Firma zajmująca się bezpieczeństwem Wiz Research ujawniła 21 października 2026 r. zestaw krytycznych luk w podstawowym silniku PHP, ostrzegając, że luki te – wspólnie nazwane PHP2Shell – umożliwiają nieuwierzytelnione zdalne wykonanie kodu i ujawnienie pamięci w stylu Heartbleed w oprogramowaniu, które obsługuje około 70 procent wszystkich stron internetowych. Projekt PHP wypuścił poprawki tego samego dnia, a Wiz nalega na natychmiastowe aktualizacje w ogromnej bazie zainstalowanych w Internecie.

PHP jest podstawą dużej części Internetu: obsługuje WordPress, Joomla, Drupal i MediaWiki, oprogramowanie obsługujące Wikipedię. Co najważniejsze, nowo ujawnione błędy występują w podstawowym silniku PHP, a nie w jakiejkolwiek aplikacji zbudowanej na jego bazie, co oznacza, że ​​witryny mogą zostać ujawnione nawet wtedy, gdy ich własny kod aplikacji jest bezpieczny. Więcej kontekstu na ten temat znajdziesz w naszych wiadomości AI.

Jakie są luki w zabezpieczeniach

Według opisu technicznego Wiz autorstwa badaczy Sagi Tzadika, Shir Tamari, Nira Ohfelda i Tomera Schwartza, wszystkie ujawnione błędy wynikają z problemów związanych z bezpieczeństwem pamięci, których korzenie wynikają ze sposobu, w jaki PHP radzi sobie z krytycznymi błędami podczas przetwarzania żądań — zwłaszcza błędami braku pamięci. Awaria żądania może pozostawić uszkodzony wewnętrzny stan PHP, a późniejsze żądanie lub proces roboczy, który ponownie wykorzystuje ten nieaktualny stan, może spowodować ujawnienie lub uszkodzenie pamięci.

Wyniki pogrupowano w dwa CVE o maksymalnej dotkliwości CVSS 9.2:

  • CVE-2026-109618 — moduł unserializera postępu przesyłania, który można wykorzystać po zwolnieniu, a który może zostać wykorzystany przez osobę atakującą do zdalnego ujawnienia pamięci procesu oraz, w zademonstrowanych łańcuchach, do pełnego zdalnego wykonania kodu. Wiz zademonstrował nieuwierzytelnione ujawnienie pamięci roboczej PHP i wstępne uwierzytelnienie RCE w WordPress, Drupal i Joomla.
  • CVE-2026-109619 — błąd krytyczny związany ze śledzeniem wstecznym po użyciu w połączeniu z pomieszaniem typu OPcache, który również wykazał, że umożliwia zdalne wykonanie kodu przed uwierzytelnieniem w Drupalu i WordPressie.

Pamięć, którą atakujący mogą odczytać, może zawierać hasła, tokeny uwierzytelniające, klucze API i certyfikaty należące do innych żądań lub do samego serwera, powiedział Wiz. Każda wersja PHP wydana w ostatniej dekadzie – począwszy od PHP 5.4 – zawiera co najmniej jedną z tych luk, a według firmy są to najpoważniejsze wady, jakie kiedykolwiek wykryto w PHP.

Gdzie pojawia się sztuczna inteligencja

Najbardziej konsekwentne twierdzenie zawarte w raporcie Wiza wcale nie dotyczy PHP — chodzi o to, co zrobiły pionierskie modele sztucznej inteligencji, aby wykorzystać rozwój.

Wiz pisze, że podstawowe wady występowały od dziesięcioleci, ale udowodnienie możliwości wykorzystania wymagało „wyjątkowo złożonego łańcucha etapów, na granicy tego, co mogliby praktycznie osiągnąć badacze-ludzi”. Exploit musiał łączyć wiele luk i dostosowywać się do układu pamięci każdego celu poprzez wielokrotne testowanie i debugowanie.

Jak twierdzi firma, pionierskie modele sztucznej inteligencji znacznie zmniejszyły tę barierę – „zamieniając istniejącą od dawna wadę w exploit” – i umożliwiły zespołowi Wiza opracowanie i dostosowanie działających exploitów w wielu aplikacjach w ciągu kilku godzin, a nie tygodni.

„W miarę zmniejszania się czasu i wiedzy specjalistycznej wymaganej do tej pracy złożoność może już nie stanowić znaczącej bariery, zmieniając sposób, w jaki w praktyce definiujemy to, co jest podatne na zagrożenia” – napisali naukowcy.

Punkt zwrotny w erze sztucznej inteligencji?

Wiz wyraźnie zestawia PHP2Shell z dwoma wcześniejszymi przełomowymi momentami w bezpieczeństwie sieci: Heartbleed w 2014 r., które ujawniło kruchość współdzielonej infrastruktury zabezpieczającej Internet, oraz Log4Shell w 2021 r., które ujawniło, jak głęboko osadzone zależności oprogramowania powodują powszechne ujawnienie. Firma twierdzi, że PHP2Shell może oznaczać podobny punkt zwrotny — tym razem ilustrując, jak sztuczna inteligencja zmienia praktyczną możliwość wykorzystania dawno znanych słabych punktów.

To kadrowanie ma znaczenie poza PHP. Teoretyczne luki w zabezpieczeniach, które były bezpiecznie poza zasięgiem, ponieważ wykorzystanie ich było zbyt trudne, zbyt wolne lub zbyt wyspecjalizowane, mogą teraz znaleźć się w zasięgu dysponujących odpowiednimi zasobami atakujących wyposażonych w narzędzia AI – jest to zmiana niosąca oczywiste konsekwencje dla budżetów obronnych, częstotliwości wprowadzania poprawek i harmonogramów ujawniania w całej branży oprogramowania.

Skoordynowana poprawka międzybranżowa

Ujawnianie informacji było skoordynowane. Wiz podziękował zespołowi PHP i OpenAI za ich pracę nad odkryciem, koordynacją i weryfikacją poprawek, zauważając, że zarówno OpenAI, jak i PHP opublikowały własne opisy techniczne dotyczące historii i procesu ujawniania luk.

Grupa międzybranżowa — w tym Automattic, Akamai, AWS, Cloudflare, Fastly, Google, Imperva, Microsoft i Vercel — przygotowała wytyczne i gotowe rozwiązania łagodzące dla klientów, którzy nie mogą natychmiast zastosować poprawki. 21 października firma Cloudflare osobno ogłosiła, że ​​wdrożyła dla swoich klientów zabezpieczenia WAF przed lukami w PHP.

Co powinni zrobić właściciele witryn

Rada Wiza jest bezkompromisowa: natychmiast załataj. Projekt PHP opublikował poprawki luk w zabezpieczeniach pamięci 21 października 2026 r., a każde obsługiwane wdrożenie PHP powinno zostać zaktualizowane tak szybko, jak to możliwe.

Organizacje, które nie mogą od razu załatać problemu, powinny zastosować środki zaradcze opublikowane przez ich dostawców CDN, hostingu lub WAF, a kilka z nich już pierwszego dnia dostarczyło reguły ukierunkowane na łańcuchy exploitów. Administratorzy flot WordPress, Drupal i Joomla powinni potraktować to jako priorytetowy cykl poprawek: Wiz zademonstrował zdalne wykonanie kodu przed uwierzytelnieniem na wszystkich trzech platformach, a podatne ścieżki kodu istnieją niezależnie od tego, jak dobrze utrzymane są aplikacje znajdujące się nad nimi.

Głębszą lekcją może być ta, którą wyciągnął sam Wiz: kiedy sztuczna inteligencja może skompresować miesiące inżynierii exploitów do godzin, robocza definicja branżowej definicji „praktycznie nadającego się do wykorzystania” – a wraz z nią znaczenie terminów odpowiedzialnego instalowania poprawek – właśnie się zmieniła.

---

Bądź na Bieżąco z AI

Najnowsze wiadomości, analizy i przełomy w dziedzinie AI — wszystko w jednym miejscu.

Czytaj więcej wiadomości AI →