Luka w PHP zagraża 1,3 mln stron. Ekspertka Joanna Wziątek-Ładosz tłumaczy, co teraz musi zrobić właściciel firmowej strony i e-sklepu

Twórcy PHP ujawnili luki w środę 21 października. Przestępcy próbowali je wykorzystać jeszcze przed premierą poprawek, a rządy w Europie i w Polsce wyłączyły część swoich stron.

Na czym polega problem z lukami w PHP i dlaczego rządy w Europie, a teraz także w Polsce, wyłączyły przez nie część swoich stron?

Joanna Wziątek-Ładosz: Problem z PHP polega na tym, że jest bardzo popularny. PHP jest używany na około 70 proc. wszystkich stron internetowych na świecie. Wykorzystują go też takie platformy jak WordPress, Drupal, Joomla czy Magento. Te dwie luki, czyli mówiąc wprost dziury w oprogramowaniu, sprawiają, że ktoś zdalnie, przez internet, może dostać się na naszą stronę, na nasz serwer. Nie potrzebuje do tego ani loginu, ani hasła.

Na całym świecie w pierwszej kolejności zalecono patchowanie, czyli naprawienie tej dziury. Możemy to sobie wyobrazić tak: jeżeli mamy dziurę w ogrodzeniu, to wstawiamy tam nowy fragment ogrodzenia i łatamy tę dziurę, tak żeby nie można jej było wykorzystać.

Jeżeli jednak nie mogę załatać, a mój serwis jest dostępny z internetu, to drugą alternatywą, którą podała zresztą amerykańska CISA, czyli agencja do spraw cyberbezpieczeństwa, jest izolacja systemu od internetu. Najprostszym i najszybszym rozwiązaniem jest więc wyłączenie takiej strony aż do momentu, kiedy będzie możliwe podniesienie jej wersji. I dlatego tak się dzieje.

Załóżmy, że mam firmową stronę na WordPressie albo sklep internetowy. Skąd mam wiedzieć, czy problem dotyczy mnie? I co realnie grozi firmie, która zignoruje temat?

Jeżeli mamy możliwość samodzielnego zalogowania się na stronę, czyli nie obsługuje jej zewnętrzna firma, wystarczy się zalogować i sprawdzić numer wersji PHP, na przykład w sekcji informacji o witrynie. Jest jeszcze panel hostingu i konfiguracja serwera, więc warto poprosić informatyka, żeby to dla nas potwierdził. Wszystkie wersje poniżej tych z poprawką są podatne. Patch został wydany 21 października i można już podnosić PHP do wyższych wersji.

Jeżeli z kolei stronę mamy wyoutsourcowaną, czyli opiekuje się nią firma, która dba o treści, podnosi wersje i patchuje, czyli wgrywa łatki do naszego dziurawego ogrodzenia, to po prostu zapytajmy ją, czy problem dotyczy też naszej strony. Pewnie tak. I czy można podnieść ją do wyższej wersji. Ale też sprawdzić czy PHP nie jest wykorzystywane prze oprogramowanie które jest częścią innego - i wtedy musimy czekać aż producent wyda poprawkę. Ale pamiętajmy też, że PHP to jedno z wielu oprogramowań na serwerze. Przy okazji warto sprawdzić, czy nie mamy innego oprogramowania z groźnymi podatnościami, które mogą doprowadzić do tego samego, czyli do tego, że ktoś przejmie naszą stronę internetową.

W dużym uproszczeniu ta podatność oznacza, że ktoś może spowodować awarię naszej strony, przejąć całkowicie kontrolę nad naszym systemem, ale też łatwo ukraść, zmodyfikować i usunąć dane, które się tam znajdują. Można nawet całkowicie zablokować stronę, tak że właściciel nie będzie mógł się do niej zalogować.

Atakujący mają przy tym ułatwione zadanie. Henk Poley zrobił research Shodanem. To oprogramowanie, które pozwala wyszukać w internecie na przykład podatności. Atakujący mogą powiedzieć: szukam serwerów, które nie mają załatanej tej konkretnej dziury, a oprogramowanie wskaże im konkretne serwisy, usługi i serwery, gdzie ta luka jest otwarta. Shodan nie zawsze potwierdzi, że konkretna podatność rzeczywiście występuje, ale jest dobrym początkiem. Wyszukiwanie Poleya wskazało 1,3 miliona stron internetowych.

Wicepremier Krzysztof Gawkowski wydał rekomendację dla podmiotów KSC. Czy zwykły przedsiębiorca ma teraz jakieś obowiązki prawne? Co musi zrobić, jeśli przez lukę wyciekną dane jego klientów?

Do 3 października 2026 r. należało dokonać tak zwanej samoidentyfikacji w związku z nowelizacją ustawy o krajowym systemie cyberbezpieczeństwa, w skrócie UKSC, która wynika z unijnych przepisów NIS2. Czy zwykły przedsiębiorca, właściciel małej firmy, ma jakieś obowiązki prawne? I tak, i nie. Ma, jeżeli podlega pod krajowy system cyberbezpieczeństwa: jeżeli zatrudnia odpowiednio dużą liczbę osób, ma odpowiednio duże obroty lub jeżeli jego działalność należy do sektora objętego ustawą. Tu trzeba odnieść się do załączników nr 1 i 2 ustawy, gdzie opisano wiele podmiotów i warunków. Takie przedsiębiorstwo prawdopodobnie już wie, że podlega pod nowelizację UKSC i ma z tym związane obowiązki, chociażby to, że musiało się zarejestrować, a teraz korzysta z systemu S46 do obsługi incydentów.

Natomiast czy zwykły przedsiębiorca musi coś robić? Tu wracamy do podstaw cyberbezpieczeństwa, czyli do tego, jak szacuję moje ryzyko. Jakie jest dla mnie ryzyko, jeżeli przestępca przejmie albo usunie informacje z mojej strony? Czy wolę teraz wyłączyć stronę, i nie zarabiać bo sklep internetowy nie działa, oraz czekać na możliwość spatchowania, czy uważam, że jeżeli coś takiego się stanie, to trudno, mam backup offline i będę się tym przejmować potem?

Ale jeżeli to strona, która jest sklepem, i są tam dane klientów albo innych podmiotów, to obowiązuje nas chociażby RODO. Jeżeli to dane medyczne, to są to dane szczególne. Tu odpowiedzialność jest zupełnie inna, bo jeżeli dojdzie do wycieku tych danych, możemy dostać kary za to, że niedostatecznie zabezpieczyliśmy te dane.

Co przedsiębiorca powinien zrobić krok po kroku: dziś, w najbliższych dniach i w dłuższej perspektywie? Do kogo zadzwonić i o co dokładnie zapytać, jeśli stronę prowadzi agencja albo firma hostingowa?

W pierwszej kolejności musimy ustalić, czy w ogóle mamy tę wersję PHP. Możemy poprosić o to firmę, która jest w stanie to dla nas zrobić, albo wykorzystać chociażby wspomnianego bezpłatnego Shodana. Możemy też skorzystać z narzędzi tak zwanych ASM, czyli Attack Surface Management. Wpisujemy tam naszą domenę i widzimy, jakie wersje oprogramowania są widoczne z internetu. Z mojej perspektywy najgroźniejsze są te, które są bezpośrednio dostępne z internetu. Możemy też zalogować się do portalu, w którym mamy usługi internetowe, i sprawdzić tam wersje oprogramowania.

Możemy zadzwonić do informatyka, do firmy hostingowej lub agencji, która prowadzi nam stronę, i zapytać wprost, żeby przysłali nam konkretne wersje i powiedzieli, co zamierzają z tym zrobić. Jeżeli to usługa świadczona dla nas, mamy prawo wiedzieć, jakie środki zaradcze zamierzają zastosować i czy zasugerują wyłączenie strony, czy poczekanie. Tu znowu wracamy do analizy ryzyka.

Czasami to nie my decydujemy o tym, czy możemy zrobić upgrade, bo leży to po stronie hostingu, czyli firm, które świadczą nam usługę utrzymywania sklepu internetowego, strony czy innych serwisów. Są też produkty dostarczane z własną, zintegrowaną instalacją PHP. W takich przypadkach poprawkę musi zapewnić producent lub administrator produktu i musimy poczekać, aż ta firma to zrobi. Mówiąc szczerze, żaden Kowalski nie będzie miał wpływu na to, czy firma natychmiast to naprawi. Jedni zrobią to bardzo szybko, u innych potrwa to kilka, kilkanaście tygodni, a być może nie wydarzy się nigdy, bo takie przypadki w cyberbezpieczeństwie też były.

Dzisiaj trzeba porównać wersję, z której korzystamy, z tym, co jest patchowane. Jeżeli nie możemy jeszcze zaktualizować, albo izolujemy system, albo ograniczamy ryzyko. Oficjalne zalecenia PHP obejmują m.in. zmianę określonych ustawień PHP, ograniczanie parametrów żądań HTTP i kontrolowanie zużycia zasobów, ale to wszystko musi wdrożyć informatyk. Niektóre firewalle aplikacyjne, czyli takie, które chronią aplikacje, na przykład strony internetowe, mają już reguły ochronne. Bardzo popularny Cloudflare wydał reguły, które chronią takie systemy, przynajmniej częściowo. Żaden z tych środków nie zastępuje jednak pełnej poprawki. Jeżeli nie można bezpiecznie utrzymywać podatnej usługi dostępnej z internetu, należy rozważyć jej izolację lub czasowe wyłączenie.

Po czym przedsiębiorca pozna, że przestępcy mogli już wykorzystać lukę na jego stronie? I gdzie szukać pomocy, jeśli ma takie podejrzenie?

Zacznę od końca. Jeżeli mamy podejrzenie albo ślady wykorzystania tej podatności, w Polsce należy zgłosić to do CERT Polska w NASK przez formularz na stronie incydent.cert.pl.

Niestety, istnieją już działające sposoby wykorzystania tych podatności, a próby ataków obserwowano jeszcze przed publicznym udostępnieniem poprawek. Zespół Amazon Threat Intelligence, który obserwuje to, co dzieje się w internecie, i analizuje działania grup przestępczych, ma specjalny serwis pułapkę. W informatyce nazywamy to honeypot network, czyli słoikiem miodu, do którego lecą pszczoły. 

Chodzi o to, żeby przestępcy próbowali go atakować, a my na tej podstawie uczymy się, co i jak wykorzystują. W takiej sieci, ustawionej 17 października, czyli cztery dni przed publicznym ujawnieniem podatności, Amazon odnotował już próby jej wykorzystania na żywo. Nie wiadomo, skąd przestępcy o tym wiedzieli, dlatego musimy przyjąć, że wykorzystanie tej podatności jest już możliwe. Musimy liczyć na szczęście, że nasza strona wśród 1,3 miliona stron internetowych nie znajdzie się na celowniku albo nie od razu.

Stąd decyzje o wyłączaniu i izolowaniu stron. Tym bardziej że to zalecenia dużych organizacji. Europejska ENISA daje dokładnie takie samo zalecenie. Takie zalecenia daje też nasz CERT: jeżeli nie mogę zaktualizować, to tymczasowo wyłączam usługi korzystające z PHP, które są dostępne z internetu. W tej chwili to przyjęta dobra praktyka.

A po czym poznać, że coś jest nie tak? Po pierwsze, strona niespodziewanie przestała działać albo pojawiają się częste błędy serwera. Po drugie, zawartość strony została zmieniona bez wiedzy właściciela. Następnie pojawiły się nieznane konta administratorów, pliki lub wtyczki. Później, właściciel utracił dostęp do panelu zarządzania. A także hosting zgłasza nietypowe procesy, błędy PHP, zwiększone wykorzystanie zasobów albo podejrzane żądania HTTP.