Luki PHP2Shell: rekomendacja Pełnomocnika z 22 października 2026 r. i czasowe wyłączenie stron BIP w SSDIP

22 października 2026 r. Ministerstwo Cyfryzacji opublikowało ostrzeżenie CERT Polska przed podatnościami w PHP - technologii, na której działa wiele serwisów internetowych, w tym popularne oprogramowanie WordPress, Joomla czy WooCommerce. Luki pozwalają atakującemu zdalnie wykonać dowolne polecenia systemowe przez błędy w mechanizmie zarządzania pamięcią. Podatne są wszystkie wersje PHP od 5.4 w górę, a jedyną skuteczną ochroną jest instalacja poprawionej wersji.

Tego samego dnia Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa wydał rekomendację nr 2026/33/6 dotyczącą podatności CVE-2026-109618 i CVE-2026-109619. W mediach luki opisywane są nazwą PHP2Shell; według PAP obie oceniono na 9,2 punktu w skali CVSS 4.0.

Co zaleca Pełnomocnik

1. Natychmiastowe wdrożenie poprawki we wszystkich usługach wykorzystujących PHP - wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
2. Gotowe urządzenia, appliance i aplikacje dystrybuowane jako obrazy (np. Docker) - oczekiwać nowej wersji od producenta i niezwłocznie ją wdrożyć.
3. Do czasu wdrożenia poprawki - ustawić w php.ini: memory_limit na -1, jeżeli pozwalają na to zasoby, a w przeciwnym razie 128M lub więcej; post_max_size na 8M lub mniej; max_input_vars na 1000 lub mniej; session.upload_progress.enabled na Off.

Rekomendację wydano po konsultacji z CSIRT NASK, CSIRT GOV i CSIRT MON, które potwierdziły możliwość wystąpienia incydentu krytycznego w razie niezastosowania się do niej. Pełnomocnik stwierdził, że używanie oprogramowania z tymi podatnościami ma negatywny wpływ na bezpieczeństwo publiczne i istotny interes bezpieczeństwa państwa. Podmiot krajowego systemu cyberbezpieczeństwa może wnieść zastrzeżenia na zasadach art. 33 ust. 5 ustawy o KSC (jak działają rekomendacje Pełnomocnika).

BIP w systemie SSDIP

Centralny Ośrodek Informatyki czasowo wyłączył strony Biuletynu Informacji Publicznej działające w Systemie Scentralizowanego Dostępu do Informacji Publicznej (ssdip.bip.gov.pl), aby wprowadzić zabezpieczenia. Wyłączenie dotyczyło wyłącznie stron w SSDIP, a nie wszystkich BIP w Polsce. Według komunikatu COI przytaczanego przez PAP przeglądanie opublikowanych treści miało być stopniowo przywracane od 22 października po godz. 16:00, bez części funkcji wyszukiwania i części redakcyjnej. 23 października wieczorem wcześniej opublikowane treści były już dostępne, ale część funkcji wyszukiwania i publikowanie nowych treści nadal nie działały.

Urzędy, których BIP działa poza SSDIP - na własnym serwerze, na hostingu albo u dostawcy systemu BIP - nie były objęte wyłączeniem, ale podatność może dotyczyć także ich serwisów. Wersję PHP trzeba sprawdzić samodzielnie albo u dostawcy.

Lista działań dla urzędu i jednostek

1. Inwentaryzacja. Ustalcie, gdzie działa PHP: BIP, strona urzędu i jednostek, serwisy na WordPressie lub Joomli, e-usługi, intranet, panele hostingowe i urządzenia z panelem WWW.
2. Aktualizacja. Wdróżcie wersję z poprawką i zrestartujcie usługi PHP.
3. Dostawcy. Zapytajcie dostawcę BIP, strony i hostingu, czy i kiedy wdrożył poprawkę - najlepiej z potwierdzeniem na piśmie.
4. Urządzenia i obrazy. Dla appliance i obrazów (np. Docker) - nowa wersja od producenta.
5. Do czasu poprawki. Ustawienia php.ini z rekomendacji; systemy, których nie da się szybko załatać, odizolujcie.
6. Ślady włamania. Sprawdźcie systemy pod kątem kompromitacji. W razie wykrycia śladów wykorzystania podatności - niezwłoczny kontakt z CERT Polska przez formularz na incydent.cert.pl; rozważcie zmianę haseł i kluczy. Incydenty zgłaszajcie w trybie ustawy o KSC.
7. Źródło informacji. Bieżące informacje i rekomendacje CERT Polska publikuje w serwisie moje.cert.pl.

Co to znaczy dla LCC

To typowy przypadek dla zadań Lokalnego Centrum Cyberbezpieczeństwa: inwentaryzacja aktywów (zadanie 2), utrzymanie bezpiecznych wersji oprogramowania i aktualizacji (zadanie 3) oraz obsługa incydentów (zadanie 1) - siedem zadań LCC. Wspólny zespół może sprawdzić wersje PHP we wszystkich jednostkach partnerstwa jednocześnie, zamiast zostawiać to każdemu urzędowi osobno. W tym roku Pełnomocnik wydał już podobne rekomendacje m.in. dla oprogramowania MikroTik i WordPress, a 15 października - katalog środków bezpieczeństwa dla podmiotów KSC.