Krytyczne podatności w PHP umożliwiające zdalne wykonanie kodu - php2shell

Zespół CERT Polska ostrzega przed dwiema krytycznymi podatnościami w oprogramowaniu PHP, oznaczonymi identyfikatorami CVE-2026-109618 oraz CVE-2026-109619.

Luki pozwalają atakującemu na zdalne wykonanie dowolnych poleceń systemowych poprzez błędy w mechanizmie zarządzania pamięcią.

Podatne są wszystkie wersje PHP od 5.4 w górę. Przypominamy, że język programowania PHP jest wykorzystywany również przez wiele rodzajów popularnego oprogramowania, np. WordPress, Joomla czy WooCommerce. Oznacza to, że systemy wykorzystujące to oprogramowanie również są podatne.

Jedyną skuteczną metodą ochrony przed wykorzystaniem podatności jest instalacja poprawnionej wersji PHP. Do tego czasu, aby zminimalizować ryzyko padnięcia ofiarą skutecznego ataku w pierwszej fali masowych prób wykorzystania podatności należy ustawić następujące wartości parametrów PHP w php.ini:

• memory_limit na -1, jeżeli pozwalają na to zasoby, a w przeciwnym wypadku 128M lub więcej,

• post_max_size: 8M lub mniej,

• max_input_vars: 1000 lub mniej,

• session.upload_progress.enabled na Off.

Podkreślamy, że ustawienie tych opcji nie wyklucza możliwości wykorzystania podatności. W pełni zabezpiecza jedynie aktualizacja PHP do bezpiecznej wersji.

Oficjalne rekomendacje autorów PHP można znaleźć na stronie: https://www.php.net/archive/2026.php#2026-10-21-5.

Dodatkowe informacje o podatnościach od ich znalazców można znaleźć na stronie: https://www.php2shell.com/.

Należy regularnie sprawdzać dostępność poprawionych wersji PHP od naszego dostawcy:

• w przypadku systemów operacyjnych Linux będą to dostawcy naszych dystrybucji,

• w przypadku gotowych urządzeń, appliance oraz aplikacji dystrybuowanych jako obrazy (np. Dockera), należy oczekiwać jej nowej wersji od producenta.

Bezpieczne wersje PHP to:

• dla linii PHP 8.5: 8.5.12,

• dla linii PHP 8.4: 8.4.27,

• dla linii PHP 8.3: 8.3.36,

• dla linii PHP 8.2: 8.2.35.

• w przypadku pozostałych linii PHP, w tym popularnych 5.6, 7.0, 8.0 i 8.1, poprawki będą pochodzić od dostawcy dystrybucji lub oprogramowania używającego PHP.

W przypadku wykrycia śladów wykorzystania podatności prosimy o niezwłoczny kontakt z zespołem CERT Polska za pomocą formularza dostępnego na stronie incydent.cert.pl.

Informujemy również, że niniejszy komunikat będzie na bieżąco aktualizowany o kolejne rekomendacje, gdyby zastosowanie dostępnej aktualizacji okazało się niewystarczające, oraz o informacje dotyczące kolejnych poprawek w popularnych dystrybucjach.