PHP, Node.js i LiteLLM. Czarna środa dla bezpieczeństwa internetu
By Paweł Lisowski
Spis treści
W środę, 21 października, administratorzy i zespoły bezpieczeństwa dostali kilka niezależnych powodów do pilnych aktualizacji. PHP naprawił dwa krytyczne błędy pozwalające na nieuwierzytelnione zdalne wykonanie kodu, Node.js opublikował poprawki dla luk wysokiego ryzyka, a LiteLLM potwierdził przejęcie procesu wydawniczego i dystrybucję złośliwej wersji pakietu.
To nie jeden skoordynowany atak na internet, lecz seria zdarzeń, które pojawiły się w krótkim odstępie. Wspólny wniosek jest praktyczny: samo korzystanie z popularnego i zaufanego narzędzia nie zastępuje kontroli wersji, źródeł pakietów oraz poświadczeń.
PHP: dwie krytyczne luki RCE
Projekt PHP opublikował 21 października poprawki dla CVE-2026-109618 i CVE-2026-109619. Według zespołu PHP oba błędy mogą prowadzić do zdalnego wykonania kodu bez uwierzytelnienia. Ryzyko dotyczy instalacji obsługujących żądania sieciowe, między innymi PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed.
Zaktualizowane zostały gałęzie PHP 8.5, 8.4, 8.3 i 8.2, odpowiednio do wersji 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Projekt podkreśla, że środki tymczasowe nie zastępują aktualizacji. Osoby utrzymujące starsze wydania powinny sprawdzić poprawki dostarczane przez dystrybucję lub dostawcę wsparcia.
Node.js poprawia cztery luki wysokiego ryzyka
W tym samym dniu Node.js wydał aktualizacje dla linii 22.x, 24.x i 26.x. Lista obejmuje między innymi dwa problemy z walidacją nazw hostów w certyfikatach TLS, błąd dekodera Brotli mogący prowadzić do zdalnego wykonania kodu oraz lukę w dns.resolve. Najnowsze wskazane wydania to Node.js 22.23.4, 24.22.1 i 26.12.1.
W komunikacie Node.js uwzględniono także aktualizację pakietu certyfikatów związaną z incydentem eMudhra. To ważne, ponieważ łańcuch zaufania przeglądarki i narzędzi serwerowych jest częścią bezpieczeństwa aplikacji, nawet jeśli sam kod aplikacji się nie zmienia.
LiteLLM: złośliwy pakiet i obrazy kontenerów
LiteLLM poinformował, że przejęty proces publikacji umieścił złośliwą wersję 1.107.0 w PyPI oraz w obrazach Docker i GHCR. Pakiet był dostępny w PyPI od 11:39 do 13:23 UTC, a skażone obrazy od 11:46 do 14:20 UTC. Firma opisała w nich malware kradnące dane uwierzytelniające i narzędzia do zdalnego wykonywania kodu.
W praktyce użytkownik, który uruchomił litellm==1.107.0 albo pobrał w tym oknie jeden z wymienionych tagów obrazów, powinien traktować środowisko jako potencjalnie naruszone. LiteLLM zaleca między innymi odtworzenie środowiska z czystego obrazu, przypięcie wersji 1.106.2 lub innej jawnie określonej wcześniejszej wersji oraz rotację kluczy dostępowych, do których proces mógł mieć dostęp.
eMudhra i problem z zaufaniem do certyfikatów
Google i eMudhra opisały kompromitację kluczy prywatnych ośmiu pośrednich urzędów certyfikacji. Google wyjaśnił, że klucze powstały z niewystarczającą losowością, co mogło pozwolić na tworzenie fałszywych certyfikatów HTTPS. Chrome zablokował dotknięte identyfikatory kluczy, a eMudhra podała, że żaden certyfikat końcowy nie został wydany przez te pośrednie urzędy.
Dla administratorów oznacza to konieczność sprawdzenia łańcuchów TLS i komunikatów dostawców systemów. Dla zwykłego użytkownika najważniejsze są aktualizacje przeglądarki i systemu. Szczegółową checklistę podstawowych działań opisaliśmy w poradniku zasad cyberbezpieczeństwa.
Co sprawdzić teraz
Administratorzy powinni najpierw zinwentaryzować wersje PHP, Node.js i LiteLLM, a następnie sprawdzić logi instalacji oraz pobrań obrazów. Po kontakcie z wersją 1.107.0 LiteLLM trzeba przyjąć, że dostępne w środowisku hasła, tokeny chmurowe i klucze dostawców mogły zostać ujawnione, więc sama podmiana pakietu nie wystarczy. W przypadku PHP i Node.js najbezpieczniejszym działaniem jest przejście na wydania wskazane w oficjalnych komunikatach.
Takie serie niezależnych problemów pokazują, dlaczego aktualizacje, przypinanie wersji, kontrola pochodzenia artefaktów i szybka rotacja sekretów powinny być stałym procesem, a nie reakcją uruchamianą dopiero po medialnym alarmie.
Źródła
Autor Artykułu
Paweł Lisowski
Paweł Lisowski - pasjonat technologii, komputerów i internetu. Od wielu lat śledzi rozwój sprzętu i oprogramowania, testuje nowe rozwiązania i dzieli się wiedzą z czytelnikami. Zafascynowany wpływem technologii na codzienne życie, tworzy praktyczne poradniki i inspiruje do świadomego korzystania z cyfrowego świata.