PHP2Shell zagraża serwerom internetowym
O zagrożeniach opowiedział kanał Bald TV w filmie poświęconym bezpieczeństwu internetu. Najważniejsze informacje dotyczące PHP potwierdzają komunikaty twórców oprogramowania i NSA.
Luki oznaczono jako CVE-2026-109618 i CVE-2026-109619. Są określane wspólną nazwą PHP2Shell. Dotyczą samego silnika PHP, wykorzystywanego m.in. przez strony działające na WordPressie, Drupalu i Joomli. Skuteczny atak może pozwolić na wykonanie kodu na serwerze lub odczyt poufnych danych z jego pamięci.
NSA: aktualizacja albo czasowe odłączenie systemu
W komunikacie z 21 października NSA wezwała organizacje do sprawdzenia, które usługi korzystają z podatnych wersji PHP, i priorytetowego instalowania poprawek.
Jeżeli natychmiastowa aktualizacja nie jest możliwa, agencja zaleca czasowe wyłączenie zagrożonego systemu z dostępu sieciowego do momentu jego zabezpieczenia. Ostrzeżenie jest skierowane przede wszystkim do administratorów i operatorów usług, a nie do użytkowników, którzy jedynie przeglądają strony.
Twórcy PHP opublikowali poprawione wersje 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Zaznaczają, że zagrożone są instalacje obsługujące żądania internetowe.
AI pomogła opracować działające ataki testowe
Firma Wiz, uczestnicząca w badaniach, potwierdza wykorzystanie zaawansowanych modeli sztucznej inteligencji. Według badaczy AI ułatwiła analizę skomplikowanych błędów pamięci oraz przygotowanie działających demonstracji ataku.
Wiz wykazał możliwość zdalnego wykonania kodu bez uwierzytelnienia na testowych instalacjach popularnych systemów zarządzania treścią. Badacze podkreślają jednak, że dostosowanie ataku do różnych konfiguracji wymaga analizy i testów.
Przywoływane w filmie Bald TV „70 proc. internetu” odnosi się do rozpowszechnienia PHP. Nie jest to liczba skutecznie zaatakowanych stron ani dowód, że wszystkie można przejąć jednym sposobem.
Osobny incydent: klucz certyfikatu miał wartość „4”
Drugi problem dotyczy firmy eMudhra. Cloudflare potwierdził kompromitację kluczy ośmiu certyfikatów pośrednich. Takie certyfikaty uczestniczą w potwierdzaniu tożsamości serwerów i zaufania do połączeń.
Według analizy Aikido wszystkie osiem kluczy miało wartości mniejsze niż 256, a jeden był liczbą „4”. Tak słabe klucze można łatwo odtworzyć.
Nie oznacza to, że wszystkie banki i urzędy były zabezpieczone „hasłem 4”. Podrobiony certyfikat mógłby posłużyć do podszywania się pod serwer, ale wykorzystanie go wymaga dodatkowych warunków, m.in. możliwości przechwycenia ruchu. Aikido wskazuje też na znaczenie mechanizmów kontroli certyfikatów stosowanych przez przeglądarki.
Co powinni zrobić właściciele stron i internauci?
Operatorzy stron powinni pilnie potwierdzić u dostawcy hostingu, czy środowisko PHP zostało zabezpieczone. Sama aktualizacja WordPressa lub jego wtyczek nie zastępuje poprawki silnika PHP.
W przypadku incydentu eMudhra konieczne może być także uaktualnienie magazynów zaufanych certyfikatów, bibliotek i obrazów kontenerów. Cloudflare podkreśla, że problem dotyczy uwierzytelniania certyfikatami, a nie złamania algorytmów szyfrowania TLS. Użytkownikom Aikido zaleca aktualizowanie systemów operacyjnych i przeglądarek.
