W wielu krajach wyłączono część stron internetowych po wykryciu poważnych luk bezpieczeństwa w PHP – języku programowania wykorzystywanym przez niemal 70 proc. witryn na świecie. Wyłączono niektóre serwisy publiczne w Belgii, Holandii, Finlandii, Francji i Niemczech.
Informacja o lukach, która została upubliczniona we wtorek, skłoniła agencje bezpieczeństwa w wielu krajach do wydania ostrzeżeń. Oznacza to, że miliony stron internetowych mogą wymagać zabezpieczenia. Eksperci zajmujący się infrastrukturą internetu ostrzegają, że rosyjskie służby państwowe lub zorganizowane grupy przestępcze mogą wykorzystać podatności do przeprowadzania cyberataków.
Wykryto dwie krytyczne podatności, oznaczone jako CVE-2026-109618 i CVE-2026-109619, którym przyznano ocenę 9,2 pkt w dziesięciostopniowej skali zagrożenia.
Czytaj więcej
Twórcy powszechnie używanego języka programowania PHP pracują nad poprawkami, które mają usunąć dwie krytyczne luki w zabezpieczeniach umożliwiając...
Z PHP korzysta WordPress, jeden z najpopularniejszych systemów zarządzania stronami internetowymi. Z języka tego korzystają również Wikipedia, komunikator Slack, a przynajmniej w przeszłości opierała się na nim znaczna część Facebooka. Fundacja Wikimedia poinformowała, że w środę prewencyjnie wyłączyła kilka swoich systemów do czasu zainstalowania odpowiednich poprawek.
Krytyczne luki w PHP. Nie wszystkie strony da się łatwo zabezpieczyć
Organizacja odpowiedzialna za rozwój PHP opublikowała w środę poprawki bezpieczeństwa po tym, jak badacze testujący zabezpieczenia systemów informatycznych odkryli luki. Problem w tym, że wiele stron internetowych nadal działa na starszych wersjach oprogramowania, które nie są już oficjalnie wspierane.
Amerykańska Agencja Bezpieczeństwa Narodowego (NSA) zaleciła wszystkim organizacjom korzystającym z PHP wyłączenie systemów, jeśli nie są w stanie natychmiast zainstalować poprawek.
Podobne zalecenia wydało brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC), które wezwało do sprawdzenia, czy w systemach nie zostały zainstalowane tzw. tylne furtki, czyli ukryte mechanizmy umożliwiające przestępcom nieautoryzowany dostęp.
– To zaskakujące i niepokojące, biorąc pod uwagę, jak powszechnie PHP jest wykorzystywany na świecie. Twórcy PHP bardzo szybko opublikowali poprawkę. Najważniejsze teraz, aby wszyscy korzystający z tego języka ją zainstalowali i upewnili się, że ich systemy są bezpieczne – powiedział cytowany przez „The Guardian” profesor Alan Woodward, ekspert ds. cyberbezpieczeństwa z Uniwersytetu Surrey. – Niepokojące jest to, że wiele stron, które nie są odpowiednio utrzymywane, nadal pozostanie niezabezpieczonych. Oznacza to, że przez kolejne tygodnie, a nawet miesiące możemy obserwować następne cyberataki. Mam nadzieję, że w przypadku najważniejszych celów cyberataków poprawki są instalowane bardzo szybko – dodał.
Woodward podkreślił, że cyberprzestępcy mogą teraz wykorzystać tę lukę. – Trwa wyścig, a niektórzy niestety nawet nie wiedzą, że biorą w nim udział – powiedział.
Sztuczna inteligencja pomogła odkryć zagrożenie sprzed lat
OpenAI poinformowało, że koordynowało współpracę badaczy i firm zajmujących się bezpieczeństwem, którzy pomogli wykryć i usunąć luki. W wykryciu jednej z krytycznych luk wykorzystano model GPT-5.6 Sol, a niezależnie obie podatności mieli zidentyfikować również badacze firmy Wiz. W usuwaniu zagrożenia uczestniczyły m.in. Cloudflare i zespół odpowiedzialny za rozwój PHP. Prace nad wykryciem i usunięciem luk trwały około dwóch miesięcy.
Czytaj więcej
Anthropic przed gigantycznym IPO ostrzega, że jego modele mogą stanowić „egzystencjalne zagrożenie dla ludzkości”. Niemal równocześnie OpenAI wstrz...
W Wielkiej Brytanii wyłączono strony internetowe władz lokalnych Edynburga, Bristolu i Oksfordu. We Francji w środę przestały działać witryny administracji lokalnej, w tym strona prefektury policji w Paryżu. W Holandii niedostępne stały się m.in. krajowy system identyfikacji cyfrowej, strona internetowa izby niższej parlamentu oraz witryna narodowego centrum cyberbezpieczeństwa.
Problemy dotknęły również Australię. W nocy czasu lokalnego tymczasowe zakłócenia wystąpiły w działaniu systemów Australian Signals Directorate, australijskiej agencji wywiadu elektronicznego. Krajowa agencja odpowiedzialna za cyberobronę zaznaczyła, że podobne problemy mogły dotknąć także inne rządowe strony internetowe.
Michał Woźniak, ekspert ds. infrastruktury internetowej, ostrzegł, że dojdzie do masowego, automatycznego wykorzystywania tej podatności. Jego zdaniem luka może umożliwić cyberprzestępcom instalowanie na podatnych serwerach oprogramowania do wydobywania kryptowalut, wykorzystującego cudzą moc obliczeniową i energię elektryczną.
Ekspert wskazał również, że duże organizacje przestępcze oraz podmioty działające na rzecz rosyjskiego państwa mogą wykorzystać niezabezpieczone strony do przeprowadzania kolejnych ataków polegających m.in. na przeciążaniu serwerów ogromną liczbą żądań (DDoS).
Zdaniem Woźniaka odkrycie obnażyło wieloletnie zaniedbania w utrzymaniu infrastruktury internetowej. Rozwój AI pozwala dziś wykrywać błędy obecne w oprogramowaniu od dziesięcioleci.
Jak podaje Reuters, pierwsze sygnały dotyczące jednej z podatności pojawiły się już w 2024 r. PHP Foundation przyznała, że usunięcie problemu opóźniały trudności techniczne i obawy o wpływ zmian na działanie istniejących aplikacji.
– To problem całej branży, w której istnieje presja na szybkie działanie i wprowadzanie zmian. Nowe rozwiązania wdraża się błyskawicznie, ale później często nikt ich nie aktualizuje ani nie dba o ich utrzymanie – powiedział dziennikowi „The Guardian”.
