Pilny komunikat polskiego wojska. Wykryto krytyczne zagrożenie

Wojska Obrony Cyberprzestrzeni opublikowały pilne ostrzeżenie dotyczące dwóch krytycznych luk bezpieczeństwa. Zagrożenie jest na tyle poważne, że cyberprzestępcy mogą wykorzystać je do zdalnego uruchomienia kodu na podatnym serwerze, nawet bez znajomości hasła. Wojskowi eksperci apelują o natychmiastowe aktualizacje, a w skrajnych przypadkach zalecają nawet odłączenie zagrożonych aplikacji od publicznego internetu.

W związku z pojawieniem się informacji o podatnościach CVE-2026-109618 oraz CVE-2026-109619 związanych z PHP (podatne są wszystkie wersje od 5.4) zalecamy wszystkim podmiotom wykorzystującym tę technologię jej niezwłoczną aktualizację. Wymienione podatności umożliwiają zdalne wykonanie kodu na podatnym serwerze (RCE).

Oficjalne rekomendacje autorów PHP można znaleźć na stronie: https://t.co/1Ckar1B7E1. Poprawki dostępne są wyłącznie dla wersji 8.x. Obecnie nie ma oficjalnych informacji dotyczących planowanego objęcia poprawkami bezpieczeństwa starszych wersji.

W sytuacjach, gdy natychmiastowe wdrożenie poprawek nie jest możliwe, zaleca się rozważenie odseparowania podatnych aplikacji od sieci publicznych – do czasu wdrożenia odpowiednich poprawek.

— Wojska Obrony Cyberprzestrzeni (@CyberWojska) October 21, 2026

W środę, 21 października 2026 roku, Wojska Obrony Cyberprzestrzeni wydały komunikat, który powinien zainteresować właścicieli stron internetowych, administratorów serwerów, przedsiębiorców oraz instytucje korzystające z infrastruktury informatycznej.

Chodzi o dwie krytyczne podatności oznaczone identyfikatorami CVE-2026-109618 oraz CVE-2026-109619.

Obie dotyczą PHP, technologii wykorzystywanej do obsługi ogromnej liczby stron internetowych, sklepów i aplikacji.

Wojsko ostrzega. Przestępcy mogą wykorzystać groźną lukę

Z informacji przekazanych przez Wojska Obrony Cyberprzestrzeni wynika, że wykryte podatności umożliwiają zdalne wykonanie kodu na podatnym serwerze.

To jeden z najpoważniejszych scenariuszy w cyberbezpieczeństwie.

W praktyce oznacza możliwość uruchomienia przez atakującego nieautoryzowanych instrukcji na systemie, który nie został odpowiednio zabezpieczony.

W zależności od konfiguracji serwera, jego uprawnień oraz dodatkowych mechanizmów ochronnych konsekwencje mogą być bardzo poważne.

Zagrożone mogą być nie tylko same strony internetowe, ale również działające na serwerach aplikacje i przechowywane przez nie informacje.

Szczególnie niepokojące jest to, że wykorzystanie jednej z opisanych podatności może nie wymagać wcześniejszego uwierzytelnienia.

Nie chodzi o pojedynczą stronę. Problem dotyczy popularnej technologii

Wojskowi eksperci wskazują, że podatne są wersje PHP od 5.4.

To istotna informacja, ponieważ PHP jest powszechnie wykorzystywane w internecie, także przez serwisy informacyjne, sklepy internetowe oraz systemy obsługi klientów.

Nie oznacza to jednak, że każda strona korzystająca z PHP jest obecnie możliwa do przejęcia.

Rzeczywiste zagrożenie zależy od wersji oprogramowania, zastosowanych poprawek oraz konfiguracji środowiska.

Największy problem mogą mieć administratorzy systemów działających na przestarzałych wersjach PHP, które nie otrzymują już standardowych aktualizacji bezpieczeństwa.

Wojsko zaleca natychmiastowe działania. Wskazano nawet odłączenie aplikacji

W oficjalnym komunikacie Wojska Obrony Cyberprzestrzeni zaapelowały do wszystkich podmiotów korzystających z PHP o niezwłoczną aktualizację.

Poprawki bezpieczeństwa zostały udostępnione dla wspieranych wersji z rodziny PHP 8.x.

Sytuacja wygląda znacznie gorzej w przypadku starszych instalacji.

Jak podkreślono w komunikacie, obecnie nie ma oficjalnych informacji o planowanym udostępnieniu poprawek dla starszych wersji PHP.

Dlatego wojskowi eksperci przedstawili dodatkowe zalecenie.

Jeżeli natychmiastowa aktualizacja nie jest możliwa, należy rozważyć odseparowanie podatnych aplikacji od sieci publicznych do czasu wdrożenia odpowiednich zabezpieczeń.

To szczególnie istotne ostrzeżenie. Odłączenie aplikacji od publicznego internetu jest poważnym środkiem bezpieczeństwa, który może ograniczyć dostępność usługi, ale jednocześnie zmniejszyć ryzyko wykorzystania podatności.

Co może się stać, jeśli administrator zignoruje ostrzeżenie?

Podatności pozwalające na zdalne wykonanie kodu mogą prowadzić do poważnych incydentów bezpieczeństwa.

W zależności od warunków ataku i uprawnień działającej aplikacji możliwe konsekwencje obejmują:

• Nieautoryzowane wykonywanie poleceń na serwerze.
• Zakłócenie działania strony internetowej lub aplikacji.
• Uzyskanie dostępu do informacji dostępnych dla podatnego procesu.
• Wykorzystanie przejętego środowiska do dalszych działań przestępczych.
• Straty finansowe i wizerunkowe związane z przestojem usług.

Nie oznacza to, że każdy z tych scenariuszy już wystąpił. Komunikat wojska dotyczy wykrytych podatności i konieczności zabezpieczenia systemów, a nie potwierdzonego masowego przejęcia polskich serwerów.

Kto powinien zareagować na ostrzeżenie?

Komunikat skierowany jest przede wszystkim do administratorów infrastruktury informatycznej, firm hostingowych oraz podmiotów utrzymujących własne aplikacje internetowe.

Właściciele stron, którzy korzystają z zewnętrznego hostingu, powinni ustalić, czy dostawca zaktualizował środowisko PHP.

Sama aktualizacja systemu zarządzania treścią, na przykład WordPressa, nie musi wystarczyć, jeśli podatna wersja PHP nadal działa na serwerze.

Administratorzy powinni sprawdzić zarówno wersję oprogramowania, jak i dostępność odpowiednich poprawek.

Warto również monitorować nietypowe zdarzenia w logach serwerowych oraz komunikaty producentów i zespołów reagowania na incydenty.

Poważne ostrzeżenie dla polskiego internetu

Komunikat Wojsk Obrony Cyberprzestrzeni pokazuje, jak istotne jest szybkie reagowanie na błędy bezpieczeństwa w technologiach stanowiących podstawę działania współczesnych stron internetowych.

W tym przypadku nie chodzi o zwykłą usterkę powodującą błędy wyświetlania witryny.

Opisane podatności mogą umożliwiać wykonywanie nieautoryzowanego kodu na serwerze, dlatego ich usunięcie powinno być traktowane priorytetowo.

Najważniejsza informacja jest jednoznaczna: administratorzy korzystający z PHP powinni niezwłocznie zweryfikować bezpieczeństwo swoich serwerów. Zwlekanie z aktualizacją może oznaczać pozostawienie poważnej luki w zabezpieczeniach.

Źródło: oficjalny komunikat Wojsk Obrony Cyberprzestrzeni z 21 października 2026 roku; zalecenia bezpieczeństwa projektu PHP.