Luki, śledzone jako CVE-2026-109618 i CVE-2026-109619, mogą umożliwić atakującym zdalne wykonywanie złośliwego kodu na podatnych serwerach bez uwierzytelniania. Zespół ds. bezpieczeństwa PHP wydał aktualizacje 21 października 2026 r. o godz. 13.40 czasu UTC. Pełne szczegóły techniczne tych aktualizacji, a także dotknięte i poprawione wersje towarzyszą wydaniu.
Doradztwo w zakresie bezpieczeństwa PHP można znaleźć pod adresem: https://www.php.net/archive/2026.php
Organizacje powinny identyfikować swoje aplikacje oparte na PHP, koordynować działania z dostawcami hostingu i usług oraz stosować wydane aktualizacje zabezpieczeń. Priorytetowe traktowanie systemów skierowanych do internetu. W przypadku gdy natychmiastowa remediacja nie jest możliwa, rozważ odizolowanie odsłoniętych aplikacji z sieci publicznych do czasu zastosowania poprawek.
Wiele produktów komercyjnych i open source opiera się na PHP w tle. W rezultacie niektóre z nich mogą być dotknięte tymi lukami, nawet jeśli nie wydają się używać PHP bezpośrednio. Zalecamy sprawdzenie repozytorium NCSC-NL GitHub pod kątem informacji na temat oprogramowania innych firm, które zawiera PHP i może mieć wpływ: https://github.com/NCSC-NL/php2shell
Najnowsze informacje opublikowane przez członków sieci CSIRT można znaleźć w ich odpowiednich oficjalnych kanałach komunikacji. Organizacje mogą również odwoływać się do wytycznych wydanych przez CERT-UE. ENISA prowadzi zbiór doradczy pod adresem: https://github.com/enisaeu/CNW/blob/main/advisories/2026/CNW-2026-04_php.md
ENISA i wszystkie odpowiednie podmioty UE będą nadal monitorować to zagrożenie, aby przyczynić się do ogólnej orientacji sytuacyjnej na szczeblu Unii.
Polityka UE
Organizacje powinny ponadto mieć świadomość, że od 11 września 2026 r. producenci sprzętu i oprogramowania muszą zgłaszać aktywnie wykorzystywane podatności za pośrednictwem jednolitej platformy sprawozdawczej agencji ratingowej, zgodnie z rozporządzeniem (UE) 2024/2847 (akt dotyczący cyberodporności). Więcej informacji można znaleźć na stronie: https://digital-strategy.ec.europa.eu/en/policies/cra-reporting oraz https://www.enisa.europa.eu/topics/product-security/vulnerability-services/eu-incident-response-and-cyber-crisis-management/single-reporting-platform-srp
Główne wymogi w zakresie cyberbezpieczeństwa określone w akcie dotyczącym cyberodporności będą miały zastosowanie od dnia 11 grudnia 2027 r. Będą one wymagały od producentów sprzętu i oprogramowania („produkty z elementami cyfrowymi”) wdrożenia uwzględniania bezpieczeństwa na etapie projektowania i zapewnienia wsparcia w zakresie bezpieczeństwa w całym cyklu życia takich produktów, w tym niezwłocznego usunięcia luk w zabezpieczeniach.
Last update
22 październik 2026