Krytyczne luki w PHP mogą zaszkodzić polskim mediom

W języku programowania stron internetowych PHP wykryto dwie krytyczne luki. – Na PHP oparte jest jakieś 70 proc. serwisów internetowych na świecie. Również w Polsce. To obrazuje skalę problemu – tłumaczy Robert Zarzycki, który w CERT Orange kieruje zespołem odpowiedzialnym za wykrywanie luk w oprogramowaniu i ich zabezpieczanie.

W środę po południu zespół pracujący nad rozwojem PHP poinformował o udostępnieniu aktualizacji usuwających dwie krytyczne luki w zabezpieczeniach. Administratorom zalecono jak najszybsze zainstalowanie poprawek. Nie były to luki nieznane – w świecie programistów mówiło się o nich od sierpnia. 

Serwis Sekurak.pl informował w środę, że podatności na ataki nie bazują na samym kodzie PHP, ale na lukach w jego silniku.

W Polsce swój serwis wyłączył na kilka godzin Niebezpiecznik.pl – serwis poświęcony m.in. bezpieczeństwu w sieci. W środę przez godzinę (od 10.49 do 11.51) niedostępne były portale internetowe Telewizji Polskiej. "Zdarzenie to miało miejsce podczas prac związanych z eliminacją ogłoszonych dzień wcześniej podatności, obejmujących zmiany polityk zapory sieciowej oraz restarty usług portalu. Ze względu na dużą i skomplikowaną strukturę serwisu, wystąpiła przerwa w dostępności części usług. Problem ten jest szerszy i dotyczył szeregu serwisów internetowych, nie tylko serwisów Telewizji Polskiej" – przekazało nam biuro prasowe spółki.

Problem dotyczy nie tylko blogów czy stron budowanych w WordPressie czy Joomli. – Na PHP oparte jest jakieś 70 proc. serwisów internetowych na świecie. Również w Polsce. To obrazuje skalę problemu – tłumaczy Robert Zarzycki z CERT Orange. – Jeżeli redakcja używa PHP w swoich systemach, to jest maksymalnie zagrożona. Taka podatność daje atakującemu możliwość uruchomienia dowolnego konta i dowolnego kodu na serwerze – ostrzega Zarzycki i wylicza: – Atakujący mogą edytować jakiś plik z serwera, hasło użytkownika do bazy danych albo mogą próbować w jakiś inny sposób podnieść swoje uprawnienia na serwerze, mogą wgrać plik inną stronę internetową, podmienić strony, wykradać hasła. To tylko wyobraźnia ogranicza.

Robert Zarzycki dodaje, że na razie CERT Orange nie zaobserwował żadnego przypadku przejęcia serwera w Polsce. Przyznaje również, że to pierwszy przypadek tak gwałtownej reakcji międzynarodowej na informację o lukach w oprogramowaniu.

– Nie było do tej pory nic poważniejszego. Podatności dzielimy zwykle na możliwość wykorzystania ich przez użytkownika zalogowanego albo niezalogowanego. Klasyfikujemy je na podstawie tego, jak oprogramowanie jest popularne. I na podstawie tego, co taki atakujący może zrobić – wyjaśnia Zarzycki. – Niezalogowany atakujący może dodać nieautoryzowany kod (niepożądany dodatek do treści stron czy aktywności serwera – przyp. red.), czyli to najpoważniejsza podatność, jaka istnieje. PHP to najbardziej popularne oprogramowanie do tworzenia stron internetowych – wskazuje.

(PAR, 25.10.2026)