Świat w cieniu PHPokalipsy. Polska wyłącza część serwisów

Z powodu podatności fachowo określanych jako CVE-2026-109618 oraz CVE-2026-109619, a nazwanych też „PHP2Shell”, Centralny Ośrodek Informatyki czasowo zdjął z sieci strony Biuletynu Informacji Publicznej w systemie SSDIP, a Ministerstwo Cyfryzacji wydało pilne ostrzeżenie przed nieautoryzowanym przejęciem kontroli nad serwerami. Również Orange Polska zdecydował o tymczasowym wstrzymaniu dostępu do wybranych serwisów, aplikacji i usług. Sytuacja jest wyjątkowa, bo PHP (Hypertext Preprocessor) to skryptowy język open source, który od ponad dwóch dekad stanowi kręgosłup globalnej sieci. A to właśnie on – mówiąc wprost – okazał się dziurawy.

Świat walczy z cyberkryzysem

Każdego dnia miliardy internautów odwiedzają portale, nie zdając sobie sprawy, że to silnik PHP kompiluje treść i przesyła ją do przeglądarki. Według danych serwisu W3Techs technologia ta obsługuje około 75 proc. witryn o możliwym do ustalenia języku kodu – na PHP opierają się najpopularniejsze systemy zarządzania treścią, na czele z WordPressem, Joomlą czy Drupalem, platformy e-commerce pokroju Magento, panele hostingowe czy choćby Wikipedia. Gdy w tak newralgicznym komponencie pojawia się błąd, zagrożenie obejmuje cały ekosystem internetu. Nie dziwi więc, iż obie luki otrzymały krytyczną ocenę 9,2 w skali CVSS. Umożliwiają one bowiem napastnikom zdalne wykonanie kodu na serwerze bez logowania czy dodatkowych uprawnień.

Zdarzenie to spotkało się z natychmiastową reakcją polskich władz. W oficjalnym komunikacie Ministerstwo Cyfryzacji poinformowało, że „luki pozwalają atakującemu na zdalne wykonanie dowolnych poleceń systemowych poprzez błędy w mechanizmie zarządzania pamięcią”. Resort wskazał, że podatność dotyczy wszystkich wersji od linii 5.4 wzwyż (a CERT Polska przestrzega przed wersjami od 5.0 w górę). W związku z ryzykiem Centralny Ośrodek Informatyki czasowo wyłączył strony Biuletynu Informacji Publicznej, co ma „umożliwić wprowadzenie niezbędnych zabezpieczeń i zapewnić bezpieczne działanie systemu”. Jednocześnie Ministerstwo zaapelowało, aby w razie wykrycia śladów ataku zawiadomić CERT Polska.

Na podobny krok zdecydowały się rządy w Niemczech, Francji, Belgii i Finlandii. W Holandii witrynę wyłączyło samo Krajowe Centrum Cyberbezpieczeństwa (NCSC), a także port w Rotterdamie.

W Holandii wyłączono główny portal rządowy Overheid.nl, serwisy Holenderskiego Związku Piłki Nożnej (KNVB), cyfrowe systemy tożsamości, platformy licznych szpitali czy witryny pięciu największych partii politycznych. Również rządowa strona internetowa Finlandii została częściowo wyłączona. Rada Miasta Oksford, Rada Miasta Edynburg oraz brytyjskie Biuro Odpowiedzialności Budżetowej (Office for Budget Responsibility) też zdecydowały się na taki krok. Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (National Cyber Security Centre) zaleciło organizacjom, które nie mogą od razu przeprowadzić aktualizacji, rozważenie wyłączenia swoich witryn. Amerykańska Agencja Bezpieczeństwa Narodowego (NSA) doradza organizacjom korzystającym z PHP wyłączenie swoich systemów, jeśli nie będą mogły natychmiast załatać luki, gdyż to jedyny sposób na uniemożliwienie nieautoryzowanego dostępu do systemu plików lub baz danych. W Japonii Mitsubishi UFJ Financial Group zawiesiła część usług internetowych, a Ministerstwo Finansów wstrzymało publikację części treści na swojej stronie. Francuski resort spraw wewnętrznych prewencyjnie wyłączył publiczne strony internetowe prefektur. W Danii komunalna spółka technologiczna Kombit wyłączyła kilka platform publicznych, w tym ogólnokrajowy system komunikacji ze szkołami. Belgijskie Ministerstwo Spraw Zagranicznych czasowo wyłączyło swoje serwisy konsularne. W Kanadzie przestały działać portale prowincji Wyspa Księcia Edwarda oraz Nowa Fundlandia i Labrador.

Słabość internetu i przełomowa rola AI

Eksperci ostrzegają przed groźnymi skutkami zwłoki. Prof. Jill Slay z University of Adelaide podkreśliła w rozmowie z BBC, że gdyby cyberprzestępcy lub wrogie państwa wykorzystali te luki do masowej kradzieży danych, konsekwencje byłyby „katastrofalne”.

– Mówimy o dwóch poważnych lukach bezpieczeństwa w technologii, która stanowi podstawę działania około trzech czwartych internetu. Potencjalnie pozwalają one przestępcom na zdalny dostęp do podatnych systemów, bez konieczności podawania hasła – potwierdza Charlotte Wilson, head of enterprise w firmie Check Point. I obrazuje problem porównaniem: To tak, jakby okazało się, że miliony budynków wyposażono w ten sam wadliwy zamek – nagle wszyscy ścigają się, by go wymienić, zanim ktoś odkryje, jak otworzyć drzwi.

Dr Łukasz Olejnik, niezależny badacz cyberzagrożeń, w komentarzu dla agencji Reuters ocenił, że skala jest ogromna, a dzięki sztucznej inteligencji wykorzystanie tej luki może nastąpić natychmiast. Dodał przy tym, że „nie ma mowy, by wszystko podatne było zaktualizowane na czas”, a na platformie X nazwał kryzys „PHPokalipsą”.

Zespół Amazon Threat Intelligence oświadczył wręcz, że PHP2Shell „jest już powszechnie wykorzystywany w realnych atakach”. Cloudflare zaobserwował tysiące prób skanowania, a Palo Alto Networks szacuje liczbę podatnych serwerów na ponad 22,6 mln.

Specjaliści twierdzą, że wykrycie luk obnażyło zarówno słabość otwartego oprogramowania, jak i przełomową rolę modeli AI. Według badaczy z firmy Wiz podatny kod tkwił w PHP od niemal 20 lat, a jego wykorzystanie wymagało skomplikowanego łańcucha działań, będącego dotąd poza zasięgiem ludzkich analiz. Luki wykryto dopiero dzięki modelom AI. Firma Calif odnalazła podatność przy użyciu modelu GPT-5.6 Sol od OpenAI, a Wiz dokonał tego równolegle. OpenAI, które koordynowało dwumiesięczne prace nad łatkami, nazwało to „jednym z najpoważniejszych problemów bezpieczeństwa ostatnich lat”.

Administratorzy powinni rozważyć odłączenie usług

PHP Foundation przyznała się już do „porażki strukturalnej”. Pierwsze ślady błędu znano już w 2024 r., lecz prace grzęzły z powodu braku programistów i sporów o wsteczną zgodność. Zmiany wdrożono dopiero po ujawnieniu dowodu na zdalne wykonanie kodu w sierpniu i przecieku identyfikatorów CVE.

– Największym problemem nie jest wyłącznie wysoka ocena tych podatności, ale skala wykorzystania PHP. Wystarczy poważna luka w jednym elemencie, aby zagrożenie objęło tysiące systemów. Cyberprzestępcy nie muszą wybierać pojedynczych celów, wystarczy znaleźć serwer, który nie został zaktualizowany – tłumaczy Kamil Sadkowski, analityk cyberzagrożeń w ESET.

Ekspert zaleca jednak spokój i metodyczne działania. – Najważniejsze jest ustalenie, które systemy wykorzystują PHP, sprawdzenie wersji i wdrożenie oficjalnych poprawek. Jeśli aktualizacja nie jest możliwa od razu, administratorzy powinni rozważyć tymczasowe odłączenie usług. Trzeba również uważać na fałszywe narzędzia naprawcze, którymi hakerzy infekują komputery w trakcie medialnego zamieszania – podsumowuje Sadkowski.

Poprawki w wersjach 8.5.12, 8.4.27, 8.3.36 i 8.2.35 są już dostępne, a administratorzy na całym świecie przechodzą bezprecedensowy sprawdzian odporności.

Zdaniem dr Soterisa Demetriou, adiunkt w Katedrze Informatyki Imperial College London, najtrudniejsza część incydentu właśnie się zaczyna, ponieważ poprawka musi dotrzeć do milionów serwerów, z których wiele jest obsługiwanych przez małe zespoły lub nie jest już aktywnie utrzymywanych.

Nie tylko PHP?

Może się także okazać, że problem z PHP nie jest jedynym. Eksperci alarmują, że z zagrożeniem mierzą się inne filary internetu. Pilne poprawki bezpieczeństwa wydały firmy Oracle dla środowiska Java (CVE-2026-91403, krytyczna ocena 9.1/10) oraz konsorcjum Node.js. Obie technologie stanowią krwioobieg cyfrowej gospodarki: Java napędza systemy transakcyjne banków i serwery korporacyjne, a środowisko Node.js odpowiada za działanie chmurowych serwisów, interfejsów API oraz nowoczesnych aplikacji internetowych. W obu przypadkach wykryte luki umożliwiają zdalne wykonanie złośliwego kodu (RCE) bez konieczności logowania, co pozwala napastnikom na całkowite przejęcie kontroli nad serwerem i kradzież danych. Równoległe pojawienie się tak głębokich podatności w trzech tak kluczowych systemach to zdarzenie bez precedensu.