CERT Polska ostrzega przed podatnościami w oprogramowaniu PHP, które mogą umożliwić zdalne wykonywanie poleceń systemowych. W związku z zagrożeniem Centralny Ośrodek Informatyki zdecydował o czasowym wyłączeniu stron Biuletynu Informacji Publicznej działających w systemie SSDIP.
Luki w PHP zagrożeniem dla serwisów internetowych
22 października 2026 r. CERT Polska opublikował komunikat dotyczący luk w zabezpieczeniach PHP – języka programowania wykorzystywanego przez wiele serwisów internetowych. Technologia ta stanowi również podstawę działania popularnych systemów i narzędzi, takich jak WordPress, Joomla czy WooCommerce.
Wskazane podatności wynikają z błędów w mechanizmie zarządzania pamięcią. Ich wykorzystanie może pozwolić atakującemu na zdalne wykonanie dowolnych poleceń systemowych.
Według komunikatu podatne są wszystkie wersje PHP od 5.4 wzwyż. CERT Polska wskazuje, że jedynym skutecznym sposobem ochrony przed wykorzystaniem opisanych luk jest zainstalowanie poprawionej wersji oprogramowania.
Administratorzy systemów korzystających z PHP powinni zatem sprawdzić wykorzystywane wersje i zadbać o aktualizację do wydania zawierającego odpowiednie poprawki.
Część stron BIP została czasowo wyłączona
W reakcji na wykryte zagrożenie Centralny Ośrodek Informatyki podjął decyzję o czasowym wyłączeniu stron Biuletynu Informacji Publicznej działających w Systemie Scentralizowanego Dostępu do Informacji Publicznej (SSDIP).
System SSDIP umożliwia instytucjom publicznym prowadzenie stron BIP. Wyłączenie dotyczy wyłącznie serwisów funkcjonujących w ramach ssdip.bip.gov.pl – nie obejmuje wszystkich Biuletynów Informacji Publicznej w Polsce.
Jak wskazano w komunikacie, czasowa niedostępność ma umożliwić wdrożenie niezbędnych zabezpieczeń i zapewnienie bezpiecznego działania systemu. Informacje o kolejnych działaniach mają być przekazywane na bieżąco.
Gdzie zgłaszać podejrzane incydenty?
CERT Polska apeluje o niezwłoczny kontakt w przypadku wykrycia śladów wykorzystania opisanych podatności. Zgłoszenia można przekazywać za pośrednictwem formularza dostępnego na stronie incydent.cert.pl.
Bieżące informacje oraz rekomendacje dotyczące luk w PHP publikowane są również w serwisie moje.cert.pl.
Wykryte podatności przypominają o znaczeniu regularnego aktualizowania oprogramowania, szczególnie w przypadku serwisów publicznych i systemów wykorzystywanych do udostępniania informacji obywatelom.
