PHP2Shell: poprawki już dostępne. Badacze rejestrują próby ataków

21 października opublikowano poprawki dwóch krytycznych luk PHP: CVE-2026-109618 i CVE-2026-109619. To istotna aktualizacja wcześniejszej zapowiedzi: dostępne są już konkretne wydania, a firmy bezpieczeństwa rejestrują próby wykorzystania podatności.

Co nowego po zapowiedzi

PHP Foundation potwierdziła wydanie wersji 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Obie luki dotyczą zarządzania pamięcią i obsługi błędów. W określonych warunkach umożliwiają wykonanie kodu przez napastnika bez uwierzytelnienia. Fundacja opisała potwierdzone scenariusze wykonania kodu, w tym dla Apache z mod_php.

SecurityWeek poinformował również o próbach ataków obserwowanych przez dostawców zabezpieczeń. Trzeba odróżnić takie żądania od potwierdzonego przejęcia serwera: WatchTowr wskazał, że jego czujniki rejestrowały próby, ale w opisanej obserwacji nie stwierdził ich powodzenia.

Kogo dotyczy ryzyko

Problem leży w samym PHP, dlatego sprawdzenie aktualności systemu zarządzania treścią lub jego dodatków nie wystarcza. Administrator powinien ustalić wersję środowiska wykonującego aplikację. W instalacjach korzystających z pakietów dystrybucji należy sprawdzić komunikat jej opiekunów i dostępność poprawionego pakietu.

Szczególnej uwagi wymagają publiczne serwisy, panele klientów i aplikacje przetwarzające dane dostępowe. Samo posiadanie zapory aplikacyjnej nie potwierdza usunięcia podatności.

Co zrobić teraz

• Ustal, gdzie działa PHP, również w kontenerach i usługach utrzymywanych przez podwykonawców.
• Wdróż poprawioną wersję odpowiedniej gałęzi lub pakiet z poprawką dostawcy systemu.
• Po aktualizacji sprawdź wersję faktycznie używaną przez serwer WWW oraz działanie aplikacji.
• Przejrzyj dzienniki i alarmy z okresu poprzedzającego aktualizację. Zachowaj podejrzane żądania do analizy.

Komentarz SecurHUB

Pilna aktualizacja powinna obejmować również potwierdzenie, że poprawiona wersja obsługuje ruch użytkowników. Testy bezpieczeństwa aplikacji pomagają ocenić ekspozycję usług i skuteczność wdrożonych zabezpieczeń.

Źródła: PHP Foundation, SecurityWeek