Minister cyfryzacji ostrzega przed lukami w PHP

Wicepremier i minister cyfryzacji Krzysztof Gawkowski ostrzegł przed poważnymi lukami bezpieczeństwa w PHP, technologii wykorzystywanej przez wiele stron internetowych na całym świecie. Podatności umożliwiają cyberprzestępcom zdalne wykonywanie poleceń na serwerach. W związku z zagrożeniem zdecydowano o czasowym wyłączeniu części stron Biuletynu Informacji Publicznej (BIP) w Polsce.

Krytyczne luki w PHP - zagrożone popularne strony internetowe

CERT Polska poinformował o dwóch krytycznych podatnościach oznaczonych jako CVE-2026-109618 i CVE-2026-109619. Błędy w mechanizmie zarządzania pamięcią pozwalają atakującym na zdalne wykonywanie dowolnych poleceń systemowych.

Według komunikatu CERT Polska zagrożone są wszystkie wersje PHP od 5.4 wzwyż. Technologia ta jest wykorzystywana m.in. przez popularne systemy WordPress, Joomla i WooCommerce.

W praktyce oznacza to, że zagrożenie może dotyczyć zarówno stron firmowych, sklepów internetowych, jak i serwisów instytucji publicznych korzystających z podatnych wersji PHP.

Część stron BIP została czasowo wyłączona

Krzysztof Gawkowski poinformował, że w związku z zagrożeniem odbyło się spotkanie Połączonego Centrum Operacyjnego Cyberbezpieczeństwa. Przygotowano plan działań zabezpieczających, który jest obecnie wdrażany.

Centralny Ośrodek Informatyki zdecydował o czasowym wyłączeniu stron Biuletynu Informacji Publicznej działających w Systemie Scentralizowanego Dostępu do Informacji Publicznej (SSDIP).

Ograniczenie dotyczy wyłącznie stron działających w serwisie ssdip.bip.gov.pl, a nie wszystkich stron BIP w Polsce.

Wyłączenie ma umożliwić wprowadzenie niezbędnych zabezpieczeń i zapewnić bezpieczne działanie systemu. Nie podano terminu przywrócenia dostępu do serwisu. Ministerstwo Cyfryzacji zapowiada bieżące informowanie o dalszych działaniach.

CERT Polska zaleca pilną aktualizację PHP

Według CERT Polska jedyną skuteczną metodą ochrony przed wykorzystaniem wykrytych luk jest instalacja poprawionej wersji PHP.

Administratorzy stron internetowych powinni:

• zaktualizować PHP do wersji zawierającej poprawki bezpieczeństwa,
• sprawdzić, które serwisy i aplikacje korzystają z podatnych wersji oprogramowania,
• monitorować oficjalne komunikaty CERT Polska i dostawców oprogramowania,
• w przypadku podejrzenia wykorzystania podatności niezwłocznie zgłosić incydent do CERT Polska.

Według CERT Polska poprawki bezpieczeństwa zawierają wersje PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. W przypadku pozostałych linii PHP, w tym 5.6, 7.0, 8.0 i 8.1, poprawki należy uzyskać od dostawcy dystrybucji lub oprogramowania wykorzystującego PHP.

Do czasu zainstalowania aktualizacji CERT Polska wskazuje również możliwość zastosowania tymczasowych zmian w konfiguracji PHP, które mają ograniczyć ryzyko ataku. Nie zastępują one jednak właściwej poprawki bezpieczeństwa.

Zgłoszenia incydentów przyjmowane są przez formularz na stronie incydent.cert.pl, a szczegółowe informacje i zalecenia publikowane są w serwisie moje.cert.pl.

Ministerstwo Cyfryzacji opublikowało również rekomendację Pełnomocnika Rządu ds. Cyberbezpieczeństwa dotyczącą podatności w PHP.