane. Atakujący nie potrzebują żadnych danych uwierzytelniających, aby przeprowadzić atak. Co więcej, złośliwy kod może zostać wykonany na serwerze, zanim jeszcze uruchomiony zostanie jakikolwiek skrypt właściwej aplikacji webowej. Daje to napastnikom potężne narzędzie do przejęcia pełnej kontroli nad maszyną.
Eksploatacja luk PHP2Shell może pozwolić atakującym na przejęcie kontroli nad serwerami, kradzież wrażliwych danych oraz defacement stron internetowych.
Badacze podkreślają, że choć łańcuch kroków potrzebnych do skutecznego ataku jest złożony, wykorzystanie nowoczesnych modeli AI znacząco ułatwiło zarówno wykrycie, jak i stworzenie działającego exploita. To pokazuje, jak sztuczna inteligencja staje się narzędziem obosiecznym w świecie cyberbezpieczeństwa.
W związku z powagą zagrożenia i doniesieniami o pierwszych próbach wykorzystania luk w sieci, administratorzy systemów muszą podjąć natychmiastowe działania. Zespół odpowiedzialny za rozwój PHP wydał już odpowiednie poprawki. Eksperci ds. bezpieczeństwa zalecają bezwzględną i priorytetową aktualizację.
Kluczowe kroki, które należy podjąć w celu zabezpieczenia serwera, to:
Brak reakcji naraża serwery na całkowite przejęcie przez cyberprzestępców, co może prowadzić do kradzieży danych użytkowników, zaszyfrowania plików w ramach ataku ransomware lub wykorzystania serwera do dalszych ataków w sieci.
Wiz Research Team, „PHP2Shell: Critical Vulnerabilities in PHP Engine Allow Unauthenticated Remote Code Execution”, Wiz.io, 2026. https://www.wiz.io/blog/php2shell-php-rce
Patchstack, „PHP Major Vulnerability Alert – Unauthenticated RCE Affecting All Versions”, Patchstack, 2026. https://patchstack.com/articles/php-major-vulnerability-alert-10-2026/
PurePC, „PHP z krytycznymi lukami RCE PHP2Shell. Wydano awaryjne łatki, zalecana jest natychmiastowa aktualizacja”, PurePC.pl, 2026. https://www.purepc.pl/php-krytyczne-luki-rce-php2shell-awaryjne-latki
Unite.AI, „PHP łata dwie krytyczne luki RCE wykryte przy użyciu najnowocześniejszych modeli AI”, Unite.AI, 2026. https://www.unite.ai/pl/php-patches-two-critical-rce-flaws-found-with-frontier-ai-models/
