Pilny komunikat dla właścicieli stron internetowych. Wykryto groźne luki
- Wykryto dwie krytyczne luki bezpieczeństwa w PHP.
- To technologia wykorzystywana przez wiele stron internetowych, sklepów i portali.
- Cyberprzestępcy mogą wykorzystać błędy do atakowania serwerów.
- 21 października 2026 roku udostępniono pilne poprawki.
- Zagrożone mogą być również starsze instalacje PHP.
Eksperci ostrzegają przed cyberatakami
Problem dotyczy PHP, czyli technologii wykorzystywanej do działania wielu stron internetowych. Korzystają z niej między innymi witryny oparte na WordPressie oraz liczne sklepy internetowe. W oprogramowaniu wykryto dwa poważne błędy bezpieczeństwa. Otrzymały one oznaczenia CVE-2026-109618 oraz CVE-2026-109619.
Obie luki zostały ocenione na 9,2 punktu w dziesięciostopniowej skali zagrożeń. Oznacza to, że są uznawane za krytyczne. Według twórców PHP cyberprzestępcy mogą wykorzystać te błędy do zdalnego uruchomienia kodu na podatnym serwerze. Co szczególnie niebezpieczne, atak może być możliwy bez wcześniejszego logowania.
W praktyce oznacza to ryzyko przejęcia kontroli nad zaatakowanym serwerem, a także zagrożenie dla znajdujących się na nim stron i danych. Nie oznacza to jednak, że każda strona korzystająca z PHP została zaatakowana.
Pilne poprawki zostały już udostępnione
W środę, 21 października, zespół PHP opublikował aktualizacje usuwające wykryte luki. Poprawki są dostępne w następujących wersjach: PHP 8.5.12, PHP 8.4.27, PHP 8.3.36, PHP 8.2.35.
Twórcy oprogramowania zalecają jak najszybsze przeprowadzenie aktualizacji. Sprawa stała się szczególnie pilna po tym, jak informacje o zagrożeniu pojawiły się w internecie przed planowaną publikacją poprawek. Eksperci obawiają się, że cyberprzestępcy mogą próbować wykorzystywać ujawnione błędy do atakowania stron internetowych.
Starsze strony internetowe również mogą być zagrożone
Szczególną uwagę powinni zachować właściciele witryn korzystających ze starszych wersji PHP. Wersje 8.1 i wcześniejsze nie otrzymują już standardowych aktualizacji od twórców tego oprogramowania. Nie oznacza to jednak, że wszystkie takie instalacje pozostają bez żadnej możliwości zabezpieczenia. Część dostawców systemów i usług hostingowych może udostępniać własne poprawki również dla starszych wersji. W innych przypadkach konieczne będzie przejście na nowsze oprogramowanie.
Co powinni zrobić właściciele stron?
Przede wszystkim należy sprawdzić, z jakiej wersji PHP korzysta serwer, i upewnić się, że zainstalowano odpowiednie poprawki. Przed aktualizacją warto również przygotować kopię zapasową strony. Osoby, które korzystają z usług firm hostingowych, powinny sprawdzić, czy dostawca przeprowadził już niezbędne aktualizacje. Ważne jest również to, że samo zaktualizowanie WordPressa lub innego systemu obsługującego stronę nie musi rozwiązać problemu. Luki znajdują się bowiem w PHP działającym na serwerze. Eksperci zalecają szybkie działanie, ponieważ odkładanie aktualizacji może zwiększać ryzyko cyberataku.
Wyciek danych z MyDr. Firma wydała nowy komunikat
Ważny termin dla użytkowników mObywatela. Ministerstwo wydało ostrzeżenie
Żabka potężnie zhakowana? Niepokojące doniesienia
Pilne ostrzeżenie dla użytkowników Gmaila
Rośnie liczba cyberataków w Niemczech. Tysiące nowych incydentów
