php2shell: policzyłem, ile polskich stron stoi na PHP - wychodzi ponad 1,2 miliona domen .pl

👁 119 przeczytań

Przez ponad dekadę w języku, na którym stoi większość internetu, siedziały dwa błędy, których nikt nie zauważył. Zauważyła je dopiero sztuczna inteligencja używana przez zespoły badawcze do przeczesywania kodu - i 21 października uruchomiła lawinę, w której rządowe portale, platformy gamingowe i sklepy internetowe na kilku kontynentach wyłączały się prewencyjnie, zanim ktokolwiek zdążył sprawdzić, czy w ogóle są podatne. Luki dostały identyfikatory CVE-2026-109618 i CVE-2026-109619, a w środowisku przylgnęła do nich nazwa php2shell.

9,2 na 10 i dekada wersji wstecz

Firmy Wiz i Calif, które współtworzyły ujawnienie, opisały błędy jako wbudowane w sam język, a nie w konkretną bibliotekę czy wtyczkę. To zasadnicza różnica. Dziurawa wtyczka do WordPressa dotyczy tych, którzy ją zainstalowali. Dziura w interpreterze PHP dotyczy wszystkich, którzy uruchomili jakąkolwiek wersję z ostatnich dziesięciu lat. Badacze ocenili istotność na 9,2 w dziesięciostopniowej skali CVSS, co w praktyce oznacza: zdalne przejęcie serwera, bez uwierzytelnienia, w scenariuszu nadającym się do automatyzacji.

Ryan Austin z Calif, jeden z badaczy, powiedział BBC rzecz, która w tej branży pada rzadko i nie bez powodu zrobiła wrażenie:

To najpoważniejsza podatność, jaką kiedykolwiek znalazłem.
- Ryan Austin, badacz bezpieczeństwa w firmie Calif, w rozmowie z BBC News

Na razie nikt nie zgłosił udanego ataku z wykorzystaniem php2shell. To jednak słaba pociecha, bo historia podobnych przypadków - Log4Shell z grudnia 2021 roku jest tu najbliższą analogią - pokazuje, że okno między publikacją szczegółów a pierwszymi masowymi skanowaniami liczy się w godzinach, nie w tygodniach. Paul Spain z Gorilla Cyber Security ocenił dla BBC, że luka może dotyczyć „milionów i milionów” stron, dodając, że AI przyspiesza nie tylko znajdowanie błędów, ale też pisanie exploitów.

Policzyłem, ile to jest w domenach .pl

Zamiast powtarzać „miliony i miliony”, wziąłem dwie liczby, które da się sprawdzić, i je pomnożyłem. Wiz podaje, że PHP obsługuje 70% stron internetowych na świecie. Rejestr NASK raportuje z kolei, że w rejestrze .pl utrzymuje się około 2,6 miliona aktywnych nazw domen. Nie każda domena to działająca strona - część to parkingi, przekierowania i rejestracje obronne marek. Przyjmując ostrożnie, że realnie serwowaną treść ma dwie trzecie z nich, zostaje około 1,73 miliona stron. Siedemdziesiąt procent z tego daje mniej więcej 1,21 miliona polskich stron działających na PHP. To rachunek, który każdy może powtórzyć na kalkulatorze: 2,6 mln × 0,67 × 0,7.

Druga liczba jest ciekawsza, bo dotyczy pieniędzy. BuiltWith i podobne serwisy konsekwentnie pokazują, że w polskim e-commerce dominują silniki napisane w PHP: WooCommerce (czyli WordPress), PrestaShop, Magento i rodzime platformy w rodzaju tych budowanych na Laravelu. Izba Gospodarki Elektronicznej szacuje polski rynek handlu internetowego na ponad 140 miliardów złotych rocznie. Jeśli choćby 60% tego obrotu przechodzi przez sklepy oparte na PHP, mówimy o 84 miliardach złotych rocznie, czyli około 230 milionów złotych dziennie. Każda doba prewencyjnego wyłączenia sklepu albo opóźnionego łatania to wycinek z tej kwoty - przy średnim sklepie to oczywiście grosze, ale przy kilkudziesięciu tysiącach sklepów naraz robi się z tego pozycja budżetowa.

Gdzie PHP siedzi w administracji publicznej

Z sektorem publicznym jest trudniej, bo nie istnieje publiczny spis technologii używanych przez polskie urzędy. Da się jednak policzyć obejściem. Serwisy rządowe w Polsce korzystają głównie z Drupala i WordPressa - oba napisane są w PHP. Drupal jest podstawą dla portali ministerialnych budowanych w ramach wspólnych wdrożeń, a WordPress dominuje wśród stron gmin, powiatów i jednostek podległych. Przyjmując, że w Polsce jest około 2 800 jednostek samorządu terytorialnego szczebla gminnego i powiatowego, a do tego kilkaset instytucji centralnych i ich oddziałów, otrzymujemy rząd wielkości 3-4 tysięcy serwisów publicznych. Jeśli udział PHP jest tam choćby zbliżony do średniej światowej, ponad 2 tysiące polskich serwisów publicznych pracuje na podatnym interpreterze - a to są miejsca, w których przechowuje się wnioski obywateli, dane kontaktowe i korespondencję.

Jill Slay z University of Adelaide określiła w rozmowie z BBC scenariusz, w którym państwo lub grupa przestępcza wykorzystuje tę lukę do przejęcia prywatnych danych z serwisów, jako „katastrofalny”. W polskich realiach to nie jest abstrakcja - wystarczy przypomnieć sobie, ile miesięcy zajęło łatanie Exchange’a w samorządach po kampanii z 2021 roku.

Luka w czasie łatania, czyli najdroższy tydzień polskiego hostingu

Sama poprawka do PHP niewiele znaczy, jeśli nikt jej nie wgra. I tu pojawia się to, co w branży nazywa się patch gap - odstęp między wydaniem łatki a jej faktycznym zainstalowaniem. U dużych hostingodawców, takich jak home.pl, nazwa.pl czy OVH, aktualizacja interpretera na serwerach współdzielonych jest zautomatyzowana i mieści się w godzinach. Problem zaczyna się piętro niżej: przy VPS-ach i serwerach dedykowanych, gdzie odpowiedzialność leży po stronie klienta, oraz przy stronach, które „ktoś kiedyś postawił” i nikt od lat nie dotykał.

Zestawiłem to z danymi o wersjach PHP w użyciu. Oficjalne wsparcie bezpieczeństwa mają obecnie wyłącznie gałęzie 8.2 i nowsze, a mimo to około jedna czwarta stron wciąż raportuje PHP w wersji 7.x, dla której łatki po prostu nie powstaną. Przenosząc ten odsetek na policzony wcześniej 1,21 miliona polskich stron na PHP, wychodzi około 300 tysięcy polskich witryn, dla których nie ma oficjalnej poprawki - jedyną drogą jest migracja na nowszą gałąź, co przy starych motywach i wtyczkach bywa kilkudniową robotą programisty. Przy stawce 150-250 zł za godzinę pracy, dwa dni roboty na jedną stronę to 2 400-4 000 zł. Pomnożone przez choćby pięć procent tej puli - 15 tysięcy stron - daje od 36 do 60 milionów złotych kosztu, który spadnie na właścicieli stron w ciągu najbliższych miesięcy.

Co zrobić dzisiaj, jeśli masz stronę w Polsce

Kolejność działań jest prosta i nie wymaga konsultanta. Najpierw sprawdź, na jakiej wersji PHP stoisz - w panelu hostingu (cPanel, DirectAdmin, panel home.pl) widać to w zakładce z ustawieniami PHP, a jeśli masz dostęp do serwera, wystarczy polecenie php -v. Jeśli widzisz 7.4 albo cokolwiek niższego, masz problem strukturalny, nie incydentalny - planuj migrację. Jeśli widzisz 8.2, 8.3 lub 8.4, przełącz się na najnowszą dostępną wersję poprawkową i sprawdź, czy strona nadal działa; w większości przypadków to kwestia dwóch kliknięć i pięciu minut. Trzeci krok to przegląd logów serwera za okres od 21 października pod kątem nietypowych żądań POST do plików PHP i nieznanych plików w katalogach z uploadami - typowy webshell ląduje właśnie tam. Czwarty: jeśli zarządzasz stroną urzędu albo sklepem, zgłoś kontakt do CERT Polska działającego przy NASK i podepnij się pod ich kanał ostrzeżeń, bo to jedyne miejsce, gdzie polskie podmioty dostają komunikaty w swoim języku i z uwzględnieniem lokalnych operatorów.

Osobna uwaga dla firm objętych ustawą o krajowym systemie cyberbezpieczeństwa i dyrektywą NIS2: podatność o ocenie 9,2 w używanym komponencie jest zdarzeniem, które trzeba udokumentować w rejestrze ryzyka, nawet jeśli nie doszło do incydentu. Brak takiego wpisu jest przy kontroli gorszy niż sam fakt posiadania podatnego serwera.

Dlaczego AI znalazła to, czego ludzie nie widzieli przez dekadę

Najciekawszy element tej historii nie dotyczy PHP, tylko metody. Błędy siedziały w kodzie open source przeglądanym przez tysiące oczu przez dziesięć lat i nikt ich nie wychwycił, bo ich wykrycie wymagało prześledzenia interakcji między fragmentami kodu, które nie leżą obok siebie i których żaden człowiek nie czyta jednocześnie. Modele językowe analizujące całe drzewo zależności naraz robią dokładnie to, do czego ludzki przegląd kodu się nie skaluje.

Wniosek jest obosieczny i warto go wypowiedzieć wprost. Ta sama zdolność, która pozwoliła Wiz i Calif znaleźć php2shell przed atakującymi, jest dostępna dla drugiej strony - i tam nikt nie czeka 90 dni na skoordynowane ujawnienie. Przez następne lata należy się spodziewać serii podobnych odkryć w fundamentach, których od dekad nikt nie kwestionował: w OpenSSL, w glibc, w silnikach baz danych. Czas reakcji, który dotąd liczyliśmy w tygodniach, trzeba przestawić na godziny, bo po drugiej stronie też stoi maszyna.

Fakty sprawdzone 28 października 2026 roku. Przeliczenia walutowe według kursu 3,78 zł za dolara i 4,30 zł za euro. Szacunki dotyczące liczby polskich stron na PHP i kosztów migracji są wyliczeniami własnymi na podstawie publicznie dostępnych danych o udziale technologii i liczbie domen - podałem działania, żeby można je było powtórzyć i zweryfikować.

Źródła:

• BBC News - What is PHP and why did it spark a global cyber-security scramble?
• NASK / DNS.pl - raporty kwartalne o rejestrze domeny .pl
• W3Techs - statystyki wersji PHP w użyciu
• Izba Gospodarki Elektronicznej - raporty o rynku e-commerce w Polsce
• CERT Polska - zgłaszanie incydentów bezpieczeństwa
• The PHP Foundation