PHP2Shell to dwie krytyczne luki, czyli dziury w zabezpieczeniach PHP, języku programowania, na którym działa mniej więcej siedem na dziesięć stron w internecie. Siedziały w kodzie od wersji PHP 5.4 z 2012 roku, a w sierpniu 2026 znalazł je badacz z pomocą modelu GPT-5.6 Sol. Łatki wydano w pośpiechu 21 października, bo szczegóły wyciekły przed czasem. Poniżej opisuję, kogo to dotyczy i co zrobić, jeśli masz stronę.
Co to jest PHP2Shell i dlaczego jest groźny
Luki mają oznaczenia CVE-2026-109618 i CVE-2026-109619 i ocenę zagrożenia 9,2 na 10. W najgorszym razie ktoś obcy może bez logowania uruchomić na serwerze własny program, czyli przejąć stronę. Błędy siedzą w samym PHP, a nie we wtyczce, więc dotyczą też WordPressa, sklepów na Magento czy MediaWiki, na której działa Wikipedia.
Kto znalazł dziurę w PHP: GPT-5.6 Sol i Gemini 4 Argon
Pierwszy był Ryan Austin z firmy Calif, który przeglądał kod PHP z modelem GPT-5.6 Sol w programie Patch the Planet prowadzonym przez OpenAI. Niecałe dwa tygodnie po jego zgłoszeniu te same błędy niezależnie opisała firma Wiz, która pracowała między innymi z modelem Gemini 4 Argon. Według badaczy z Wiz modele AI znacznie ułatwiły przygotowanie skutecznego ataku na błąd, który latami leżał w kodzie. Calif zastrzega, że żaden model nie znajdzie takich błędów na jedno proste polecenie.
Wyciek, atak przed ogłoszeniem i wyłączone strony
Zespół PHP po cichu szykował poprawki, ale 20 października szczegóły wyciekły na Hacker News, forum dla programistów, i łatki trzeba było wydać już 21 października. Wcześniej, 17 października, pułapka Amazona, czyli serwer udający łatwą ofiarę, zarejestrowała pierwszą próbę ataku. Skąd napastnik znał szczegóły, nie ustalono. Unijny zespół reagowania na incydenty CERT-EU i brytyjskie centrum cyberbezpieczeństwa NCSC radziły wyłączyć to, czego nie da się od razu załatać. Część portali rządowych i systemy pomocnicze Wikipedii na chwilę zniknęły z sieci.
Czy 70% internetu jest zagrożone przez PHP2Shell?
Nie. Według serwisu W3Techs na PHP działa 69,3% stron, ale to nie znaczy, że tyle jest podatnych na atak. Badacz Silas Cutler szacuje, że serwerów, które mogą być podatne na atak, jest ponad 1,3 mln, a jeden serwer często obsługuje wiele stron. Firma Sansec ocenia, że znane dziś ataki nie działają przy domyślnych ustawieniach. Najbardziej zagrożone są strony, których nikt nie aktualizował od lat.
Masz stronę na WordPressie? Co zrobić
Zapytaj dostawcę hostingu, czy zainstalował już poprawioną wersję PHP: 8.2.35, 8.3.36, 8.4.27 albo 8.5.12. Na hostingu współdzielonym, czyli gdy jeden serwer obsługuje strony wielu klientów, łatkę instaluje dostawca, czasem bez zmiany numeru wersji. Jeśli sam zarządzasz serwerem, zaktualizuj PHP i uruchom ponownie serwer WWW. Wcześniej opisywałem, jak model firmy Anthropic znalazł luki ukryte przez 27 lat i jak Gemini włamał się do trzech firm. Tym razem pierwsi byli uczciwi badacze.
PHP2Shell: najczęstsze pytania
Czy moja strona na WordPressie była zagrożona?
WordPress działa na PHP, więc teoretycznie tak. Według firmy Sansec znane ataki nie działają jednak przy domyślnych ustawieniach, a część dostawców hostingu, na przykład Hostinger, zainstalowała poprawkę już 21 października, w dniu jej wydania.
Czy PHP2Shell wykorzystano już do ataków?
Amazon zarejestrował próbę ataku 17 października, cztery dni przed ogłoszeniem. Firma watchTowr 21 października pisała o atakach, ale amerykańska agencja cyberbezpieczeństwa CISA tego dnia ich nie potwierdziła.
Czy AI samo znalazło dziurę w PHP?
Nie samo. Błędy znaleźli badacze z Calif i Wiz, którzy pracowali z modelami GPT-5.6 Sol i Gemini 4 Argon. AI pomogło przeszukać kod i przygotować skuteczny atak.
Źródła: php2shell.com, Sansec, Help Net Security, The Next Web, Tenable, CyberScoop, CBS News.