Poważne zagrożenie dla bezpieczeństwa stron internetowych wywołało reakcję instytucji publicznych na całym świecie. W popularnym języku programowania PHP wykryto dwie krytyczne luki, które mogą umożliwiać cyberprzestępcom przejmowanie serwerów bez konieczności logowania. W Polsce zdecydowano o czasowym wyłączeniu części stron urzędowych, a podobne środki ostrożności podjęto również w innych państwach.
Jak informuje Money.pl, poprawki zabezpieczeń zostały już udostępnione, jednak administratorzy muszą je zainstalować, aby ograniczyć ryzyko ataków. Eksperci podkreślają, że problem dotyczy przede wszystkim właścicieli i operatorów stron internetowych, a nie bezpośrednio osób korzystających z sieci.
Dwie krytyczne luki w PHP. Hakerzy mogą przejmować serwery
We wtorek 20 października 2026 roku twórcy PHP poinformowali o wykryciu dwóch poważnych podatności oznaczonych jako CVE-2026-109618 i CVE-2026-109619. Według informacji przytoczonych przez Money.pl błędy zostały zidentyfikowane z wykorzystaniem sztucznej inteligencji.
PHP jest jednym z najpopularniejszych języków programowania wykorzystywanych do obsługi stron internetowych. Działa po stronie serwera i odpowiada między innymi za generowanie treści wyświetlanych następnie w przeglądarce użytkownika.
Odkryte podatności są szczególnie niebezpieczne, ponieważ mogą pozwalać na nieautoryzowane wykonywanie działań na podatnym serwerze. W praktyce udany atak może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub uzyskania dostępu do kont.
W środę 21 października opublikowano aktualizacje usuwające wykryte błędy. Administratorzy korzystający z podatnych wersji oprogramowania zostali wezwani do niezwłocznego wdrożenia poprawek.
Polska wyłączyła strony urzędowe. Minister cyfryzacji wyjaśnia decyzję
Na zagrożenie zareagowały również polskie instytucje publiczne. Ministerstwo Cyfryzacji poinformowało, że Centralny Ośrodek Informatyki czasowo wyłączył część stron Biuletynu Informacji Publicznej, aby ograniczyć ryzyko wykorzystania podatności.
Wicepremier i minister cyfryzacji Krzysztof Gawkowski wyjaśnił w czwartek, że decyzja miała charakter zapobiegawczy. Chodziło o zabezpieczenie serwisów korzystających z podatnego oprogramowania do czasu przeprowadzenia niezbędnych aktualizacji.
Równocześnie rozpoczęto prace nad usunięciem luk w systemach. Po południu 22 października resort poinformował, że Centralny Ośrodek Informatyki rozpoczął stopniowe przywracanie dostępności stron BIP.
Minister zaapelował także do prywatnych przedsiębiorstw korzystających ze starszych wersji PHP, aby jak najszybciej sprawdziły swoje systemy i zainstalowały dostępne poprawki.
Urzędy w Europie wyłączają strony. Zagrożenie ma charakter globalny
Polska nie jest jedynym państwem, które zdecydowało się na nadzwyczajne środki bezpieczeństwa. Według Money.pl czasowe wyłączenia stron internetowych przeprowadzono również w Niemczech, Holandii, Belgii, Finlandii i Francji.
W Holandii dostępność swojej witryny ograniczyło nawet Krajowe Centrum Cyberbezpieczeństwa (NCSC). Podobne działania podejmowały inne instytucje publiczne, chcąc uniknąć potencjalnych włamań przed zakończeniem aktualizacji.
Agencje zajmujące się cyberbezpieczeństwem w Europie, Stanach Zjednoczonych, Australii i Japonii wezwały administratorów do pilnego zabezpieczenia infrastruktury. Powodem były również doniesienia o próbach wykorzystywania podatności przez cyberprzestępców.
Nie oznacza to jednak, że wszystkie strony oparte na PHP zostały zainfekowane. Ryzyko zależy od wykorzystywanej wersji oprogramowania, konfiguracji serwera i zastosowanych zabezpieczeń.
Ekspert ostrzega przed kradzieżą danych. Luki wykryto dzięki AI
Do sprawy odniósł się ekspert ds. cyberbezpieczeństwa Łukasz Olejnik. W serwisie X zwrócił uwagę, że wykryte błędy mogły pozostawać niezauważone przez wiele lat, a ich identyfikacja była możliwa dzięki zastosowaniu narzędzi sztucznej inteligencji.
Według eksperta Amazon i Cloudflare obserwowały próby ataków jeszcze przed publicznym ujawnieniem podatności. Oznacza to, że cyberprzestępcy mogli podejmować działania, zanim administratorzy otrzymali oficjalne ostrzeżenia i poprawki.
W rozmowie z portalem Zero.pl Olejnik podkreślił, że zagrożenie jest rzeczywiste. Przejęcie serwera może bowiem skutkować kradzieżą danych użytkowników, haseł i informacji umożliwiających dostęp do kont.
Jednocześnie ekspert zaznaczył, że główna odpowiedzialność za usunięcie problemu spoczywa na administratorach, programistach i dostawcach usług internetowych.
Co powinien zrobić zwykły użytkownik internetu?
Wykryte luki dotyczą oprogramowania działającego na serwerach, dlatego użytkownik odwiedzający stronę nie może samodzielnie ich naprawić. Nie oznacza to jednak, że powinien całkowicie ignorować ostrzeżenia.
Łukasz Olejnik zaleca przede wszystkim aktualizowanie przeglądarek internetowych, systemów operacyjnych i smartfonów. Warto również śledzić komunikaty serwisów, w których przechowywane są dane osobowe lub informacje umożliwiające logowanie.
Jeżeli dojdzie do potwierdzonego wycieku danych, konieczne może być podjęcie dodatkowych działań, takich jak zmiana hasła czy zastrzeżenie numeru PESEL. Zakres reakcji powinien zależeć od rodzaju ujawnionych informacji.
Sama informacja o podatnościach w PHP nie oznacza natomiast, że dane każdego internauty zostały skradzione. Nie ma też podstaw do automatycznego zakładania, że wszystkie odwiedzane strony są niebezpieczne.
FBI wydało pilne zalecenia. Firmy muszą sprawdzić swoje serwery
Na zagrożenie zareagowało także amerykańskie FBI, publikując zalecenia dla organizacji zarządzających stronami internetowymi. Najważniejszym działaniem jest natychmiastowa aktualizacja podatnych instalacji PHP zgodnie z informacjami udostępnionymi przez twórców oprogramowania na stronie php.net.
Jeżeli wdrożenie poprawek nie jest możliwe od razu, FBI zaleca czasowe wyłączenie zagrożonych systemów. Administratorzy powinni również przeprowadzić przegląd infrastruktury, aby ustalić, które aplikacje i serwery wykorzystują podatne wersje PHP.
Szczególnej uwagi wymagają systemy bezpośrednio dostępne z internetu oraz rozwiązania dostarczane przez zewnętrzne firmy. Zalecane jest także monitorowanie podejrzanej aktywności, w tym nietypowego uruchamiania poleceń systemowych i pobierania plików.
W razie wykrycia śladów włamania należy odizolować zagrożony system i zabezpieczyć dzienniki zdarzeń, które mogą pomóc w ustaleniu przebiegu ataku.
Czy zagrożenie dla stron internetowych zostało już opanowane?
Udostępnienie aktualizacji PHP to ważny krok, ale nie oznacza automatycznego zakończenia problemu. Bezpieczeństwo poszczególnych stron zależy od tego, jak szybko ich administratorzy zainstalują poprawki i sprawdzą, czy wcześniej nie doszło do naruszenia systemów.
W Polsce rozpoczęło się już przywracanie części wyłączonych stron Biuletynu Informacji Publicznej. Jednocześnie firmy i instytucje korzystające z podatnego oprogramowania nadal powinny traktować aktualizację jako pilne zadanie.
Dla zwykłych internautów najważniejsze jest zachowanie podstawowych zasad bezpieczeństwa i reagowanie na ewentualne komunikaty o wycieku danych. Największe wyzwanie stoi obecnie przed administratorami milionów serwisów, którzy muszą upewnić się, że ich infrastruktura jest odpowiednio zabezpieczona.
Czytaj też:
Masywna awaria Revolut. Miliony użytkowników bez dostępu do pieniędzy i kart Czytaj też:
Oszuści podszywają się pod PKP Intercity. Podróżni muszą uważać na SMS-y