Globalna awaria PHP. Krytyczne luki zmusiły rządy do wyłączenia stron

Rządowe strony internetowe w kilku państwach zostały prewencyjnie wyłączone po ujawnieniu dwóch krytycznych luk w PHP, technologii wykorzystywanej przez znaczną część światowej sieci. We Francji niedostępne były strony prefektur, a w Holandii własny serwis wyłączyło nawet krajowe centrum cyberbezpieczeństwa. Poprawki są już dostępne, a ostrzeżenie i zalecenia dla administratorów opublikował również CERT Polska.

We Francji wyłączono strony prefektur

Wyłączenia rozpoczęły się w środę 21 października 2026 r., gdy administratorzy przygotowywali się do usunięcia podatności umożliwiających w określonych warunkach zdalne uruchomienie kodu na serwerze. Środki ostrożności zastosowały instytucje publiczne między innymi w Niemczech, Holandii, Belgii, Finlandii i Francji. Twórcy PHP zapowiedzieli pilną aktualizację dzień wcześniej, a w środę udostępnili wydania usuwające obie luki.

Według relacji „Le Figaro” problemy z dostępem dotyczyły francuskiego serwisu podatkowego, paryskiej prefektury policji i niemal wszystkich stron prefektur. Dziennik odnotował również niedostępność Météo-France oraz stron niektórych banków, w tym BoursoBank.

Francuskie Ministerstwo Spraw Wewnętrznych przekazało, że na wniosek agencji cyberbezpieczeństwa ANSSI skierowało wszystkie swoje strony narażone na krytyczną podatność do prewencyjnych prac utrzymaniowych. Resort zapowiadał instalację aktualizacji po udostępnieniu poprawki.

W Holandii krajowe centrum cyberbezpieczeństwa NCSC potwierdziło, że z ostrożności czasowo wyłączyło własną stronę. Reuters poinformował ponadto o wyłączeniach obejmujących między innymi serwis portu w Rotterdamie, portal administracji Overheid.nl oraz strony części szpitali. W Finlandii państwowy dostawca usług informatycznych Valtori informował o prewencyjnym odłączeniu publicznych usług sieciowych administracji.

Krytyczne luki w PHP mogą pozwolić na przejęcie serwera

Podatności otrzymały oznaczenia CVE-2026-109618 i CVE-2026-109619, a obie oceniono na 9,2 punktu w dziesięciostopniowej skali CVSS 4.0. Należą więc do kategorii krytycznych i mogą umożliwić wykonanie kodu bez wcześniejszego uwierzytelnienia napastnika. Z komunikatów zespołu PHP wynika jednak, że warunki skutecznego ataku zależą między innymi od sposobu uruchomienia PHP, konfiguracji serwera i zachowania aplikacji.

PHP działa po stronie serwera, gdzie przygotowuje treść strony, obsługuje logowanie i komunikuje się z bazami danych, zanim użytkownik zobaczy rezultat w przeglądarce. Błąd w tej warstwie może zatem zagrozić wielu różnym serwisom, które korzystają z tego samego oprogramowania. W podatnej konfiguracji wykonanie złośliwego kodu z uprawnieniami procesu obsługującego witrynę może prowadzić do ujawnienia danych, modyfikacji serwisu lub zakłócenia jego działania.

Skalę zależności pokazują dane W3Techs z 21 października 2026 r.: PHP wykorzystywało 69,3 proc. witryn, których język programowania po stronie serwera udało się rozpoznać. Korzystają z niego między innymi WordPress, Drupal, Joomla i Magento, a sam WordPress obsługiwał według tego samego serwisu 39,6 proc. wszystkich badanych stron. Udział danej technologii w rynku nie jest jednak liczbą skutecznie zaatakowanych ani wyłączonych witryn.

Cloudflare poinformował na swoim blogu o zaobserwowaniu ruchu związanego z próbami wykorzystania podatności oraz o modyfikowaniu przez napastników sposobów ataku. Firma wdrożyła reguły ochronne w zaporze aplikacyjnej, ale nadal zaleca instalację poprawek PHP.

Poprawki PHP są już dostępne

Zespół PHP udostępnił poprawione wydania 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35, odpowiednio dla czterech wspieranych gałęzi oprogramowania. W komunikacie wezwał do natychmiastowej aktualizacji i zaznaczył, że środki ograniczające ryzyko nie zapewniają pełnego usunięcia zagrożenia. Administratorzy korzystający z pakietów dostarczanych przez dystrybucje systemów operacyjnych powinni sprawdzić dostępność poprawek także u swoich dostawców.

Ostrzeżenie opublikował również CERT Polska, który zalecił zinwentaryzowanie wszystkich usług wykorzystujących PHP i przygotowanie do natychmiastowego wdrożenia aktualizacji. W komunikacie poprzedzającym publikację poprawek wskazał także możliwość tymczasowego wyłączenia usług dostępnych z internetu, o ile nie zakłóci to działalności organizacji. Przypomniał przy tym, że problem dotyczy również systemów korzystających z popularnych aplikacji opartych na PHP, a nie tylko stron napisanych od podstaw.

Dla właściciela serwisu oznacza to potrzebę ustalenia, kto odpowiada za aktualizację PHP na jego hostingu. Zaktualizowany WordPress lub jego dodatki nie są dowodem, że poprawkę otrzymało także środowisko, w którym działa strona. Brytyjskie NCSC zaleca identyfikację instalacji PHP w całej infrastrukturze, stosowanie aktualizacji dostawców oraz rozważenie odłączenia systemu, jeżeli nie można odpowiednio szybko wdrożyć poprawek lub wskazanych zabezpieczeń.

Przywrócenie dostępności strony i sprawdzenie, czy wcześniej nie została naruszona, to osobne zadania administratorów. Brytyjskie NCSC wskazuje na potrzebę szukania śladów włamania i pozostawionych przez napastników mechanizmów dostępu w sytuacjach, gdy systemu nie udało się od razu zaktualizować ani wyłączyć. CERT Polska prosi o zgłaszanie wykrytych śladów wykorzystania podatności za pośrednictwem formularza incydent.cert.pl.

Bezpieczeństwo usług publicznych zależy także od wspólnego oprogramowania

Środowe wyłączenia pokazują, jak wiele instytucji w różnych krajach korzysta ze wspólnych elementów infrastruktury programistycznej. Ten wymiar zależności opisywał na łamach „Wszystko co Najważniejsze” Tomasz Pawłuszko w tekście „Bezpieczeństwo technologiczne. Wyzwania dla Polski w trzeciej dekadzie XXI wieku”. Autor wskazywał, że państwa potrzebują instytucji zdolnych rozpoznawać zagrożenia technologiczne i przekładać tę wiedzę na działania zapewniające bezpieczeństwo.

O potrzebie koordynacji między administracją, przedsiębiorstwami i środowiskiem naukowym pisał już w 2015 r. prof. Stanisław Koziej w artykule „Doktryna cyberbezpieczeństwa RP. Dokument na rzecz skuteczności”. Zwracał uwagę między innymi na wymianę informacji o zagrożeniach oraz współpracę sektora publicznego i prywatnego. W przypadku luk PHP zalecenia służb krajowych, poprawki zespołu rozwijającego oprogramowanie i działania dostawców hostingu składają się na taką wspólną reakcję.

Sebastian Nizio