Krytyczne podatności PHP: zdalne wykonanie kodu i działania ochronne

Dwie krytyczne podatności w PHP, oznaczone jako CVE-2026-109618 w NVD oraz CVE-2026-109619 w NVD, zostały wskazane przez CERT Polska jako zagrożenia umożliwiające zdalne wykonanie dowolnych poleceń systemowych. Problem dotyczy wszystkich wersji PHP od 5.4 wzwyż i może mieć wpływ na szeroką gamę aplikacji wykorzystywanych w środowiskach firmowych, w tym WordPress, Joomla czy WooCommerce.

Krytyczne podatności PHP – kogo dotyczą?

Luki pozwalają atakującemu na zdalne wykonanie kodu poprzez błędy w mechanizmie zarządzania pamięcią. Oznacza to, że każda organizacja korzystająca z PHP – zarówno bezpośrednio, jak i pośrednio przez popularne systemy CMS i sklepy internetowe – jest potencjalnie narażona na incydent bezpieczeństwa. Podatności dotyczą szerokiego zakresu wersji, a ataki mogą być zautomatyzowane.

Szczególnie narażone są środowiska, które nie aktualizowały PHP lub korzystają z gotowych obrazów systemów i aplikacji, gdzie cykl wydawania poprawek może być wydłużony.

Krytyczne podatności PHP – jak ograniczyć ryzyko?

Według komunikatu CERT Polska, jedyną skuteczną metodą ochrony jest instalacja poprawionej wersji PHP, gdy tylko będzie dostępna dla danej dystrybucji lub środowiska. Do tego czasu zalecane są tymczasowe działania ograniczające ryzyko masowych ataków. W pliku php.ini należy ustawić:

• memory_limit na -1 (jeśli pozwalają na to zasoby), w przeciwnym razie minimum 128M,
• post_max_size: 8M lub mniej,
• max_input_vars: 1000 lub mniej,
• session.upload_progress.enabled na Off.

Zmiany te mogą ograniczyć skuteczność niektórych wektorów ataku, ale nie eliminują podatności – są rozwiązaniem tymczasowym. Należy regularnie sprawdzać dostępność aktualizacji PHP od swojego dostawcy, zarówno w przypadku systemów Linux, jak i gotowych obrazów lub appliance.

W przypadku aplikacji wymagających innych parametrów, każda zmiana powinna być przetestowana w środowisku testowym przed wdrożeniem na produkcji.

Jak rozpoznać i zgłosić incydent?

W przypadku podejrzenia wykorzystania podatności należy przeanalizować logi serwera i poszukać nietypowych działań. Jeśli zostaną wykryte ślady ataku, zalecany jest kontakt z zespołem CERT Polska przez formularz na stronie incydent.cert.pl.

Jak BOIT może pomóc?

BOIT wspiera w przeglądzie ekspozycji serwerów PHP, wdrożeniu rekomendowanych ustawień bezpieczeństwa oraz monitoringu środowiska pod kątem prób wykorzystania podatności. Pomagamy także w przygotowaniu procedur aktualizacji. Zapraszamy do kontaktu w razie potrzeby analizy ryzyka lub wsparcia przy wdrażaniu poprawek.

Więcej informacji o ochronie środowisk IT znajdziesz w sekcji bezpieczeństwo IT oraz w aktualnościach BOIT.

Źródła i dalsza lektura

• Komunikat CERT Polska: Krytyczne podatności w PHP umożliwiające zdalne wykonanie kodu moje.cert.pl
• Oficjalne rekomendacje PHP: https://www.php.net/archive/2026.php#2026-10-21-5