PHP2Shell: dwie krytyczne luki w PHP znalezione z pomocą AI, polskie COI wyłącza strony BIP

Dwie krytyczne podatności w PHP, nazwane PHP2Shell, doprowadziły do tego, że rządy w kilku krajach czasowo wyłączyły część swoich stron internetowych. W czwartek 22 października dołączyła Polska: Centralny Ośrodek Informatyki (COI) wyłączył strony Biuletynu Informacji Publicznej działające w systemie SSDIP. Luki wykryto przy udziale modeli AI, co badacze z Wiz nazywają punktem zwrotnym.

Na czym polegają luki

Według Help Net Security CVE-2026-109618 to zdalne wykonanie kodu spowodowane uszkodzeniem pamięci przy jej braku. Brak pamięci może przerwać PHP, gdy wewnętrzne dane żądania są zainicjowane tylko częściowo, a późniejsze czyszczenie żądania może potraktować je jak poprawne. CVE-2026-109619 wynika z nieaktualnego stanu globalnego: dane należące do żądania mogą przetrwać zwolnienie pamięci, a kolejne żądanie na tym samym procesie może ich użyć, zanim zostaną zresetowane.

Działający exploit pokazał, że jedno nieuwierzytelnione żądanie może uruchomić atak, zanim wykona się jakikolwiek kod aplikacji. Podatna jest instalacja PHP obsługująca żądania webowe, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed, przy czym największe ryzyko dotyczy konfiguracji z mod_php. Polskie komunikaty wskazują, że problem dotyczy wersji od PHP 5.4 wzwyż oraz opartych na PHP systemów takich jak WordPress, Joomla i WooCommerce.

Rola sztucznej inteligencji

Fortune opisuje, że firma Calif, specjalizująca się w red teamingu z użyciem AI, znalazła pierwszy problem 1 sierpnia, korzystając z modelu OpenAI GPT-5.6 Sol w ramach inicjatywy Patch the Planet. Następnie OpenAI samodzielnie zbadało sprawę, znalazło kolejne elementy i zorganizowało koalicję. Wiz niezależnie znalazł pierwszy problem 19 sierpnia, używając połączenia Gemini 4 Argon od Google, GPT-5.6 Sol od OpenAI oraz Wiz Atlas.

Według Help Net Security Wiz podaje, że błędy istniały od dekad, ale ich wykorzystanie wymagało wyjątkowo złożonego łańcucha kroków. Modele AI z czołówki miały znacząco obniżyć tę barierę. Fortune cytuje też Wiz, który określa to jako moment zwrotny dla AI.

Skoro dotyczy to 70 proc. internetu, skali wpływu php2shell nie da się przecenić - Wiz, firma zajmująca się cyberbezpieczeństwem

Ataki i reakcje rządów

Cloudflare zgłosił wczesne ataki po tym, jak informacje wyciekły przed oficjalną łatką. Amazon Threat Intelligence podaje, że jego sieć honeypotów MadPot zarejestrowała próbę wykorzystania luki 17 października z adresu IP powiązanego z komercyjną usługą anonimizacji. Nie wiadomo, jak atakujący zdobył szczegóły w czasie embarga.

Według Fortune, powołującego się na Reutersa, niektóre agencje rządowe w Holandii i Finlandii wyłączyły strony, a o aktualizacji apelowali m.in. FBI, NSA i CERT-EU. Brytyjskie NCSC zachęca, by rozważyć odłączenie od sieci systemów, których nie da się od razu załatać. Cloudflare wdrożył wstępne reguły WAF dla znanych wektorów ataku, dostępne także w darmowym planie. Dyrektor ds. technologii firmy zaznaczył jednak, że to zabezpieczenie tymczasowe, a administratorzy powinni natychmiast zainstalować poprawki.

Co zrobiła Polska

Komunikat Ministerstwa Cyfryzacji z 22 października informuje, że COI zdecydował o czasowym wyłączeniu stron BIP w systemie SSDIP, aby wdrożyć niezbędne zabezpieczenia. Wyłączenie obejmuje tylko serwis ssdip.bip.gov.pl. Resort zaznacza, że jedyną skuteczną ochroną jest instalacja poprawionej wersji PHP, a ślady wykorzystania luki należy zgłaszać do CERT Polska przez formularz incydent.cert.pl.

Według My Company Polska wicepremier i minister cyfryzacji Krzysztof Gawkowski wydał tego dnia rekomendację dla podmiotów krajowego systemu cyberbezpieczeństwa, w tym urzędów i firm z sektorów takich jak energetyka, transport i bankowość. Zaleca w niej natychmiastową aktualizację PHP. Właściciele gotowych urządzeń i aplikacji od zewnętrznych dostawców mają czekać na nowe wersje od producentów i wdrożyć je od razu po premierze, a do tego czasu zastosować zmiany w ustawieniach PHP ograniczające ryzyko.

Co dalej dla administratorów

Poprawki dla PHP to dopiero początek. Wordfence ostrzega, jak podaje rp.pl, że automatyczne aktualizacje WordPressa nie zainstalują łatki PHP, więc właściciele stron muszą ustalić, kto odpowiada za aktualizowanie PHP. Help Net Security zauważa też, że dystrybucje Linuksa i dostawcy wsparcia długoterminowego dostali łatki przed publicznym wydaniem, więc warto sprawdzić pakiety u własnego dostawcy.

Jest mnóstwo wbudowanych instalacji, które nigdy nie zostaną załatane. Zbyt wiele zapomnianych, nieutrzymywanych aplikacji. Przy tej luce będzie długi ogon - Hal Pomeranz, ekspert ds. informatyki śledczej