Badacze z firm Calif i Wiz, korzystając z modeli GPT-5.6 Sol i Gemini 4 Argon, znaleźli w PHP dwie krytyczne luki, które pozwalają przejąć serwer bez logowania i dotyczą wszystkich wersji języka od 5.4 wzwyż. Po ich ujawnieniu 21 października Cloudflare odnotował miliony prób ataku, a Sam Altman z OpenAI, Jason Clinton z Anthropic i Matthew Prince z Cloudflare ostrzegają, że to dopiero początek fali podatności wykrywanych przez AI.
- Dwie krytyczne luki w PHP, oznaczone jako CVE-2026-109618 i CVE-2026-109619 (PHP2Shell), dotyczą wszystkich wersji języka od PHP 5.4 wzwyż, mają ocenę 9,2 w skali CVSS v4.0 i umożliwiają zdalne wykonanie kodu oraz odczyt haseł i tokenów z pamięci bez uwierzytelnienia – poprawki wydano 21 października 2026 r. dla wersji 8.2.35, 8.3.36, 8.4.27 i 8.5.12, a starsze gałęzie nie otrzymają oficjalnych łatek.
- Luki zostały niezależnie odkryte z pomocą modeli AI: Ryan Austin z firmy Calif użył GPT-5.6 Sol w ramach projektu OpenAI „Patch the Planet", a zespół Wiz Research – modeli Gemini 4 Argon i GPT-5.6 Sol; według Wiz jeden badacz wspierany przez AI zrobił w tydzień to, co wcześniej zajęłoby światowej klasy zespołowi miesiące.
- Sam Altman (CEO OpenAI), Jason Clinton (zastępca CISO Anthropic) i Matthew Prince (CEO Cloudflare) publicznie ostrzegli, że tempo wykrywania błędów przez AI przerośnie możliwości ich łatania – Altman stwierdził: „Nie sądzę już, że będziemy w stanie załatać wszystkie błędy", a Clinton zapowiedział „tsunami podatności" i dodał, że nie będzie dość czasu na łatanie infrastruktury krytycznej.
Branża nazwała ten tydzień „Black October”. Luki, oznaczone jako CVE-2026-109618 i CVE-2026-109619, dostały wspólną nazwę PHP2Shell. Wiz opublikował krótkie podsumowanie odkrycia na X: https://twitter.com/wiz_io/status/2112899813264277528.
🚨 BREAKING: @Wiz_io Research uncovers #PHP2SHELL, a decade-old PHP Core vulnerability reaching CVSS 9.2 severity impacting 70% of the Internet. pic.twitter.com/B7yEQuhnoS
— Wiz (@wiz_io) October 21, 2026
Chcesz czytać więcej treści związanych z AI?
Dodaj AIPORT.pl do preferowanych źródeł Google
Dwie luki w PHP pozwalały przejąć serwer bez logowania
PHP2Shell to błędy w samym silniku PHP, a nie w aplikacjach takich jak WordPress czy Drupal. Wiz Research pisze, że podatności umożliwiają ujawnienie pamięci i zdalne wykonanie kodu bez uwierzytelnienia w samym PHP, niezależnie od aplikacji, która na nim działa. Nawet prosta aplikacja typu „Hello World” na podatnej wersji PHP może być zagrożona.
Źródłem problemu jest obsługa błędów krytycznych. Wszystkie ujawnione podatności dotyczą bezpieczeństwa pamięci i wynikają z tego, jak PHP obsługuje błędy krytyczne podczas przetwarzania żądań, zwłaszcza błędy braku pamięci. Po przerwanym żądaniu w procesie może zostać uszkodzony stan, który kolejne żądanie wykorzysta.
Najważniejsze fakty techniczne:
- obie luki mają ocenę 9,2 w skali CVSS v4.0, czyli poziom krytyczny,
- każda wersja PHP wydana w ostatniej dekadzie jest podatna na co najmniej jedną z nich, aż do PHP 5.4,
- Wiz pokazał zdalne wykonanie kodu bez logowania na najnowszych obrazach kontenerów WordPressa, Drupala i Joomli,
- atakujący mogą też odczytać z pamięci procesu PHP hasła, tokeny i klucze API bez przejmowania serwera,
- poprawki trafiły do wersji 8.5.12, 8.4.27, 8.3.36 i 8.2.35, wydanych 21 października 2026 r.
Starsze gałęzie są w gorszej sytuacji. PHP 8.1 i starsze wersje nie są już wspierane, więc oficjalnych poprawek dla nich nie ma. Zespół PHP w notce do wydania 8.2.35 przypomina też, że PHP 8.2 traci wsparcie 31 grudnia 2026 r. i że nie istnieją pełne środki zaradcze, a jedynym bezpiecznym wyjściem jest aktualizacja.
Skala jest ogromna, bo PHP napędza większość stron w sieci. Według W3Techs PHP działa na około 69 proc. witryn ze znanym językiem po stronie serwera. Wiz zaokrągla to do 70 proc. i mówi o „70 proc. internetu”, co jest uproszczeniem: dotyczy stron, dla których da się ustalić technologię serwerową.
Calif i Wiz znaleźli luki niezależnie, z pomocą modeli OpenAI i Google
Luki odkryły dwa zespoły, pracujące niezależnie od siebie. Pierwszy był Ryan Austin z kalifornijskiej firmy Calif, który działał w ramach projektu OpenAI „Patch the Planet” i korzystał z modelu GPT-5.6 Sol. Drugim był zespół Wiz Research, czyli firmy należącej do Google Cloud.
Wiz w swoim raporcie podaje, że w badaniach używał narzędzia Wiz Atlas oraz modeli Gemini 4 Argon i GPT-5.6 Sol, przy czym Gemini 4 Argon miał duży udział w znalezieniu luki, budowie exploita, wykrywaniu ataków i walidacji poprawki.
Oś czasu według źródeł pierwotnych i firmy Sansec:
- 1 sierpnia 2026: Calif znajduje kilka ścieżek zdalnego wykonania kodu.
- 11 sierpnia: Calif zgłasza pierwszy błąd zespołowi PHP i rozpoczyna skoordynowane ujawnienie.
- 19 sierpnia: Wiz Research odkrywa pierwszą podatność, a 24 sierpnia zgłasza ją PHP.
- 21 września: PHP potwierdza zgłoszenia i zaczyna przygotowywać poprawkę.
- 20 października: informacje wyciekają, a watchTowr potwierdza zdalne wykonanie kodu.
- 21 października, 14:00 UTC: PHP publikuje poprawione wersje, a Calif, Wiz, OpenAI i PHP ujawniają szczegóły.
Wiz uważa, że bez AI ten błąd prawdopodobnie dalej leżałby w kodzie. Zespół pisze, że PHP2Shell to jedne z najpoważniejszych podatności wykrytych w PHP: „jedne z najpoważniejszych podatności wykrytych w PHP, a może i w historii oprogramowania” / „among the most severe vulnerabilities discovered in PHP, and arguably in software history”. Badacze dodają, że błędy istniały od dawna, ale wykazanie ich wykorzystania wymagało bardzo złożonego łańcucha kroków, na granicy możliwości ludzkich badaczy, a modele AI mocno obniżyły tę barierę. W podsumowaniu raportu Wiz podaje, że jeden badacz z modelami AI i odpowiednimi narzędziami zrobił w tydzień to, co wcześniej zajęłoby światowej klasy zespołowi miesiące.
OpenAI przedstawia sprawę jako sukces obrońców. Firma twierdzi, że według jej wiedzy AI znalazła te luki przed atakującymi, co dało opiekunom kodu i dostawcom zabezpieczeń czas na przygotowanie poprawek.
Wypełnij formularz, a my skontaktujemy się z Tobą, aby upewnić się czego potrzebujesz.
Cloudflare: miliony prób ataku w ciągu kilku godzin od ujawnienia
Embargo nie wytrzymało do końca i ataki zaczęły się, zanim poprawka była dostępna. Według PHP Foundation, cytowanej przez Simona Willisona, 20 października około 15:00 UTC numery CVE zaczęły krążyć na forach i w mediach społecznościowych, choć bez szczegółów technicznych. PHP przyspieszyło wtedy wydanie z 22 na 21 października, a Calif, jedna z firm zgłaszających luki, przez pomyłkę opublikował film z demonstracją exploita.
Matthew Prince, CEO Cloudflare, opisał na X, jak rosła liczba prób ataku w sieci Cloudflare. W ciągu 10 godzin przed ogłoszeniem były to tysiące prób, w 45 minut po ogłoszeniu dziesiątki tysięcy, w ciągu 2 godzin setki tysięcy, a w chwili pisania wpisu już miliony. Cloudflare twierdzi, że chronił klientów wcześniej: od 21 października, 3:02 UTC, klienci korzystający z darmowego lub płatnego WAF byli domyślnie chronieni przed php2shell.
Są też sygnały, że ktoś znał lukę jeszcze wcześniej. Amazon Threat Intelligence wykrył próbę wykorzystania PHP2Shell z 17 października 2026 r., cztery dni przed publicznym ujawnieniem.
Wiele instytucji wolało wyłączyć strony, niż ryzykować. W Holandii 21 października prewencyjnie zniknęły m.in. Tweakers, strona Izby Reprezentantów, NCSC i Security.NL. W Japonii banki, linie lotnicze i przewoźnicy kolejowi zawiesili w czwartek usługi online. Amerykańska NSA zaleciła natychmiastową instalację poprawek, a TechCrunch relacjonuje, że jej stanowisko sprowadza się do tego, by stronę, której nie da się od razu załatać, raczej wyłączyć do czasu aktualizacji.
Altman, Clinton i Prince ostrzegają przed „tsunami podatności”
Po PHP2Shell kilku szefów firm technologicznych publicznie przyznało, że tempo łatania nie nadąży za tempem wykrywania błędów przez AI. Sam Altman, CEO OpenAI, w czwartek wieczorem 22 października powiedział:
„Nie sądzę już, że będziemy w stanie załatać wszystkie błędy” / „I no longer think we’re going to be able to patch all bugs”
Jason Clinton, zastępca dyrektora ds. bezpieczeństwa informacji w Anthropic, zapowiedział „tsunami podatności” w najbliższych miesiącach i dodał:
„Nie będzie dość czasu, żeby załatać infrastrukturę krytyczną” / „There won’t be enough time to patch critical infrastructure”
Marc Benioff, CEO Salesforce, poparł Clintona. Napisał, że Clinton ma w 100 proc. rację, i nazwał sytuację „code red”, czyli stanem najwyższego alarmu.
Matthew Prince w rozmowie przytoczonej przez The Guardian przewiduje, że najbliższe miesiące będą dla branży bardzo trudne:
„To będzie wyglądać tak, jakby niebo spadało nam na głowę” / „It’s going to feel like the sky is falling.”
Warto zauważyć, że ostrzeżenia płyną od firm, które same sprzedają modele AI albo usługi bezpieczeństwa. OpenAI zapowiedziało przy tej okazji ramy reagowania na luki wykrywane przez AI, a Wiz w swoim raporcie promuje własne narzędzia. Interes biznesowy nie unieważnia jednak faktów: luka była realna, a próby ataków liczono w milionach.
PHP2Shell to dla mnie pierwszy przypadek, w którym teza „AI zmieni cyberbezpieczeństwo” przestała być prezentacją na konferencji. Ten błąd siedział w kodzie od ponad dekady i nikt go nie wykorzystał, bo zbudowanie działającego exploita było zbyt trudne. Modele językowe zdjęły tę barierę w tydzień.
Widzę w tym dwie strony. Plus jest taki, że tym razem obrońcy byli szybsi, a koordynacja między PHP, OpenAI, Wiz, Cloudflare i rządami zadziałała, mimo wycieku. Minus jest taki, że te same modele są dostępne dla atakujących, a cały system opiera się na garstce ludzi. The Guardian zwrócił uwagę, że PHP Foundation ma 13 pracowników na pełny i częściowy etat. Firmy AI dostają miliardy, a projekty open source, na których stoi internet, dostają wdzięczność w podziękowaniach na blogu.
Pytanie, które sobie zadaję: kto zapłaci za łatanie, skoro AI będzie produkować zgłoszenia szybciej, niż ludzie je przeczytają? AIPORT.pl też działa na WordPressie, więc ten temat nie jest dla mnie abstrakcją. Jeśli Altman ma rację, że nie załatamy wszystkiego, to umiejętność ustalania priorytetów stanie się ważniejsza niż sama liczba poprawek.
Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl
Nowa luka CVE-2026-115560 dotyczy już załatanych wersji PHP
Aktualizacja z 21 października nie zamknęła tematu. Cloudflare informuje, że 23 października projekt PHP opublikował informacyjne ostrzeżenie o powiązanej luce CVE-2026-115560 w funkcji śledzenia postępu przesyłania w sesjach, która dotyczy także w pełni załatanych wydań, w tym 8.5.12, i zostanie naprawiona w kolejnym regularnym wydaniu.
Wiz już w pierwszym raporcie sygnalizował, że problem jest szerszy niż cztery opisane błędy. Zespół napisał, że w kodzie PHP istnieją inne znane i prawdopodobnie nieznane warianty tego problemu, choć według Wiz poprawka z 21 października usuwa ich wspólną przyczynę.
Za każdą polską firmą AI stoi konkretny człowiek z imieniem i nazwiskiem, często ten sam w kilku miejscach naraz, i to właśnie ludzie, nie tabelki finansowania, są prawdziwym bohaterem tego artykułu.
Polska wyłączyła część stron BIP, CERT Polska wskazuje bezpieczne wersje PHP
PHP2Shell uderzył także w polską administrację. Czasowo wyłączono część rządowych stron, w tym Biuletyn Informacji Publicznej działający w systemie SSDIP. Dotyczyło to tylko stron z adresem ssdip.bip.gov.pl, a serwisy prowadzone w innych systemach działały bez zakłóceń.
CERT Polska, działający w NASK, w komunikacie 196/2026 z 21 października potwierdza, że podatne są wszystkie wersje PHP od 5.4 w górę. Zespół wskazuje bezpieczne wersje:
- PHP 8.5: 8.5.12,
- PHP 8.4: 8.4.27,
- PHP 8.3: 8.3.36,
- PHP 8.2: 8.2.35.
CERT Polska ostrzega, że zmiana konfiguracji serwera to za mało. Ustawienie zalecanych opcji nie wyklucza wykorzystania podatności, a w pełni zabezpiecza jedynie aktualizacja PHP do bezpiecznej wersji.
Dla właścicieli małych stron i sklepów internetowych najważniejsza praktyczna informacja brzmi tak: aktualizacja WordPressa czy wtyczek nie usuwa tej luki. Jak tłumaczy polska agencja Tassel, kliknięcie „Aktualizuj” w panelu WordPressa nie instaluje łatki środowiska PHP, a samo ustawienie „PHP 8.4” lub „PHP 8.5” nie potwierdza zainstalowania poprawki, bo liczy się konkretne wydanie. Osoby korzystające z hostingu współdzielonego powinny więc zapytać dostawcę, czy PHP obsługujące ich domenę zostało zaktualizowane do jednej z wersji z listy CERT Polska.
Źródła i metodologia
Artykuł powstał na podstawie analizy redakcji AIPORT.pl oraz dodatkowych źródeł, w tym raportu technicznego Wiz Research z dnia 21.10.2026, wpisu Cloudflare z dnia 21.10.2026 (zaktualizowanego 23.10.2026), osi czasu opracowanej przez Sansec oraz artykułu The Guardian z dnia 23.10.2026. Dodatkowo wykorzystano informacje z wydań PHP w repozytorium php-src, relacji Reuters, TechCrunch i Simona Willisona. Polski kontekst oparto na komunikacie CERT Polska 196/2026 z dnia 21.10.2026 oraz relacjach polskich mediów.
Cytaty Sama Altmana (CEO OpenAI), Jasona Clintona (zastępca CISO Anthropic), Matthew Prince’a (CEO Cloudflare) oraz zespołu Wiz Research zostały zweryfikowane z oryginalnymi anglojęzycznymi materiałami źródłowymi: raportem Wiz oraz wypowiedziami przytoczonymi przez The Guardian i Reuters.
Komentarz redakcyjny i ocena kontekstu branżowego: Piotr Wolniewicz, Redaktor Naczelny AIPORT.pl.
Artykuł będzie aktualizowany w miarę pojawiania się nowych informacji o lukach PHP2Shell i powiązanej podatności CVE-2026-115560.
