PHP2Shell: wszystko o krytycznej luce w PHP
Dwie krytyczne luki w samym PHP, CVSS 9,2, złośliwy kod bez logowania. Tutaj znajdą Państwo informacje, co jest udokumentowane, które wersje są bezpieczne i co należy teraz zrobić.
Czym jest PHP2Shell? Luka wyjaśniona prosto
PHP2Shell to dwie krytyczne luki w samym PHP, przez które atakujący mogą bez logowania wykonać kod na serwerach WWW. Oto sytuacja jasnymi słowami.
Czytaj dalej →02CVE-2026-109618: RCE przez stan out-of-memory
CVE-2026-109618 to jedna z dwóch luk PHP2Shell: stan out-of-memory może przerwać PHP w trakcie przetwarzania żądania. Naprawione od PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
Czytaj dalej →03CVE-2026-109619: RCE przez przestarzały stan globalny
CVE-2026-109619 to druga luka PHP2Shell: stan wewnętrzny żądania może pozostać po zwolnieniu pamięci i zostać wykorzystany przez następne żądanie w tym samym workerze.
Czytaj dalej →04CVE-2026-115560: wskazówka o session upload progress
CVE-2026-115560 to wskazówka php.net z 23.10.2026: możliwe wykonanie kodu tylko przy nietypowej konfiguracji sesji. Środek do kolejnego wydania: session.upload_progress.enabled=0.
Czytaj dalej →05Które wersje PHP są podatne?
PHP2Shell jest naprawione w PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Dla PHP 8.1 i starszego nie ma już oficjalnych aktualizacji. Tabela pokazuje stan dla każdej gałęzi.
Czytaj dalej →06Jak prawidłowo sprawdzić wersję PHP i stan poprawek
Sama wyświetlana wersja PHP nie mówi, czy PHP2Shell jest zamknięte. Decydują stan pakietów, backporty i to, czy nowe procesy faktycznie działają.
Czytaj dalej →07Dlaczego mod_php niesie najwyższe ryzyko
Przy Apache z mod_php zespół PHP ocenia ryzyko PHP2Shell najwyżej: pokazano tam exploit, zanim uruchomi się kod aplikacji. Tak sprawdzić i postąpić.
Czytaj dalej →08Po aktualizacji: restart PHP-FPM i wszystkich workerów
Aktualizacja PHP działa dopiero po restarcie wszystkich procesów PHP. Polecenia dla PHP-FPM, Apache, LiteSpeed i kontenerów oraz sposób sprawdzenia restartu.
Czytaj dalej →09Środki natychmiastowe, gdy nie można jeszcze załatać
Jeśli aktualizacja PHP nie jest jeszcze możliwa, środki przejściowe z php.net zmniejszają ryzyko, ale nie chronią w pełni. Tak ustawić je prawidłowo.
Czytaj dalej →10PHP 8.1 i starsze: co obowiązuje teraz
Dla PHP 8.1, 8.0, 7.4 i starszych wersji nie ma oficjalnych aktualizacji przeciw PHP2Shell. Co dają backporty kodu i jak wygląda droga do wspieranej wersji.
Czytaj dalej →11Łatanie PHP w kontenerach Docker
Kontenery nie łatają się same. Przeciw PHP2Shell trzeba zbudować lub pobrać obraz PHP na nowo i utworzyć każdy kontener ponownie z nowego obrazu.
Czytaj dalej →12Czy już doszło do naruszenia? Oznaki po PHP2Shell
Dla PHP2Shell nie ma potwierdzonych wskaźników naruszenia. Po czym mimo to poznać, że serwer został zhakowany, i jak sprawdzać bez niszczenia śladów.
Czytaj dalej →Liczy się każda godzina. Proszę napisać do nas teraz.
Proszę krótko opisać system, wersję PHP i obserwacje. Skontaktujemy się z Państwem, ustalimy sytuację i będziemy pracować zdalnie, aż incydent zostanie zamknięty i udokumentowany.