Krótko: To, czy PHP2Shell Państwa dotyczy, zależy od trzech rzeczy: wersji PHP, trybu pracy oraz tego, czy i jak wgrano poprawkę. Jeśli nie są Państwo pewni, proszę zgłosić się teraz. Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy. Wyjaśniamy to zdalnie na samym serwerze, a nie na wyczucie, i zamykamy lukę, jeśli jest otwarta.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Także jeśli chcą Państwo tylko wyjaśnić, czy jesteście dotknięci: jeżeli serwer mógł już zostać zaatakowany, potrzebujemy plików i logów w niezmienionej postaci. Zgłoś awarię, a przejdziemy przez sprawdzenie wspólnie.
Czy są Państwo dotknięci? Te przypadki należą na listę kontrolną
PHP2Shell to dwie krytyczne luki w samym PHP (CVE-2026-109618 i CVE-2026-109619, obie z najwyższą oceną 9.2 według CVSS v4.0). Umożliwiają zdalne wykonanie złośliwego kodu bez logowania. Dotknięte mogą być wszystkie tryby pracy: PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Proszę sprawdzić każdy z tych systemów:
- własne serwery, serwery wirtualne i serwery dedykowane z PHP
- pakiety hostingowe i serwery zarządzane, także jeśli nie mają Państwo dostępu do konfiguracji
- kontenery i usługi platformowe, które zawierają obraz PHP
- systemy testowe, środowiska staging i zapomniane stare systemy dostępne z internetu
- urządzenia NAS, appliance lub oprogramowanie dostawców, które wewnętrznie używa PHP
Szczególnie ryzykowne są zapomniane systemy. Według Unit 42 istnieje ponad 22,6 miliona wystawionych na dostęp, potencjalnie podatnych instancji, a BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji) spodziewało się szybkiego, szeroko zakrojonego wykorzystania luki.
Co należy zrobić teraz
- Sporządzić inwentarz. Proszę spisać wszystkie serwery, domeny i umowy hostingowe, na których działa PHP, oraz osoby za nie odpowiedzialne.
- Ustalić wersję PHP dla każdego systemu. Na serwerach poleceniem
php -v. Proszę pamiętać, że wiersz poleceń może używać innej wersji niż serwer WWW. - Wyjaśnić tryb pracy. Czy PHP działa jako PHP-FPM, jako mod_php czy przez LiteSpeed? Przy mod_php zespół PHP ocenia ryzyko najwyżej.
- Zapytać hostingodawcę i dostawców. Pisemnie: jaka wersja działa, czy wgrano poprawkę, czy zrestartowano wszystkie procesy?
- Zachować logi. Prasa branżowa zaleca przechowywanie logów od 20.10.2026.
- Nie czekać długo. Jeśli system jest otwarty, a poprawka nie jest od razu możliwa, BSI zaleca czasowe odłączenie serwera WWW od sieci.
Jak PHP SOS pomaga w praktyce?
Wyjaśniamy kwestię dotknięcia luką zdalnie i z dowodami.
- Ocena sytuacji: Prosimy o opis Państwa inwentarza i porządkujemy systemy według dostępności i ryzyka.
- Zabezpieczenie i zamknięcie: Tam, gdzie luka jest otwarta, najpierw zabezpieczamy stan, a następnie zamykamy lukę aktualizacją wraz z restartem. Tam, gdzie nie jest to możliwe od razu, stosujemy środki przejściowe, które nie stanowią pełnej ochrony.
- Sprawdzenie i oczyszczenie: Sprawdzamy, czy luka została wykorzystana przed wgraniem poprawki, i w razie potrzeby oczyszczamy system. To, czy serwer jest dotknięty i czy mógł już zostać zaatakowany, wyraźnie rozdzielamy.
- Wzmocnienie i raport: Otrzymują Państwo listę dla każdego systemu: wersja, tryb pracy, dowód poprawki, otwarte punkty.
Jak udokumentować dotknięcie luką
Sam numer wersji nie wystarcza, ponieważ dostawcy przenoszą poprawki wstecz (backport). Ubuntu 24.04 pokazuje według doniesień na przykład także po aktualizacji nadal 8.3.6. Wiarygodne są trzy drogi:
| Droga | Co pokazuje | Ograniczenie |
|---|---|---|
| Porównanie wersji ze stanami poprawek | 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo wyższa jest naprawiona | dotyczy tylko wersji oryginalnych, nie backportów |
Test na memory_hard_limit_percent |
bool(false) oznacza: dyrektywa nieznana, a więc system dotknięty |
wykonać osobno dla każdej wersji i trybu pracy |
| Przeszukanie changeloga pakietu pod kątem numerów CVE | dowodzi backportów w dystrybucjach | źródłem jest archiwum bezpieczeństwa dostawcy |
Test wygląda tak:
php -r 'var_dump(ini_get("memory_hard_limit_percent"));'
Jak prawidłowo sprawdzić wersję i stan poprawek, opisuje strona Prawidłowe sprawdzenie wersji PHP i stanu poprawek. Przegląd gałęzi daje artykuł Które wersje PHP są dotknięte?. Dlaczego wyświetlana wersja może wyglądać na starą mimo poprawki, wyjaśnia wpis php -v pokazuje stary numer.
Dotknięte i niepodatne na poprawkę: PHP 8.1 i starsze
Dla PHP 8.1 i starszych projekt PHP nie wydaje już oficjalnych aktualizacji, tylko minimalne backporty kodu źródłowego dla 7.4, 8.0 i 8.1. Kto używa takiej wersji, ma zwykle dwie drogi: dostawcę z udokumentowanym backportem albo migrację na wersję objętą wsparciem. Istnieją komercyjne oferty wsparcia długoterminowego; czy i kiedy obejmują one PHP2Shell, musi dostawca potwierdzić na piśmie. Pomagamy w ocenie na stronie PHP 8.1 i starsze: co teraz obowiązuje oraz we wdrożeniu w ramach usługi poprawek PHP (PHP-Patch-Service).
Co warto nam przesłać
- Listę Państwa serwerów, domen i hostingodawców
- Wersję PHP dla każdego systemu, o ile jest znana
- Tryb pracy i serwer WWW, o ile są znane
- Informację, czy przed serwerem działa Cloudflare lub inna ochrona i czy serwer źródłowy jest dostępny bezpośrednio
- Odpowiedzi hostingodawcy, jeśli zapytanie zostało już wysłane
- Osobę kontaktową do zatwierdzeń i restartów
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Mają Państwo jedną osobę kontaktową, która przechodzi przez Państwa inwentarz i dokumentuje każde stwierdzenie, zamiast tylko odczytywać numery wersji. Pracujemy zdalnie, bez dojazdu, i dokumentujemy, co sprawdziliśmy. Stwierdzenie w rodzaju „bezpiecznie” wydajemy tylko w takim zakresie, w jakim można je udowodnić. W przypadku większych środowisk wchodzi w grę pomoc awaryjna przy PHP2Shell (PHP2Shell-Soforthilfe).
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Jeśli nie wiedzą Państwo, czy jesteście dotknięci, to wystarczający powód, aby zgłosić się teraz. Proszę zadzwonić lub napisać na WhatsApp. Przejmujemy sprawę od pierwszej wiadomości i wyjaśniamy ją z Państwem na serwerze. Zgłoś awarię teraz.
Częste pytania
Czy PHP2Shell dotyczy mnie, jeśli używam tylko WordPressa lub sklepu?
Możliwe, że tak. Luki leżą w PHP, a nie w CMS. Decyduje to, jaka wersja PHP i jaki tryb pracy faktycznie obsługują Państwa stronę; aktualizacja WordPressa niczego tu nie zmienia.
Czy numer wersji wystarczy, aby wiedzieć, czy mam poprawkę?
Nie zawsze. Dystrybucje i hostingodawcy częściowo wprowadzają poprawki jako backport, wtedy numer pozostaje taki sam. Wiarygodny jest changelog pakietu z numerami CVE lub pisemne potwierdzenie dostawcy.
Czy jest szybki test, czy moja wersja PHP zawiera poprawkę?
Według podręcznika PHP wersja, która nie zna dyrektywy memory_hard_limit_percent, jest dotknięta luką. Test trzeba wykonać osobno dla każdej wersji PHP i każdego trybu pracy, ponieważ wiersz poleceń może używać innej wersji niż serwer WWW.
Czy starsze wersje PHP, takie jak 7.4 lub 8.0, też są dotknięte?
Według prasy branżowej dotknięte są niemal wszystkie wersje aż do PHP 5.4. Dla wersji 8.1 i starszych projekt PHP nie wydaje już oficjalnych aktualizacji, tylko minimalne backporty kodu źródłowego. To, czy dostawca je wgrał, musi on potwierdzić.
Czy Cloudflare mnie chroni, jeśli jestem dotknięty?
Częściowo. Cloudflare wprowadził reguły ochronne, ale sam ostrzega, że nie zastępują one aktualizacji. Jeśli serwer źródłowy jest dostępny bezpośrednio, ochrona zostaje ominięta.