Krytyczne luki w PHP. Administratorzy muszą pilnie zaktualizować serwery
By Paweł Lisowski
Spis treści
Administratorzy serwerów PHP powinni potraktować najnowszą aktualizację jako pilną. Projekt PHP opublikował poprawki dwóch krytycznych luk, które mogą prowadzić do zdalnego wykonania kodu bez uwierzytelnienia. Problem dotyczy samego silnika PHP, a nie konkretnego systemu CMS.
Co dokładnie naprawiono?
Wydania PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35 usuwają podatności oznaczone jako CVE-2026-109618 oraz CVE-2026-109619. Według oficjalnego komunikatu PHP błędy dotyczą obsługi pamięci podczas sytuacji wyjątkowych, między innymi błędów braku pamięci i nieprawidłowego stanu danych pozostawionego między żądaniami. W sprzyjających warunkach nieuwierzytelnione żądanie może doprowadzić do wykonania kodu na serwerze.
Projekt wymienia jako narażone instalacje obsługujące żądania internetowe, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. To ważne rozróżnienie: aktualizacja WordPressa, Drupala czy Joomli nie zastępuje aktualizacji PHP na serwerze.
Dlaczego skala problemu jest większa niż w typowej luce wtyczki?
PHP jest warstwą, na której działa wiele popularnych witryn i aplikacji internetowych. Wiz wskazuje, że podatne ścieżki znajdują się w rdzeniu języka i mogą dotyczyć różnych aplikacji uruchamianych na tej samej platformie. W praktyce administrator powinien sprawdzić nie tylko własny kod, lecz także wersję PHP dostarczaną przez hosting, obraz kontenera, pakiet systemowy oraz konfigurację serwera WWW.
To również przypadek, w którym sztuczna inteligencja odegrała podwójną rolę. Wiz opisał wykorzystanie agenta Wiz Atlas oraz modeli Gemini 4 Argon i GPT-5.6 Sol podczas badań. OpenAI poinformowało z kolei, że firma Calif znalazła jedną z luk w ramach inicjatywy Patch the Planet. Badacze współpracowali z zespołem PHP przed publicznym ujawnieniem, aby przygotować i przetestować poprawki.
Co zrobić, jeśli prowadzisz stronę lub serwer?
- Sprawdź rzeczywistą wersję PHP na serwerze, w PHP-FPM, kontenerze lub panelu hostingu. Wersja lokalna na komputerze nie musi być wersją używaną przez witrynę.
- Zainstaluj właściwe wydanie naprawcze: PHP 8.5.12, 8.4.27, 8.3.36 albo 8.2.35. W przypadku pakietu systemowego skorzystaj z aktualizacji dostawcy dystrybucji.
- Po aktualizacji zrestartuj procesy PHP i sprawdź, czy wszystkie pule PHP-FPM oraz kontenery korzystają już z poprawionej wersji.
- Jeśli używasz PHP 8.1 lub starszego, zaplanuj migrację. Te gałęzie nie otrzymują już poprawek od projektu PHP. Niektórzy dostawcy utrzymania mogą oferować backporty, ale trzeba potwierdzić to u konkretnego dostawcy.
- Przejrzyj logi po wdrożeniu. Sama aktualizacja nie odpowiada na pytanie, czy serwer był wcześniej atakowany. Nietypowe procesy, zmiany plików i nieznane konta powinny zostać zbadane przez administratora.
PHP podkreśla, że pełnym rozwiązaniem jest aktualizacja. Tymczasowe ograniczenia konfiguracji mogą zmniejszyć ekspozycję na niektóre ścieżki, ale nie czynią podatnej instalacji bezpieczną. Po publicznym ujawnieniu szczegółów liczy się czas, dlatego właściciele witryn korzystających z zarządzanego hostingu powinni poprosić operatora o potwierdzenie wersji i zakresu wdrożonej poprawki.
Źródła
Autor Artykułu
Paweł Lisowski
Paweł Lisowski - pasjonat technologii, komputerów i internetu. Od wielu lat śledzi rozwój sprzętu i oprogramowania, testuje nowe rozwiązania i dzieli się wiedzą z czytelnikami. Zafascynowany wpływem technologii na codzienne życie, tworzy praktyczne poradniki i inspiruje do świadomego korzystania z cyfrowego świata.