Krótko: BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) ogłosiło dla PHP2Shell stopień ostrzeżenia 3 (pomarańczowy). Zalecenie jest jednoznaczne: natychmiast zaktualizować PHP, a jeśli nie jest to możliwe od razu, czasowo odłączyć dotknięte serwery WWW od sieci. BSI spodziewało się szybkiego masowego wykorzystania; potwierdzone udane ataki na szeroką skalę początkowo nie były znane.
Ostrzeżenie BSI o PHP w skrócie
Bundesamt für Sicherheit in der Informationstechnik (BSI) jest centralnym organem fachowym ds. cyberbezpieczeństwa w Niemczech. W sprawie PHP2Shell opublikowało ostrzeżenie stopnia 3 (pomarańczowy). Powodem są dwie krytyczne luki w samym PHP: CVE-2026-109618 i CVE-2026-109619, obie z oceną CVSS v4.0 9.2. Pozwalają atakującym wykonać szkodliwy kod na serwerze bez logowania.
Kluczowe tezy ostrzeżenia można podsumować tak:
| Teza | Znaczenie dla operatorów |
|---|---|
| Stopień ostrzeżenia 3 / pomarańczowy | poważna sytuacja, konieczne działanie |
| Zalecana natychmiastowa aktualizacja | zainstalować wersje PHP z usuniętą luką |
| W przeciwnym razie czasowo odłączyć od sieci | dostępność podporządkować ochronie |
| Spodziewane szybkie masowe wykorzystanie | nie czekać na pierwsze zgłoszenia szkód |
| Udane ataki na szeroką skalę początkowo niepotwierdzone | nie jest to powód do uspokojenia |
Aktualną wersję znajdą Państwo na stronie BSI.
Co w praktyce oznacza „natychmiast zaktualizować”
Projekt PHP opublikował 21.10.2026 o 14:00 UTC (16:00 czasu niemieckiego) wersje z usuniętą luką: PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Dla PHP 8.1 i starszych nie ma już oficjalnych aktualizacji, jedynie minimalne backporty źródeł dla 7.4, 8.0 i 8.1.
Aktualizacja działa dopiero wtedy, gdy wszystkie procesy PHP zostały zrestartowane. Same nowe pliki nie wystarczą, dopóki w pamięci działają stare procesy robocze. Ponadto: dystrybucje i hosterzy częściowo instalują poprawki jako backport. Wtedy na przykład Plesk nadal pokazuje 8.2.34, mimo że jest załatane. Rozstrzygają stan pakietów i potwierdzenie dostawcy. A aktualizacja CMS, na przykład WordPressa, nie zamyka luki w PHP.
Gdy aktualizacja nie jest możliwa od razu
Na taki przypadek BSI zaleca czasowe odłączenie serwerów WWW od sieci. To środek twardy, ale jasny. Dla wielu firm planowany przestój kilku godzin jest mniej szkodliwy niż włamanie z wyciekiem danych.
php.net podaje dodatkowo środki przejściowe, które zmniejszają ryzyko, ale wyraźnie nie dają pełnej ochrony. Należą do nich session.upload_progress.enabled=0 w konfiguracji serwera, ograniczone wartości post_max_size, limity pamięci przez kontenery lub cgroups oraz w PHP 8.5 fatal_error_backtraces=0, każdorazowo z następującym potem restartem wszystkich procesów roboczych. Szczegóły podaje artykuł Środki doraźne bez poprawki.
Jeśli publicznie dostępny serwer WWW nadal działa z niezałataną wersją PHP i bez środków przejściowych, z zalecenia BSI wynika: odłączyć serwer od sieci, dopóki aktualizacja nie zostanie zainstalowana, a wszystkie procesy zrestartowane.
Ocena sytuacji
BSI nie jest ze swoją oceną osamotnione. Cloudflare zgłosiło zaobserwowane próby ataków i wdrożyło reguły ochronne, ostrzega jednak, że same reguły oparte na danych żądania nie wystarczają. Palo Alto Networks (Unit 42) naliczyło ponad 22,6 miliona wystawionych, potencjalnie podatnych instancji. Według doniesień medialnych pierwszą próbę ataku zaobserwowano już 17.10.2026, czyli przed publikacją poprawek.
Dla operatorów wynika z tego trzeźwa ocena: kto do dziś nie załatał, powinien nie tylko załatać, ale też sprawdzić, czy coś już się stało. Poprawka nie usuwa wprowadzonego szkodliwego oprogramowania. Opublikowanych, potwierdzonych wskaźników naruszenia (Indicators of Compromise) nie ma; wykrywanie opiera się na analizie zachowania. Prasa branżowa radzi przechowywać logi serwera od 20.10.2026. Wskazówki dotyczące poszukiwań podaje artykuł Czy już doszło do włamania?.
Co zalecenie oznacza dla osób odpowiedzialnych
Ostrzeżenie BSI nie jest ustawą. Jest jednak oceną właściwego organu fachowego i może odgrywać rolę przy późniejszej ocenie decyzji, na przykład ze strony ubezpieczycieli lub audytorów. Kierownictwa powinny więc dokumentować, kiedy dowiedziały się o ostrzeżeniu, jak oceniły własne systemy i jakie środki podjęły. Ogólne wskazówki podaje artykuł Odpowiedzialność zarządu; to nie jest porada prawna.
W praktyce zaleca się nie czytać ostrzeżenia tylko raz. BSI aktualizuje swoje komunikaty, gdy sytuacja się zmienia, na przykład przy nowych ustaleniach dotyczących wykorzystania lub dalszych lukach. Od 23.10.2026 istnieje ponadto informacja php.net o CVE-2026-115560, która dotyczy tylko nietypowych konfiguracji i jest również łagodzona przez session.upload_progress.enabled=0. Proszę wyznaczyć osobę, która do zakończenia sytuacji codziennie sprawdza BSI i php.net oraz przekazuje zmiany działowi technicznemu i kierownictwu. W ten sposób nie powstaje różnica w wiedzy między tymi, którzy decydują, a tymi, którzy wdrażają.
Jak konkretnie pomaga PHP SOS?
- Porównujemy Państwa serwery WWW z zaleceniem BSI: wersja, stan pakietów, restart, dostępność.
- W ramach pomocy doraźnej PHP2Shell łatamy, restartujemy wszystkie procesy i dostarczamy dowód.
- Tam, gdzie aktualizacja nie jest możliwa od razu, ustawiamy środki przejściowe i w razie potrzeby udostępniamy statyczną stronę zastępczą.
- Zabezpieczamy logi i szukamy śladów, aby po poprawce mogli Państwo wiarygodnie ocenić sytuację.
Częste pytania
Co oznacza stopień ostrzeżenia 3 (pomarańczowy) u BSI?
Kolor opisuje podwyższoną, poważną sytuację zagrożenia wymagającą działania. Przy PHP2Shell BSI uzasadnia to krytycznością luk i spodziewanym szybkim wykorzystaniem. Dokładną definicję stopni znajdą Państwo na stronie BSI.
Czy muszę stosować się do zalecenia BSI?
Ostrzeżenie BSI jest zaleceniem, a nie ustawą. Jest jednak ważną oceną właściwego organu fachowego, na której mogą się opierać ubezpieczyciele, audytorzy i sądy. Kto odstępuje, powinien udokumentować powody. To nie jest porada prawna.
Czy według BSI były już udane ataki?
Potwierdzone udane ataki na szeroką skalę według BSI początkowo nie były znane. BSI spodziewało się jednak szybkiego masowego wykorzystania. Inne podmioty zgłaszały już próby ataków.
Gdzie znajdę aktualną wersję ostrzeżenia?
Na stronie BSI w aktualnych ostrzeżeniach bezpieczeństwa. Sytuacja może się zmieniać; proszę tam oraz na php.net regularnie sprawdzać najnowszy stan.