NCSC: krytyczne luki w PHP, strony bez aktualizacji powinny trafić offline

Brytyjskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) ostrzega przed dwoma krytycznymi lukami w PHP, języku programowania szeroko używanym w internecie. O sprawie pisze m.in. BBC News (21 października 2026 r.); tekstu BBC nie udało się pobrać, dlatego fakty oparto na komunikatach NCSC i NHS England.

Czego dotyczą luki

Zespół PHP opublikował aktualizację bezpieczeństwa. Według NCSC błąd może pozwolić atakującym na wykonywanie poleceń na dowolnym serwerze WWW z PHP. Luki mają oznaczenia CVE-2026-109618 i CVE-2026-109619.

Pierwsza dotyczy obsługi braku pamięci: PHP może zostać przerwany, gdy wewnętrzne dane żądania są zainicjowane tylko częściowo, a późniejsze czyszczenie potraktuje je jak poprawne. Druga polega na tym, że wewnętrzny stan żądania może przetrwać zwolnienie pamięci, a kolejne żądanie obsługiwane przez ten sam proces może go użyć.

NHS England Digital opisuje te podatności pod nazwą „PHP2Shell”. Według tego ostrzeżenia udany atak mógłby pozwolić nieuwierzytelnionemu napastnikowi na zdalne wykonanie kodu lub dostęp do wrażliwych danych.

Zalecenia NCSC

NCSC apeluje do organizacji o następujące kroki:

• ustalenie, które systemy używają PHP, w pierwszej kolejności tych dostępnych z internetu; ponieważ podatne mogą być wszystkie wersje, nie wolno ograniczać się do przestarzałych instalacji,
• śledzenie aktualizacji od dostawców, także dla urządzeń i usług, które zawierają PHP jako składnik,
• aktualizację do najnowszej wersji PHP i zastosowanie dodatkowych zabezpieczeń zalecanych przez zespół PHP,
• użycie tymczasowych środków zaradczych, jeśli aktualizacja nie jest możliwa,
• rozważenie wyłączenia systemu z sieci do czasu pełnego zabezpieczenia, gdy nie da się zastosować ani aktualizacji, ani środków tymczasowych.

Jeśli system nie może zostać od razu zaktualizowany lub wyłączony, NCSC radzi sprawdzić, czy nie ma śladów włamania i tzw. tylnych drzwi zostawionych przez atakującego. Gdy organizacja nie ma do tego kompetencji, może skorzystać z pomocy firmy z listy dostawców reagowania na incydenty, certyfikowanych przez NCSC.

NHS Login

Zespół NHS login poinformował na forum dla deweloperów, że część partnerów używa PHP. Osoby korzystające z podatnej wersji powinny jak najszybciej przejść na poprawioną wersję.

Co to oznacza dla Polaków w UK

Zalecenia kierowane są do administratorów stron i systemów, a nie do zwykłych użytkowników. Mogą jednak dotyczyć właścicieli małych firm, sklepów internetowych i stron, w tym prowadzonych przez Polaków w UK, jeśli działają na PHP (m.in. na popularnych systemach zarządzania treścią). Warto zapytać firmę hostingową lub osobę zajmującą się stroną, czy aktualizacja została wykonana. Zwykli użytkownicy nie muszą nic instalować; ogólne zasady ostrożności, jak silne hasła i uwaga na phishing, pozostają aktualne.