Luka w PHP wywołała w ostatnich dniach globalny alarm. To jeden z najpopularniejszych języków programowania stron internetowych. Firmy Wiz i Calif ujawniły w nim dwa poważne błędy. Dostały one oznaczenia CVE-2026-109618 i CVE-2026-109619 oraz ocenę 9,2 w 10-stopniowej skali zagrożenia. Problem nazwano php2shell. Dotyczy wersji PHP wydanych w ciągu ostatniej dekady. W pewnych warunkach pozwala włamywaczom przejąć serwer i wykraść z niego dane. Ryan Austin z Calif powiedział BBC, że to „najpoważniejsza luka, jaką kiedykolwiek znalazłem”.
Fundacja PHP, czyli organizacja non-profit, która rozwija ten język, w środę udostępniła poprawki. Część serwisów wyłączyła jednak swoje systemy z ostrożności. Zrobiły tak m.in. Wikimedia (organizacja stojąca za Wikipedią), rząd Finlandii i francuski Orange. Japoński operator SoftBank wstrzymał nawet alerty o trzęsieniach ziemi i tsunami. Cloudflare odnotował miliony prób ataku. Do piątku nie zgłoszono jednak żadnego udanego włamania.
Co to znaczy dla Ciebie?
Jeśli tylko przeglądasz internet, raczej nie musisz nic robić. PHP działa po stronie serwera, więc zwykły użytkownik go nie widzi. Sprawa wygląda inaczej, gdy masz własną stronę, sklep internetowy albo bloga. To bardzo ważne dla małych firm, które często budują strony na WordPressie, bo ten system jest oparty na PHP.
- Stroną zajmuje się firma hostingowa lub informatyk? Zapytaj wprost, czy wgrali już poprawki do PHP.
- Dbasz o stronę sam? Zaktualizuj PHP do najnowszej wersji. Aktualizacja samego WordPressa ani wtyczek nie usuwa tej luki.
- Nie da się szybko załatać? Brytyjskie centrum cyberbezpieczeństwa NCSC radzi rozważyć czasowe wyłączenie strony.
- Uważaj na oszustów. Eksperci ostrzegają przed phishingiem, który może się podszywać pod komunikaty o tej luce. Phishing to fałszywe wiadomości, które mają wyłudzić hasła lub dane.
Jeśli serwis, z którego korzystasz, poprosi o zmianę hasła, zrób to. Wejdź jednak bezpośrednio na jego stronę, a nie przez link z e-maila.
Jak AI pomogło znaleźć błąd?
Badacze z Wiz i Calif sięgnęli po zaawansowane narzędzia sztucznej inteligencji od OpenAI. Takie narzędzia analizują kod programów dużo szybciej niż ludzie i starsze systemy. Według Wiz PHP napędza aż 70% stron na świecie. Mimo to błędy przez lata pozostały niezauważone. Salil Kanhere z UNSW Sydney zwraca uwagę, że same błędy nie są nowe. Zmieniły się możliwości ich wykrywania.
Ta sama technologia działa jednak w obie strony. OpenAI przyznało, że AI może też pomagać atakującym w szybkim tworzeniu narzędzi do włamań. Firma udostępniła program, który sprawdza, czy instalacja PHP jest bezpieczna. Szczegóły odkrycia wyciekły do sieci przed planowanym terminem, dlatego twórcy PHP musieli szybciej ogłosić problem. Eksperci spodziewają się kolejnych prób ataku w najbliższych tygodniach. Najbardziej narażone są małe organizacje, które nie mają zespołów od bezpieczeństwa. Specjaliści przypominają też, że PHP działa nie tylko na stronach WWW. Spotyka się go również w panelach zarządzania urządzeniami sieciowymi.
Czytaj dalej
Włamanie do ConnectWise: hakerzy z Chin użyli agentów AI
Chińscy hakerzy włamali się do usługi kopii zapasowych ConnectWise. Potem w kilka chwil weszli do systemów około 2250 firm, bo w ataku pomagali im agenci AI.
Samodoskonaląca się AI w 2027? Jack Clark przyspiesza prognozę
Współzałożyciel Anthropic Jack Clark uważa, że AI zdolna do tworzenia własnych następców może pojawić się już w 2027 roku. Opiera się na nowym teście TasteVal, w którym model Claude Opus 5.5 wypadł lepiej niż ludzcy eksperci.
Halucynacje AI pod kontrolą: skąd się biorą i jak je wyłapać
Model AI potrafi z pełnym przekonaniem podać nieistniejące badanie, zmyślony przepis prawa albo fałszywą datę. Halucynacje AI nie znikną, ale można nauczyć się je przewidywać i wyłapywać.