PHP przygotowuje krytyczną aktualizację zabezpieczeń zaplanowaną na 21 października 2026 r., po zidentyfikowaniu dwóch luk, którym przyznano ocenę CVSS v4 9.2, co plasuje je w kategorii krytycznej wagi. PHP Foundation ogłosiło nadchodzące wydanie 20 października, wzywając użytkowników do przygotowania się na natychmiastową aktualizację, i ostrzegło, że poprawki mogą pojawić się wcześniej niż planowano, jeśli szczegóły eksploitów staną się publiczne lub pojawią się dowody aktywnej eksploatacji.

Wydanie zaplanowano na godzinę 14:00 UTC, co odpowiada 15:00 czasu brytyjskiego (BST). Równolegle z ogłoszeniem PHP Foundation brytyjski Narodowy Ośrodek Bezpieczeństwa Cybernetycznego (NCSC) wezwał organizacje do zidentyfikowania podatnych systemów i przygotowania się do zastosowania poprawek, gdy tylko staną się dostępne. W przypadku braku możliwości szybkiej naprawy organizacje powinny — zgodnie z zaleceniem agencji — rozważyć odłączenie dotkniętych systemów od sieci, dopóki ryzyko nie zostanie zniwelowane.

Wcześniejsze powiadomienie daje administratorom czas na przygotowanie

Wcześniejsze ostrzeżenie PHP Foundation ma dać administratorom czas na przygotowanie się, zanim poprawki zabezpieczeń staną się dostępne. Ponieważ wydanie może zostać przyspieszone w krótkim terminie, przygotowań nie można odkładać do momentu publikacji łatek.

PHP, czyli PHP Hypertext Preprocessor, to skryptowy język działający po stronie serwera, powszechnie używany budowy stron internetowych i aplikacji webowych. Przetwarza logikę zaplecza, komunikuje się z bazami danych i generuje treści dynamiczne przed wysłaniem stron do przeglądarek użytkowników. Ta powszechna rola sprawia, że bezpieczeństwo PHP jest istotne dla organizacji prowadzących strony i aplikacje dostępne w internecie, ponieważ luki w tym języku mogą narazić systemy, które od niego zależą — w zależności od charakteru błędów i możliwości ich wykorzystania.

NCSC zaleca zidentyfikowanie każdego systemu z działającym PHP w infrastrukturze organizacji, priorytetowo traktując systemy dostępne z internetu, ponieważ można się z nimi bezpośrednio połączyć z zewnątrz. Administratorzy powinni również monitorować te systemy pod kątem podejrzanej aktywności i postępować zgodnie z oficjalnymi wytycznymi PHP. Agencja dodatkowo zaleca dalsze monitorowanie aktualizacji od zewnętrznych dostawców, których produkty lub usługi zawierają PHP.

PHP Foundation opublikowało wcześniejsze powiadomienie na X:

Zespół bezpieczeństwa PHP uprzedza: Nadchodzące wydanie zabezpieczeń w środę, 21 października 2026 r., 14:00 UTC, dwie krytyczne luki, obie z oceną CVSSv4 9.2. Użytkownicy PHP zachęcani są do przygotowania się do aktualizacji. Wcześniejsze wydanie, jeśli szczegóły staną się publiczne lub pojawią się dowody aktywnej eksploatacji.

— The PHP Foundation (@ThePHPF) 20 października 2026 r.

Jak aktualizacja może wpłynąć na operatorów stron internetowych

Planowane wydanie tworzy natychmiastowe okno przygotowań dla zespołów ds. bezpieczeństwa, dostawców hostingu i operatorów aplikacji. Gdy poprawki staną się dostępne, administratorzy powinni ocenić dotknięte systemy i niezwłocznie zainstalować odpowiednie aktualizacje.

PHP Foundation ostrzegło również użytkowników korzystających z prowadzonego przez wolontariuszy repozytorium Remi RPM, że w dniu wydania aktualizacje nie będą tam dostępne. Zaleca się przejście na pakiety dystrybucyjne lub kompilację PHP ze źródeł, aby natychmiast zastosować poprawki. To ostrzeżenie ma znaczenie dla operatorów, których proces łatania zależy od tego repozytorium, ponieważ możliwość szybkiej aktualizacji może zależeć od wcześniejszego przygotowania alternatywnej metody instalacji.

NCSC dodatkowo zaleca odłączanie systemów od sieci, gdy natychmiastowa naprawa nie jest możliwa. Ta środek ostrożności może ograniczyć ekspozycję, podczas gdy administratorzy pracują nad pełnym rozwiązaniem problemu, choć może zakłócić dostępność strony.

W przypadku firm z branży krypto, giełd i dostawców portfeli korzystających z infrastruktury opartej na PHP obowiązują te same zasadygotowania. Każda dotknięta usługa może być narażona na ryzyko bezpieczeństwa, jeśli administratorzy opóźnią naprawę po udostępnieniu poprawek. Bezpośrednim priorytetem jest przygotowanie, a następnie szybkie załatanie i dalszy monitoring.

Do czasu wydania aktualizacji zabezpieczeń i ujawnienia jej szczegółów technicznych administratorzy powinni postępować zgodnie z oficjalnymi wytycznymi PHP Foundation i NCSC, zamiast zakładać, które systemy są podatne.

Ten artykuł powstał na podstawie doniesień Blockonomi.