Spis treści
- Berlin i Brandenburgia z niedostępnymi stronami urzędów
- PHP2Shell i dwie krytyczne luki bezpieczeństwa
- BSI, Marc Henrichmann i Thomas Caspers ostrzegają przed zagrożeniem
- Aktualizacje PHP i zagrożenie dla danych użytkowników
- FAQ
Berlin i Brandenburgia z niedostępnymi stronami urzędów
Problemy z dostępnością niemieckich serwisów internetowych, rozpoczęły się już we wtorek 20 października. Pierwsi operatorzy zdecydowali wówczas o wyłączeniu swoich stron ze względów bezpieczeństwa. W środę skala ograniczeń znacznie wzrosła. Niedostępne były witryny instytucji federalnych i krajowych, administracji samorządowej, uczelni oraz placówek medycznych. W czwartek 22 października, nadal nie działały między innymi internetowe punkty zgłaszania przestępstw policji w Berlinie i Brandenburgii. W normalnych warunkach, mieszkańcy mogą za ich pośrednictwem składać zawiadomienia o przestępstwach bez konieczności osobistej wizyty na komisariacie.
W Berlinie ograniczenia objęły również stronę parlamentu krajowego parlament-berlin.de oraz portal berlin.de, wykorzystywany do korzystania z licznych usług administracyjnych. Portal władz Brandenburgii brandenburg.de początkowo także pozostawał niedostępny, jednak w ciągu czwartkowego przedpołudnia ponownie zaczął działać. Problemy dotknęły również Federalny Urząd Kryminalny, którego strona nadal była wyłączona. Wcześniej ograniczenia obejmowały Niemiecką Służbę Celną, Federalną Służbę Wywiadowczą (BND) oraz znaczną część administracji Berlina.
Wśród placówek medycznych, znalazł się berliński szpital Charité. Jego przedstawiciele wyjaśnili jednak, że wyłączenie usług internetowych było środkiem zapobiegawczym i nie wpłynęło na pracę placówki. Problemy wystąpiły także na stronach miast Cottbus, Bernau i Schwedt oraz administracji powiatu Dahme-Spreewald. Ograniczenia dotyczyły ponadto niektórych sądów rejonowych w Berlinie i organizacji pomocy żywnościowej Berliner Tafel. Nie istnieje jeden centralny wykaz wszystkich niedostępnych witryn. Poszczególne instytucje samodzielnie podejmowały decyzje o czasowym wyłączaniu swoich usług. Obecne działania zapobiegawcze nie są tożsame z opisywanym wcześniej cyberatakiem na urzędy w Berlinie. W przypadku luk PHP wiele stron zostało wyłączonych właśnie po to, aby ograniczyć możliwość wykorzystania błędów przez przestępców.
- Berlin – ograniczenia na stronach policji, parlamentu krajowego i portalu administracyjnego berlin.de.
- Brandenburgia – niedostępny internetowy punkt zgłaszania przestępstw policji oraz czasowe wyłączenie portalu krajowego.
- Cottbus, Bernau i Schwedt – problemy z dostępem do stron miejskich.
- Dahme-Spreewald – niedostępna witryna administracji powiatowej.
- Federalny Urząd Kryminalny – strona nadal pozostawała wyłączona w czwartek.
- Charité – prewencyjne ograniczenie usług internetowych bez zakłócenia pracy szpitala.
- Berliner Tafel – organizacja znalazła się wśród podmiotów dotkniętych ograniczeniami.
PHP2Shell i dwie krytyczne luki bezpieczeństwa
Źródłem zagrożenia są dwie podatności w PHP, czyli języku programowania wykorzystywanym do obsługi stron i aplikacji internetowych. PHP działa po stronie serwera. Odpowiada między innymi za przetwarzanie informacji, komunikację z bazami danych i wykonywanie funkcji potrzebnych do działania witryn. Według przywoływanych szacunków technologia ta jest wykorzystywana przez prawie 80 procent stron internetowych. Korzystają z niej zarówno niewielkie blogi, jak i duże portale informacyjne, sklepy internetowe oraz rozbudowane systemy zarządzania treścią. Jednym z najbardziej rozpowszechnionych rozwiązań jest WordPress.
Specjaliści szacują, że na świecie działa od 400 do 500 milionów stron opartych na WordPressie. PHP wykorzystują również systemy Joomla!, TYPO3 i platforma edukacyjna Moodle. Wykryte błędy otrzymały wspólną nazwę PHP2Shell i zostały zarejestrowane pod dwoma oficjalnymi oznaczeniami. Są to CVE-2026-109618 oraz CVE-2026-109619. Obie luki mogą umożliwić przestępcom zdalne wykonanie złośliwego kodu na podatnym serwerze bez wcześniejszego logowania. Oznacza to możliwość przeprowadzenia ataku bez posiadania konta użytkownika i bez znajomości hasła administratora.
Skuteczne wykorzystanie podatności, może doprowadzić do przejęcia kontroli nad stroną, uzyskania dostępu do baz danych, kradzieży informacji klientów lub użycia przejętej infrastruktury do kolejnych cyberataków. Zagrożone mogą być także systemy przechowujące dane osobowe, hasła i informacje kontaktowe. Sama obecność podatnej wersji PHP nie oznacza jednak, że konkretna witryna została już zaatakowana. Istotą problemu jest możliwość wykorzystania luk przez osoby nieuprawnione, zanim administratorzy zainstalują odpowiednie zabezpieczenia.
- CVE-2026-109618 – pierwsza z dwóch krytycznych podatności w PHP.
- CVE-2026-109619 – druga podatność umożliwiająca potencjalnie zdalne wykonanie kodu.
- PHP2Shell – wspólne określenie obu luk bezpieczeństwa.
- Możliwe skutki – przejęcie serwera, dostęp do poufnych baz danych, kradzież informacji i wykorzystanie systemu do dalszych ataków.
- Zagrożone środowiska – serwery wykorzystujące podatne wersje PHP do obsługi witryn i aplikacji internetowych.
BSI, Marc Henrichmann i Thomas Caspers ostrzegają przed zagrożeniem
Niemiecki Federalny Urząd Bezpieczeństwa Technologii Informacyjnych (BSI) wydał oficjalne ostrzeżenie dotyczące obu podatności. Dokument oznaczony numerem BITS-H 2026-297981-1032 określa poziom zagrożenia jako 3, oznaczony kolorem pomarańczowym. Według urzędu niebezpieczeństwo jest wyjątkowo wysokie, a potencjalne skutki wykorzystania luk mogą poważnie zakłócić funkcjonowanie usług internetowych. BSI wezwał administratorów do niezwłocznego instalowania poprawek. W środę 21 października po południu, twórcy PHP udostępnili aktualizacje usuwające wykryte błędy. Niemiecka instytucja zaleciła ich natychmiastowe wdrożenie.
W przypadku braku takiej możliwości, wskazała na konieczność pozostawienia podatnych stron poza publicznym dostępem. Marc Henrichmann, przewodniczący parlamentarnego gremium kontrolującego niemieckie służby wywiadowcze, ostrzegł na łamach dziennika „Handelsblatt” przed nowym wymiarem cyberzagrożenia. Określił wykryte podatności jako jedne z najpoważniejszych luk bezpieczeństwa ostatnich lat. Na możliwość szybkiego pojawienia się narzędzi wykorzystujących błędy zwrócił uwagę także specjalistyczny serwis Heise Security.
Według jego ostrzeżenia działające programy umożliwiające przeprowadzenie ataków mogą pojawić się w ciągu godzin, najpóźniej dni. Do sytuacji odniósł się również wiceprezes BSI Thomas Caspers. W niemieckim programie informacyjnym „Tagesthemen” poinformował, że do tamtej chwili nie zaobserwowano jeszcze poważnych szkód. Zwrócił uwagę na szybkie opracowanie zabezpieczeń po odkryciu problemu przez dwa przedsiębiorstwa. Jednocześnie ostrzegł, że administratorzy, którzy nie zainstalują aktualizacji, mogą w krótkim czasie znaleźć się wśród poszkodowanych. BSI podkreślił, że zagrożenie pozostanie poważne, dopóki podatne instalacje PHP nie zostaną odpowiednio zabezpieczone.
„Jedna z najpoważniejszych luk bezpieczeństwa ostatnich lat”.
„Dobra wiadomość jest taka, że te luki bezpieczeństwa zostały odkryte przez dwa przedsiębiorstwa, które następnie, w ramach skoordynowanego ujawnienia, wspólnie z PHP bardzo szybko opublikowały tę aktualizację zabezpieczeń”.
„A wtedy zobaczymy także pierwsze szkody”.
Aktualizacje PHP i zagrożenie dla danych użytkowników
Po opublikowaniu poprawek, część instytucji zaczęła stopniowo przywracać działanie swoich witryn. W czwartek rano wiele serwisów było już ponownie dostępnych, jednak część nadal pozostawała wyłączona. Operatorzy stron internetowych muszą przede wszystkim ustalić, z której wersji PHP korzystają ich serwery. Dotyczy to zarówno dużych przedsiębiorstw i urzędów, jak i właścicieli niewielkich blogów, stron stowarzyszeń oraz sklepów internetowych. Aktualizacje udostępnione 21 października zamykają wykryte luki, dlatego ich instalacja jest podstawowym działaniem zabezpieczającym.
Niektórzy dostawcy usług serwerowych, rozpoczęli już wdrażanie nowych wersji PHP. Wśród nich wymieniono firmę Ionos. Strony korzystające z automatycznych aktualizacji mogły zostać zabezpieczone bez konieczności samodzielnej ingerencji właściciela. W pozostałych przypadkach, wymagane jest sprawdzenie konfiguracji serwera i zainstalowanie odpowiednich poprawek. Szczególny problem stanowią przestarzałe wersje PHP, dla których nie są już publikowane oficjalne aktualizacje bezpieczeństwa. Takie instalacje powinny zostać odizolowane od publicznej sieci albo wyłączone.
Dla osób korzystających z internetu, sytuacja wygląda inaczej. Luki PHP nie znajdują się bezpośrednio w telefonach ani komputerach zwykłych użytkowników, dlatego samo przeglądanie stron nie wymaga instalowania specjalnej poprawki na urządzeniu. Zagrożenie może jednak dotknąć ich pośrednio. Niedostępność serwisów administracyjnych utrudnia załatwianie spraw urzędowych, a podatne sklepy i portale mogą stać się celem kradzieży informacji. W przypadku skutecznego włamania, przestępcy mogą uzyskać dostęp do haseł, adresów, danych kontaktowych oraz informacji zapisanych w bazach klientów.
Nie oznacza to jednak, że w związku z obecną luką potwierdzono już masowy wyciek danych klientów. Opisywane zagrożenie dotyczy przede wszystkim możliwości uzyskania nieuprawnionego dostępu do systemów, które nie zostały zabezpieczone na czas. Według przedstawionych ocen rozpoczęła się fala zautomatyzowanych prób wykorzystywania podatności, która może utrzymywać się przez kolejne tygodnie lub miesiące. Pełne ograniczenie zagrożenia będzie możliwe dopiero po wdrożeniu zabezpieczeń przez odpowiednio dużą część operatorów serwerów i administratorów stron.
FAQ
Dlaczego strony urzędów w Niemczech zostały wyłączone?
Wiele instytucji wyłączyło swoje strony profilaktycznie po wykryciu dwóch krytycznych luk bezpieczeństwa w PHP. Działanie miało ograniczyć możliwość wykorzystania podatności przez cyberprzestępców.
Które instytucje w Berlinie i Brandenburgii miały problemy?
Ograniczenia dotyczyły między innymi internetowych punktów zgłaszania przestępstw policji w Berlinie i Brandenburgii, berlińskiego parlamentu, portalu berlin.de, administracji samorządowej, Federalnego Urzędu Kryminalnego oraz szpitala Charité.
Czym są luki PHP2Shell?
PHP2Shell to wspólna nazwa dwóch krytycznych podatności PHP oznaczonych jako CVE-2026-109618 i CVE-2026-109619. Mogą umożliwić atakującym zdalne wykonanie złośliwego kodu na podatnych serwerach bez wcześniejszego logowania.
Jakie zagrożenie stwarzają luki w PHP?
Ich skuteczne wykorzystanie może prowadzić do przejęcia kontroli nad serwerem, kradzieży danych z baz klientów, uzyskania dostępu do poufnych informacji.
Kiedy opublikowano aktualizacje zabezpieczeń PHP?
Poprawki usuwające obie krytyczne luki opublikowano w środę 21 października 2026 roku po południu. Niemiecki urząd BSI zalecił ich niezwłoczną instalację.
Jakie systemy internetowe korzystają z PHP?
PHP jest wykorzystywany przez liczne strony internetowe, sklepy i portale informacyjne. Korzystają z niego między innymi WordPress, Joomla!, TYPO3 oraz platforma edukacyjna Moodle.
Czy użytkownicy telefonów i komputerów muszą instalować aktualizację PHP?
Nie. Podatności dotyczą oprogramowania działającego na serwerach, a nie bezpośrednio urządzeń użytkowników. Zabezpieczenie PHP należy przede wszystkim do administratorów stron i operatorów infrastruktury serwerowej.
Czy przez luki PHP mogło dojść do wycieku danych osobowych?
Takie ryzyko istnieje, ponieważ wykorzystanie podatności może pozwolić przestępcom na dostęp do baz danych, haseł i informacji kontaktowych.
Jak właściciel strony może sprawdzić, czy jego witryna jest bezpieczna?
Powinien ustalić wersję PHP używaną na serwerze i sprawdzić, czy zainstalowano aktualizacje zabezpieczeń z 21 października 2026 roku.
Co zrobić, jeśli nie można zaktualizować PHP?
BSI zalecił czasowe wyłączenie podatnych stron z publicznego dostępu. Przestarzałe instalacje PHP, dla których nie są dostępne oficjalne poprawki, powinny zostać odizolowane od internetu albo wyłączone.
Czy wszystkie strony internetowe w Niemczech ponownie działają?
Nie. W czwartek 22 października część witryn była już dostępna, ale nadal występowały ograniczenia w działaniu niektórych serwisów policyjnych, urzędowych i samorządowych.
Jak długo może utrzymywać się zagrożenie związane z PHP2Shell?
Według przedstawionych ocen próby wykorzystywania podatności mogą trwać przez tygodnie, a nawet miesiące.
Źródło: Tagesschau
