Serwisy administracji publicznej w Finlandii i Holandii, portale informacyjne oraz strony firm zostały czasowo wyłączone w związku z krytycznymi lukami w zabezpieczeniach PHP. Problem dotyczy technologii wykorzystywanej przez ogromną część internetu. Ostrzeżenie wydały również norweskie służby odpowiedzialne za cyberbezpieczeństwo.
W środę 21 października administratorzy wielu europejskich stron stanęli przed decyzją, czy utrzymać dostępność usług, czy czasowo odłączyć je od internetu, aby ograniczyć ryzyko włamania. Powodem były dwie krytyczne podatności w PHP, czyli technologii działającej po stronie serwera, wykorzystywanej m.in. do obsługi stron internetowych, formularzy i sklepów online.
Zespół rozwijający PHP ocenił obie podatności na 9,2 w skali CVSS 4.0, gdzie 10 oznacza najwyższy poziom zagrożenia. Poprawki zapowiedziano na godz. 16.00 czasu norweskiego 21 października. Aktualizacje zostały udostępnione tego samego dnia.
W Finlandii prewencyjne wyłączanie publicznych usług internetowych potwierdziło państwowe centrum informatyczne Valtori. Niedostępna była m.in. strona urzędu geodezyjnego, a zakłócenia objęły również część usług fińskiego nadawcy Yle.
W Holandii wśród serwisów zgłaszanych jako niedostępne znalazły się DigiD i MijnOverheid. Nie oznaczało to jednak automatycznie wyłączenia wszystkich możliwości logowania z wykorzystaniem DigiD.
Amsterdam poinformował o wyłączeniu części miejskich serwisów, w tym Stadspas, podczas gdy główna strona miasta pozostała dostępna. Takie działania mają charakter zapobiegawczy i same w sobie nie świadczą o skutecznym ataku ani wycieku danych.
Dwie krytyczne luki w popularnej technologii
Skala zagrożenia wynika z popularności PHP. Według danych W3Techs język ten jest wykorzystywany przez zdecydowaną większość stron, dla których udało się ustalić technologię po stronie serwera. Wskaźnik zbliża się do 70 proc., co oznacza ogromny ekosystem stron internetowych i aplikacji.
Nie oznacza to jednak, że każda strona korzystająca z PHP jest podatna na atak. Rzeczywiste ryzyko zależy m.in. od wersji oprogramowania, konfiguracji serwera i sposobu wykorzystania podatnych funkcji.
CERT-EU ostrzegł przed dwiema lukami oznaczonymi jako CVE-2026-109618 i CVE-2026-109619. Podatności mogą umożliwiać zdalne wykonanie kodu bez wcześniejszego uwierzytelnienia. W praktyce oznacza to, że napastnik może próbować uruchomić własny kod na podatnym serwerze, bez konieczności wcześniejszego zalogowania się do systemu.
Europejskie służby zaleciły przygotowanie do pilnej aktualizacji. W sytuacji, gdy natychmiastowe wdrożenie poprawek nie jest możliwe, należy rozważyć odizolowanie publicznie dostępnych aplikacji.
O pierwszych obserwowanych próbach ataków poinformował również Dane Knecht, dyrektor technologiczny Cloudflare. Firma wdrożyła tymczasowe reguły zapory sieciowej, które mają ograniczać ryzyko wykorzystania podatności. Takie zabezpieczenia mogą stanowić dodatkową warstwę ochrony, ale nie zastępują aktualizacji PHP.
Co to oznacza dla firm?
Dla przedsiębiorstwa prowadzącego sprzedaż internetową lub przyjmującego rezerwacje strona jest częścią codziennej działalności. Jej wyłączenie może oznaczać utratę zamówień, niedostępność formularzy i konieczność obsługi klientów innymi kanałami.
Potencjalne włamanie może mieć poważniejsze konsekwencje. W zależności od uprawnień przejętej aplikacji i konfiguracji serwera zagrożone mogą być dane klientów, dokumenty oraz informacje umożliwiające dostęp do innych systemów.
Problem dotyczy także przedsiębiorców, którzy nie zamawiali indywidualnie napisanej aplikacji. PHP jest wykorzystywany przez popularne systemy zarządzania treścią i platformy internetowe, takie jak WordPress, Drupal, Joomla i Magento. Właściciel strony firmowej lub sklepu może więc korzystać z tej technologii, nawet jeśli nigdy nie wybierał jej świadomie.
Najważniejsze jest ustalenie, kto odpowiada za aktualizację środowiska serwerowego: dostawca hostingu, agencja utrzymująca stronę czy własny administrator.
Automatyczna aktualizacja WordPressa, motywu lub wtyczek nie daje pewności, że zaktualizowano również sam PHP. Firma powinna uzyskać potwierdzenie wdrożenia odpowiednich poprawek i po aktualizacji sprawdzić działanie kluczowych funkcji, zwłaszcza zamówień, płatności i logowania.
Nie wszystkie wersje PHP otrzymują poprawki
Ostrzeżenie wydała również norweska Nasjonal sikkerhetsmyndighet (NSM). Służby zwracają uwagę na konieczność pilnego zabezpieczenia podatnych systemów.
Szczególnym problemem są starsze instalacje. Wersje PHP wcześniejsze niż 8.2 nie są już objęte standardowym wsparciem bezpieczeństwa zespołu PHP, choć niektóre dystrybucje systemów operacyjnych mogą dostarczać własne poprawki.
Wersja PHP 8.2 nadal otrzymuje aktualizacje bezpieczeństwa, ale jej wsparcie zakończy się 31 grudnia 2026 r. Administratorzy powinni zatem nie tylko zainstalować dostępne poprawki, lecz także zaplanować migrację do wersji, która będzie dłużej wspierana.
Francuski zespół reagowania na incydenty CERT-FR zaleca ograniczanie ekspozycji starszych, nieaktualizowanych systemów i przechodzenie na wspierane wersje oprogramowania.
Dla części przedsiębiorstw rozwiązanie problemu będzie więc wymagało większej zmiany niż instalacja pojedynczej poprawki.