W środę po południu twórcy PHP poinformowali, że nowa wersja, usuwająca dwie krytyczne luki w zabezpieczeniach, jest już dostępna i zdecydowanie zachęcili użytkowników do natychmiastowej aktualizacji.
Jak wyjaśnia Reuters, PHP to język programowania służący do obsługi stron internetowych. Gdy użytkownik wczytuje stronę, serwer z uruchomionym PHP generuje jej zawartość i wysyła ją do przeglądarki. Jest to darmowe oprogramowanie typu open source, rozwijane przez wolontariuszy.
Jest to również jedno z najczęściej używanych oprogramowań w Internecie. Według serwisu W3Techs, zajmującego się śledzeniem technologii internetowych, PHP obsługuje około 75 proc. stron internetowych, których język programowania można zidentyfikować. Jest to silnik napędzający WordPress, na którym opiera się około 43 proc. wszystkich stron internetowych – od blogów i stron małych firm po portale rządowe, sklepy internetowe i serwisy informacyjne.
We wtorek twórcy PHP przekazali, że zidentyfikowali dwie krytyczne luki w zabezpieczeniach i wezwali użytkowników do aktualizacji swoich stron natychmiast po opublikowaniu poprawki. W związku z doniesieniami, że hakerzy już wykorzystują te luki do włamań na strony internetowe, agencje ds. cyberbezpieczeństwa w Europie, USA, Australii i Japonii wezwały użytkowników PHP do natychmiastowej aktualizacji lub wyłączenia stron internetowych do czasu zainstalowania poprawek. W ramach środków ostrożności swoje strony internetowe wyłączyły m.in. agencje rządowe i instytucje publiczne w Niemczech, Holandii, Belgii, Finlandii i we Francji. W Holandii swoją stronę internetową wyłączyło samo Krajowe Centrum Cyberbezpieczeństwa (NCSC).
Problem może dotyczyć wszystkich wersji PHP, począwszy od PHP 5, chociaż nie sprecyzowano jeszcze, które wersje są podatne na ataki.
Eksperci alarmują i piszą o PHPokalipsie.
"W wielu krajach wyłączano komputery i serwery z powodu PHPokalipsy. Wzywają do tego służby cyberbezpieczeństwa tych krajów. Premier Japonii polecił to wszystkim obywatelom. Wiele projektów podatnych. Niektóre już hakowane. Wykradane są dane. Miliony prób hakowania (testowanie serwerów)" - pisze w mediach społecznościowych Łukasz Olejnik, specjalista w zakresie bezpieczeństwa informacji i ochrony danych.
W wielu krajach wyłączano komputery i serwery z powodu PHPokalipsy. Wzywają do tego służby cyberbezpieczeństwa tych krajów. Premier Japonii polecił to wszystkim obywatelom. Wiele projektów podatnych. Niektóre już hakowane. Wykradane są dane. Miliony prób hakowania (testowanie serwerów)
— Łukasz Olejnik (@prywatnik) October 22, 2026
CERT wydał dzisiaj komunikat ostrzegający przed podatnościami w oprogramowaniu PJP.
Jedyną skuteczną metodą ochrony przed wykorzystaniem podatności jest instalacja poprawionej wersji PHP. W przypadku wykrycia śladów wykorzystania podatności prosimy o niezwłoczny kontakt z zespołem CERT Polska za pomocą formularza dostępnego na stronie incydent.cert.pl. - przekazano.
Na stronie moje.cert.pl zamieszczane są informacje i rekomendacje dotyczący luki PHP.
W związku z wykryciem luk w zabezpieczeniach PHP, Centralny Ośrodek Informatyki, podjął decyzję o czasowym wyłączeniu stron Biuletynu Informacji Publicznej (BIP) działających w Systemie Scentralizowanego Dostępu do Informacji Publicznej (SSDIP)
- podano.
WAŻNE! Czasowa niedostępność stron BIP działających w systemie SSDIP
— Ministerstwo Cyfryzacji (@CYFRA_GOV_PL) October 22, 2026
W czwartek rano Ministerstwo Cyfryzacji wydało "ważną rekomendację dla podmiotów Krajowego Systemu Cyberbezpieczeństwa".
"W związku z wykryciem poważnych podatności w oprogramowaniu PHP, Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa Krzysztof Gawkowski wydał rekomendację dotyczącą pilnego wdrożenia aktualizacji bezpieczeństwa oraz działań ograniczających ryzyko do czasu ich zastosowania. (…) Podatności dotyczą technologii wykorzystywanej przez wiele serwisów internetowych i popularnych systemów opartych na PHP"
- przekazano.
⚠️ Ważna rekomendacja dla podmiotów Krajowego Systemu Cyberbezpieczeństwa. W związku z wykryciem poważnych podatności w oprogramowaniu PHP, Pełnomocnik Rządu do Spraw Cyberbezpieczeństwa @KGawkowski wydał rekomendację dotyczącą pilnego wdrożenia aktualizacji bezpieczeństwa oraz działań ograniczających ryzyko do czasu ich zastosowania. Rekomendacja została przygotowana po konsultacjach z CSIRT NASK, CSIRT GOV i @CSIRT_MON, które potwierdziły możliwość wystąpienia poważnych incydentów w przypadku pozostawienia podatnych systemów bez aktualizacji. Podatności dotyczą technologii wykorzystywanej przez wiele serwisów internetowych i popularnych systemów opartych na PHP. 🔗 Szczegóły: https://t.co/NFFibJZVVB
— Ministerstwo Cyfryzacji (@CYFRA_GOV_PL) October 22, 2026
