Spis treści
Na czym polega zagrożenie?
Podatności oznaczone jako CVE-2026-109618 i CVE-2026-109619 mogą umożliwić atakującemu zdalne wykonanie kodu na podatnym serwerze bez logowania. Obie zostały ocenione na 9,2/10 w skali CVSS 4.0, co klasyfikuje je jako krytyczne.
Skutki takiego ataku mogą obejmować kradzież lub usunięcie danych, zmianę zawartości serwisu, instalację złośliwego oprogramowania, a nawet przejęcie kontroli nad aplikacją w zakresie uprawnień podatnego procesu. Niedostępność strony jest więc tylko jednym z możliwych następstw.
Samo ujawnienie podatności nie oznacza jednak, że w danym systemie doszło do włamania. Oznacza konieczność pilnego sprawdzenia środowiska i wdrożenia odpowiednich poprawek.
Kogo dotyczą luki bezpieczeństwa w PHP?
Zagrożenie dotyczy środowisk serwerowych wykorzystujących podatne wersje PHP. Mogą to być zarówno aplikacje dedykowane, jak i serwisy oparte na popularnych rozwiązaniach, takich jak WordPress, Joomla czy WooCommerce. CERT Polska wskazuje, że problem wymaga aktualizacji PHP, niezależnie od aktualności samego systemu CMS.
Z perspektywy właściciela strony ważne jest ustalenie, kto odpowiada za utrzymanie PHP na serwerze. W zależności od modelu współpracy może to być firma hostingowa, administrator infrastruktury lub zespół sprawujący opiekę nad całym środowiskiem.
Działania Imset
Imset monitoruje komunikaty dotyczące podatności PHP i przygotował aktualizacje środowisk objętych opieką administracyjną. Tuż po udostępnieniu poprawek 21 października 2026 r. rozpoczęto ich wdrażanie oraz weryfikację poprawności działania aplikacji.
Przekazaliśmy naszym Klientom informację o zagrożeniu i zalecenia dotyczące potwierdzenia aktualizacji w środowiskach zarządzanych przez zewnętrznych dostawców hostingu.
Komunikaty bezpieczeństwa i dalsze rekomendacje są przez nas na bieżąco monitorowane. Informacje o zakresie i statusie prac w poszczególnych projektach są dostępne u prowadzących je Project Managerów.
Co powinien zrobić właściciel strony lub sklepu?
Jeżeli Twoim hostingiem zarządza zewnętrzny dostawca, pilnie potwierdź u niego wdrożenie poprawek usuwających obie podatności PHP. Konieczne jest uzyskanie jednoznacznej informacji dotyczącej środowiska, na którym działa Twoja strona, sklep lub aplikacja.
Najważniejsze kroki to:
- ustalenie, kto odpowiada za aktualizację PHP na serwerze,
- uzyskanie potwierdzenia wdrożenia poprawek dla obu podatności,
- sprawdzenie działania aplikacji po aktualizacji,
- uzgodnienie dalszych działań z administratorem, jeśli aktualizacja nie została jeszcze wykonana.
Europejskie instytucje zajmujące się cyberbezpieczeństwem zalecają priorytetowe zabezpieczenie systemów dostępnych przez internet. Jeśli natychmiastowe wdrożenie poprawek jest niemożliwe, rekomenduje się czasowe odizolowanie podatnych aplikacji od sieci publicznej.
Aktualizacja strony nie zastępuje aktualizacji PHP
Aktualizacja CMS-a, wtyczek czy motywu jest ważnym elementem utrzymania serwisu. W przypadku tych podatności konieczna jest jednak aktualizacja samego PHP na serwerze.
Projekt PHP opublikował poprawki w wersjach 8.2.35, 8.3.36, 8.4.27 i 8.5.12. W przypadku starszych gałęzi należy zweryfikować dostępność poprawek u dostawcy środowiska lub zaplanować jak najszybsze przejście na wspieraną wersję. Część dostawców przenosi poprawki bezpieczeństwa do swoich pakietów, dlatego status zabezpieczenia powinien potwierdzić administrator.
Masz pytania dotyczące swojego środowiska?
Jeśli korzystasz z produktów obsługiwanych przez IMSET, skontaktuj się z Project Managerem prowadzącym Twój projekt. Pomożemy ustalić zakres odpowiedzialności i wyjaśnić status działań dotyczących Twojego środowiska.
Bezpieczeństwo wymaga stałego monitorowania, aktualizacji i współpracy pomiędzy właścicielem aplikacji, zespołem technicznym oraz dostawcą infrastruktury. W takich sytuacjach kluczowe są szybka reakcja i potwierdzenie, że zabezpieczenia zostały wdrożone.
Więcej informacji w oficjalnym komunikacie CERT.
