Luki PHP2Shell wywołują globalne wyłączenia serwisów internetowych, ataki rozpoczęły się przed ujawnieniem podatności

Próby rozpoczęły się przed ujawnieniem

Amazon Threat Intelligence podaje, że atakujący próbowali wykorzystać lukę 17 października, cztery dni przed upublicznieniem błędów. Próbę wykrył MadPot, system typu decoy używany przez Amazon do wabienia i badania cyberprzestępców. Atak pochodził z adresu IP powiązanego z komercyjną siecią anonimizującą. W środę 21 października Amazon zidentyfikował również kilka exploitów typu proof-of-concept oraz kolejne próby z innej anonimizowanej infrastruktury, co według firmy wskazuje na zaangażowanie więcej niż jednego aktora. Cloudflare niezależnie ostrzegł przed wczesnymi atakami na strony PHP w swojej platformie, mimo że początkowo nie zgłoszono wykorzystania żadnej z luk. Złośliwa aktywność nie ustała po opublikowaniu poprawki.

W sieci zaczęło krążyć określenie „Czarny Październik”, choć nie jest jasne, czy atakującym udało się wykorzystać błędy przeciwko konkretnym celom.

Luki i ich odkrywcy

Projekt PHP opublikował informacje o dwóch lukach, CVE-2026-109618 i CVE-2026-109619, 21 października i tego samego dnia wydał pilną aktualizację bezpieczeństwa. ZDNet donosi, że każda z nich ma krytyczny wskaźnik zagrożenia na poziomie 9,2 i dotyczy większości kompilacji PHP. Zespół ds. bezpieczeństwa Wiz odkrył błędy przy pomocy sztucznej inteligencji, a ANSA podaje, że słabość pozostawała ukryta w systemach przez ponad dekadę. Wiz twierdzi również, że PHP znajduje się na 70% stron internetowych świata i opisuje zagrożenie w bezpośredni sposób:

Te podatności obejmują ujawnienie pamięci i nieuwierzytelnione zdalne wykonanie kodu w samym PHP, niezależnie od aplikacji działającej na jego bazie.

Badacze stwierdzili, że zbudowanie łańcucha ataku wymagało wyjątkowo złożonej sekwencji kroków, będącej na granicy możliwości ludzkich badaczy, ale modele sztucznej inteligencji znacznie obniżyły tę barierę.

Wyłączenia usług w różnych sektorach

Adnkronos donosi, że luki doprowadziły do zapobiegawczych wyłączeń stron internetowych i usług podstawowych, w tym bankowości, linii lotniczych, kolei i usług rządowych, od Tokio po Helsinki. W Japonii Mitsubishi UFJ Financial Group oraz dom maklerski Nomura zawiesiły strony internetowe i dostęp do usług cyfrowych na kilka godzin w celu przeprowadzenia pilnej konserwacji, podaje SAPO. Ministerstwa, sądy, sieci szpitali i portale ubezpieczeń społecznych w kilku krajach europejskich również tymczasowo zawiesiły ruch publiczny. W Holandii strony rządowe zostały w środę wyłączone w ramach środków ostrożności, a kontakt ze szpitalami przez ich strony internetowe był niemożliwy. Adnkronos dodaje, że Japonia, Francja i Korea Południowa przyjęły środki nadzwyczajne, zawieszając usługi online i podnosząc poziom alertów cyberbezpieczeństwa.

Zalecenia i co mogą zrobić użytkownicy

Zalecenia wydane przez CERT-EU, portugalskie Centro Nacional de Cibersegurança oraz amerykańską agencję CISA mówią organizacjom, które nie mogą natychmiast zastosować poprawek, aby odłączyły zainfekowane systemy od internetu, donosi SAPO. Europa Press dodaje, że CERT-EU zalecił izolację aplikacji wystawionych na zewnątrz od sieci publicznych do czasu udostępnienia poprawki. The Independent podaje, że tylko operatorzy dotkniętych stron mogą bezpośrednio naprawić luki. Emily Austin, główna badaczka ds. bezpieczeństwa w Censys, stwierdziła, że użytkownicy końcowi mogą zrobić niewiele poza nadzieją, że usługi, z których korzystają, nie używają PHP lub są aktualizowane. Zaleciła również stosowanie unikalnych haseł dla każdej strony. Dan Guido, dyrektor generalny i współzałożyciel Trail of Bits, doradził włączenie automatycznych aktualizacji w telefonach, komputerach i domowych routerach.

Nie możesz samodzielnie załatać strony internetowej swojego szpitala.

Guido dodał, że większość pracy spoczywa na firmach obsługujących usługi, które muszą szybciej wdrażać poprawki i ograniczać szkody, jakie mogą wyrządzić skompromitowane systemy.