Alarm w Internecie. Dwie krytyczne luki mogą otworzyć drogę do serwerów bez znajomości hasła

Eksperci ds. cyberbezpieczeństwa ostrzegają przed dwiema krytycznymi podatnościami w PHP, czyli technologii wykorzystywanej przez ogromną liczbę stron internetowych. Według informacji opublikowanych przez serwis Sekurak jedna z luk może umożliwiać wykonanie nieautoryzowanego kodu na serwerze, a druga odczytywanie danych z jego pamięci. Zagrożone mogą być również witryny, których właściciele nie zdają sobie sprawy z istnienia problemu.

W środę, 21 października 2026 roku, polski serwis zajmujący się cyberbezpieczeństwem Sekurak poinformował o wykryciu dwóch szczególnie niebezpiecznych podatności w PHP Core.

PHP to jeden z najpopularniejszych języków programowania wykorzystywanych do tworzenia stron internetowych i aplikacji działających na serwerach. Korzystają z niego między innymi liczne systemy zarządzania treścią, sklepy internetowe i serwisy informacyjne.

Z tego powodu informacje o krytycznych błędach bezpieczeństwa w tej technologii mają znaczenie nie tylko dla programistów, lecz także dla administratorów stron oraz firm hostingowych.

Chyba mamy najgrubszą podatność tego roku. A dokładnie 2 krytyczne podatności w PHP Core

❌ Luki dają możliwość wykonania kodu na serwerze, bez uwierzytelnienia (unauth RCE)

❌ Nawet nie osiągając RCE można pobierać pamięć z serwera (a tam hasła, klucze API, …)

❌ Jak informują badacze z Wiz – wystarczy aplikacja hello world napisana w PHP, a wystawiona do Internetu (exploitacja nie bazuje na luce w kodzie przygotowanym w PHP)

❌ Zostały wypuszczone łatki na PHP – linie 8.2.x 8.3.x 8.4.x 8.5.x. Poprzednie wersje też są podatne – tutaj brak łatek (bo nie są oficjalnie wspierane). Podatne są PHP od wersji 5.4.x

❌ Podatności zostały wykryte z bardzo mocnym wsparciem Gemini 4 Argon / GPT-5.6 Sol

❌ ID podatności: CVE-2026-109618 / CVE-2026-109619

❌ Łatajcie się ASAP!

— Sekurak (@Sekurak) October 21, 2026

Dwie krytyczne podatności. Atakujący nie musi znać hasła

Według informacji przekazanych przez Sekurak pierwsza z podatności może umożliwiać zdalne wykonanie kodu na serwerze, określane skrótem RCE.

To szczególnie niebezpieczny rodzaj luki, ponieważ w określonych warunkach pozwala osobie atakującej uruchamiać nieautoryzowane instrukcje na podatnym systemie.

Co istotne, eksperci wskazują na możliwość wykorzystania błędu bez wcześniejszego uwierzytelnienia.

Oznacza to, że potencjalny napastnik nie musi dysponować loginem ani hasłem administratora.

Druga podatność ma umożliwiać odczytywanie fragmentów pamięci serwera. W zależności od tego, jakie informacje znajdują się w pamięci w chwili ataku, może to prowadzić do ujawnienia poufnych danych.

Wśród potencjalnie zagrożonych informacji mogą znaleźć się hasła, tokeny dostępowe czy klucze API.

Nie oznacza to jednak, że dane wszystkich użytkowników serwisów korzystających z PHP zostały ujawnione.

Wystarczy prosta aplikacja? Eksperci ostrzegają przed skalą zagrożenia

Szczególnie niepokojące są informacje dotyczące warunków wykorzystania błędów.

Według badaczy z firmy Wiz, na których powołuje się Sekurak, podatność może występować nawet w przypadku bardzo prostej aplikacji PHP udostępnionej w internecie.

Oznaczałoby to, że zagrożenie nie musi wynikać z błędów popełnionych przez autora konkretnej strony.

Problem może znajdować się bezpośrednio w mechanizmach języka PHP.

To istotna różnica, ponieważ właściciel witryny może korzystać z poprawnie napisanej aplikacji, a mimo to pozostawać narażony na atak ze względu na podatną wersję oprogramowania serwerowego.

Są już numery podatności. Administratorzy powinni je znać

Opisywane błędy oznaczono identyfikatorami:

• CVE-2026-109618
• CVE-2026-109619

Numery CVE pozwalają jednoznacznie identyfikować podatności w bazach bezpieczeństwa oraz komunikatach producentów oprogramowania.

Dzięki nim administratorzy mogą sprawdzać, czy wykorzystywane przez nich wersje PHP są zagrożone i czy udostępniono odpowiednie aktualizacje.

Udostępniono poprawki. Nie wszystkie serwery są jednak bezpieczne

Z informacji opublikowanych przez Sekurak wynika, że przygotowano już poprawki dla wspieranych gałęzi PHP.

W komunikacie wymieniono wersje 8.2.x, 8.3.x, 8.4.x oraz 8.5.x.

Podatności mogą dotyczyć także starszych wydań, w tym wersji od PHP 5.4, które nie są już oficjalnie wspierane.

Dla właścicieli serwisów korzystających z przestarzałego środowiska oznacza to szczególnie poważny problem.

Sama aktualizacja strony internetowej, wtyczek czy szablonu może nie wystarczyć, jeśli na serwerze nadal działa podatna wersja PHP.

W takich przypadkach konieczne może być przeprowadzenie aktualizacji środowiska serwerowego lub migracji aplikacji do wspieranej wersji.

Co powinni zrobić właściciele stron internetowych?

Najważniejsze jest sprawdzenie wersji PHP działającej na serwerze oraz komunikatów bezpieczeństwa dostawcy hostingu.

Administratorzy powinni ustalić, czy wykorzystywana wersja zawiera poprawki dla obu wskazanych podatności.

Chyba mamy najgrubszą podatność tego roku. A dokładnie 2 krytyczne podatności w PHP Core

❌ Luki dają możliwość wykonania kodu na serwerze, bez uwierzytelnienia (unauth RCE)

❌ Nawet nie osiągając RCE można pobierać pamięć z serwera (a tam hasła, klucze API, …)

❌ Jak informują badacze z Wiz – wystarczy aplikacja hello world napisana w PHP, a wystawiona do Internetu (exploitacja nie bazuje na luce w kodzie przygotowanym w PHP)

❌ Zostały wypuszczone łatki na PHP – linie 8.2.x 8.3.x 8.4.x 8.5.x. Poprzednie wersje też są podatne – tutaj brak łatek (bo nie są oficjalnie wspierane). Podatne są PHP od wersji 5.4.x

❌ Podatności zostały wykryte z bardzo mocnym wsparciem Gemini 4 Argon / GPT-5.6 Sol

❌ ID podatności: CVE-2026-109618 / CVE-2026-109619

❌ Łatajcie się ASAP!

— Sekurak (@Sekurak) October 21, 2026

Warto również zweryfikować, czy dostawca usług hostingowych wdrożył odpowiednie aktualizacje bezpieczeństwa.

W przypadku serwerów zarządzanych samodzielnie konieczne jest przeprowadzenie aktualizacji zgodnie z zaleceniami producenta i wcześniejsze wykonanie kopii zapasowej.

Eksperci zalecają także monitorowanie logów oraz nietypowej aktywności, która mogłaby świadczyć o próbach wykorzystania podatności.

Czy użytkownicy internetu powinni zmieniać hasła?

Samo wykrycie podatności w PHP nie oznacza, że doszło do wycieku danych z konkretnej strony.

Nie ma więc podstaw do twierdzenia, że wszyscy internauci muszą natychmiast zmieniać hasła.

Sytuacja wygląda inaczej w przypadku serwisów, w których administratorzy potwierdzą naruszenie bezpieczeństwa.

Wtedy konieczne mogą być dodatkowe działania, takie jak unieważnienie tokenów, zmiana kluczy dostępowych i poinformowanie użytkowników.

Najważniejszy komunikat skierowany jest obecnie do administratorów i dostawców hostingu: należy pilnie sprawdzić, czy serwery korzystają z wersji PHP zabezpieczonych przed wskazanymi podatnościami.