PHP planuje pilne wydanie poprawek bezpieczeństwa dla dwóch krytycznych podatności

Image: Ars Technica · Source

Opiekunowie PHP planują wydanie nagłych poprawek dla dwóch podatności o wysokim stopniu zagrożenia z oceną 9,2, dotyczących exploitu o nazwie PHP2Shell, który umożliwia zdalne wykonanie kodu na wielu platformach opartych na PHP.

PHP, szeroko stosowany język skryptowy open-source napędzający wiele stron internetowych i aplikacji, przygotowuje się do wydania nagłych poprawek bezpieczeństwa dla dwóch krytycznych podatności. Podatności, oznaczone jako CVE-2026-109618 i CVE-2026-109619, zostały ocenione przez opiekunów PHP z poziomem zagrożenia 9,2 na 10. Wydanie poprawek spodziewane jest niebawem, z ostrzeżeniami, że ujawnienie szczegółów lub dowodów aktywnego wykorzystania może przyspieszyć publikację.

Niezweryfikowany raport pojawił się wraz z filmem demonstracyjnym narzędzia exploita o nazwie PHP2Shell, które rzekomo pozwala na zdalne wykonanie kodu na serwerach internetowych obsługujących różne systemy zarządzania treścią i aplikacje oparte na PHP. Należą do nich popularne platformy takie jak WordPress 7.1.3, MediaWiki 1.46.2, phpBB 3.3.17, Magento 2.4.9, Joomla 6.2.0, Laravel wersje 8.83.29 i 13.36.0, Symphony 8.1.9, Drupal 11.4.10 oraz WHMCS 9.0.9.

Firma zajmująca się bezpieczeństwem watchTowr wskazała, że podatności dotyczą każdej wersji PHP począwszy od PHP 5, wydanego w 2004 roku, i niezależnie potwierdziła ich autentyczność. Kilka firm zajmujących się bezpieczeństwem, w tym Sansec, Webfence oraz Huntress, wydało ostrzeżenia, a Sansec przewiduje masowe próby eksploatacji niedługo po publikacji poprawek.

Administratorzy są nawoływani do proaktywnego przygotowania się poprzez zidentyfikowanie odpowiedzialnych za utrzymanie PHP, inwentaryzację aplikacji opartych na PHP, zaplanowanie okienka serwisowego — rekomendowane rozpoczęcie to 14:00 UTC, lecz możliwe wcześniej — oraz zapewnienie pełnych kopii zapasowych stron i baz danych. Eksperci także zalecają ścisłe monitorowanie oficjalnej strony PHP.net pod kątem aktualizacji lub przyspieszonego wydania poprawek.

Ponieważ PHP stanowi integralną część milionów stron internetowych i narzędzi wewnętrznych na całym świecie — szacuje się, że około 1,3 miliona hostów podłączonych do internetu może być podatnych — wpływ tych luk bezpieczeństwa może być rozległy. Organizacjom radzi się rozważenie tymczasowego odłączenia systemów nieistotnych do czasu zastosowania poprawek. Zachowanie czujności pozostaje kluczowe, ponieważ poprawki mogą zostać opublikowane w każdej chwili, aby ograniczyć aktywne zagrożenia.