W środę pewna stara jak świat technologia open-source o nazwie PHP omal nie rozłożyła internetu na łopatki za sprawą dwóch luk bezpieczeństwa, które przez lata spały snem sprawiedliwym, aż badacze niedawno odkryli, jak je wykorzystać. Błędy ochrzczono PHP2Shell, oficjalnie oznaczone jako CVE-2026-109618 i CVE-2026-109619. Mówiąc prosto, luki te pozwalają każdemu, kto wie, jak je wykorzystać, włamać się do systemu online działającego na PHP – czy to strony internetowej, czy serwera wystawionego do internetu – bez potrzeby podawania hasła, by uzyskać dostęp do danych lub je zmodyfikować. Jak na sytuacje, ta była całkiem pokaźna, zmuszając miliony ludzi na całym świecie do gorączkowego łatania systemów, zanim zrobią to złośliwi hakerzy.

Fundacja PHP, która utrzymuje oprogramowanie webowe PHP, publicznie udostępniła w środę poprawki naprawiające błędy, które po zainstalowaniu chronią serwery wystawione do internetu przed atakami. Fundacja dała już wcześniej niektórym z największych firm internetowych i hostingodawców opierających się na PHP fory na starcie w łataniu. Dzięki tygodniom zakulisowych rozmów i starannej koordynacji w całej branży świat – jak dotąd – szeroko uniknął masowej eksploatacji w internecie. Od środy rządy zaczęły wzywać obywateli i firmy posiadające strony internetowe do podjęcia działań w celu złagodzenia ryzyka po swojej stronie. Szeroki wachlarz branż zamknął swoje strony i wyłączył usługi offline, by załatać systemy. Banki, detaliści, strony gamingowe, sklepy internetowe, szpitale i niektóre agencje rządowe wyłączyły serwery, by zapobiec atakom. Ale badacze bezpieczeństwa ostrzegają, że sytuacja jeszcze się nie skończyła i że duża liczba systemów na świecie pozostaje niezałatana i podatna na hakerstwo i kradzież danych. To też raczej nie ostatni poważny strach wokół oprogramowania internetowego – niektórzy oczekują, że nadejście AI szybko odkryje jeszcze nieodkryte luki, które czekają, by je znaleźć i wykorzystać.

Badacze bezpieczeństwa z Calif znaleźli dwa błędy w PHP, języku programowania szeroko używanym na świecie do budowy stron i aplikacji webowych, zarówno w internecie, jak i hostowanych lokalnie w sieciach firmowych, jak intranety i strony wewnętrzne. PHP jest open-source, co oznacza, że jest darmowe i dostępne dla każdego praktycznie w każdym celu. W związku z tym stało się jednym z najpopularniejszych i najszerzej używanych języków programowania webowego w dzisiejszym internecie. Oba błędy odkryto po raz pierwszy w 2024 roku, ale wtedy nie uznano ich za podatne na wykorzystanie i nie załatano. Badacze bezpieczeństwa niedawno znaleźli sposób na ich wykorzystanie, co skłoniło ich do ostrzeżenia twórców oprogramowania, by je naprawili. Calif powiadomił Fundację PHP, która rozpoczęła okres naprawiania błędów i skoordynowanego ujawniania. Fundacja zrobiła to, oferując informacje i poprawki dotyczące problemów bezpieczeństwa w ramach ściśle strzeżonego embarga – zasadniczo trzymanego w tajemnicy do określonego terminu – by dać dużym firmom szansę na wyprzedzenie instalacji poprawek.

PHP2Shell jest całkiem poważny, ponieważ można go wykorzystać zdalnie przez internet i bez potrzeby klikania przez ofiarę w link czy otwierania pliku. Nazywa się to zdalnym wykonaniem kodu i jest jednym z bardziej niszczycielskich rodzajów błędów do wykorzystania, ponieważ mogą dać hakerowi gdziekolwiek na świecie praktycznie pełną kontrolę nad dotkniętym i niezałatanym systemem. Co gorsza, te konkretne błędy PHP umożliwiają włamanie się do dowolnego niezałatanego systemu w internecie bez potrzeby podawania hasła lub innych poświadczeń przez internet, co nazywa się dostępem nieuwierzytelnionym. To pozwoliłoby złośliwemu hakerowi następnie zainstalować złośliwe oprogramowanie na komputerze, na przykład w celu kradzieży danych lub po prostu utrzymania długoterminowej przyczółki, do której może wrócić później.

Błędy są szczególnie ryzykowne, ponieważ PHP jest szalenie popularnym oprogramowaniem, częściowo dlatego, że jest darmowe i stosunkowo łatwe w użyciu, ale także dlatego, że istnieje od dziesięcioleci. Około 70% internetu wystawionego do sieci opiera się na PHP, choć jego użycie powoli spada na przestrzeni lat na rzecz nowszych