Luka PHP2Shell w PHP: jak AI wykryło zagrożenie i dlaczego łatka wyszła wcześniej

Luka PHP2Shell to poważny błąd w języku PHP, dotyczący zarządzania pamięcią, który może prowadzić do przejęcia kontroli nad serwerem i kradzieży danych. Została odkryta z pomocą sztucznej inteligencji, a jej opis trafił do opinii publicznej tuż przed planowanym wydaniem łatki.

Dlaczego luka w PHP dotyczy tak wielu stron?

PHP jest jednym z najczęściej wykorzystywanych języków po stronie serwera. Według CRN Polska działa on na do 70% stron internetowych, więc błąd w jego rdzeniu dotyka nie pojedynczych projektów, ale ogromnej części infrastruktury w sieci. Dla wielu właścicieli sklepów, blogów czy serwisów firmowych oznacza to, że problem może dotyczyć także ich witryny, nawet jeśli nigdy bezpośrednio nie pisali kodu w PHP.

Skala ma znaczenie również dlatego, że poprawka musi trafić do wielu środowisk jednocześnie: hostingów współdzielonych, serwerów dedykowanych i systemów zarządzanych przez firmy IT.

Jak AI wykryło lukę, która długo uchodziła za trudną do wykorzystania?

Według przekazanych informacji lukę znalazł Ryan Austin z firmy Calif, korzystając z modelu GPT-5.6 Sol, który w sierpniu przeprowadził audyt kodu PHP. Co istotne, podobny błąd zgłoszono już dekadę wcześniej, ale wtedy uznano go za trudny do wykorzystania. Wykrycie po latach pokazuje, że narzędzia AI mogą przeglądać duże bazy kodu szybciej i konsekwentniej niż tradycyjne przeglądy.

Warto zauważyć, że ustalenia zbiegły się z niezależną analizą. Jak podaje CRN Polska, firma Wiz z grupy Google zgłosiła te same metody ataku niezależnie, a z wynikami zapoznali się także badacze OpenAI.

Ile czasu zajmuje atak i co może zrobić atakujący?

Najważniejsze parametry ataku przedstawiamy w zestawieniu:

Parametr	Wartość
Udział PHP w stronach internetowych	do 70%
Liczba zapytań potrzebnych do ataku	kilkadziesiąt
Czas ataku na prostszych systemach	kilka sekund
Czas ataku na złożonych systemach	do kilku godzin
Zakres poprawki	prawie 200 plików, ponad 10 000 linijek kodu

Z tabeli wynika, że nawet kilkadziesiąt zapytań wystarcza, by przeprowadzić atak, a jego czas zależy głównie od złożoności systemu docelowego. Im prostsza konfiguracja, tym szybciej można ją przejąć. Szeroki zakres poprawki pokazuje z kolei, że usunięcie problemu nie jest prostą łatką jednego pliku, lecz zmianą obejmującą dużą część kodu.

Dlaczego publikacja łatki była tak ryzykowna?

Zespół odpowiedzialny za PHP przygotował aktualizację, która miała zostać opublikowana 22 października. Przeciek na Hacker News pojawił się jednak niespełna dwa dni przed tym terminem. Dlatego zespół wydał poprawkę wcześniej: najpierw ostrzeżenie, a w kolejnym dniu aktualizację.

Thai Duong, prezes Calif, zwrócił uwagę na konkretne zagrożenie. Jak pisze w swoim materiale CRN Polska, „Ktoś na X może wziąć poprawkę, przepuścić ją przez AI i opublikować gotowy skrypt do ataku.” Oznacza to, że sama poprawka może posłużyć jako wskazówka dla atakujących, jeśli zostanie zanalizowana przed wdrożeniem przez administratorów.

Co warto wiedzieć o skali zagrożenia?

Volker Dusch, opisany przez CRN Polska jako członek zespołu PHP, określił tę lukę jako najpoważniejszy problem w historii języka od ponad dekady i porównał ją do słynnego błędu Heartbleed. Porównanie dobrze oddaje wagę sprawy: chodzi o błąd w fundamencie, a nie o dodatkową funkcję.

Co to oznacza dla Ciebie?

Jeśli prowadzisz stronę lub sklep oparty na PHP, najważniejsze jest szybkie sprawdzenie wersji języka na swoim serwerze i zainstalowanie aktualizacji, gdy tylko będzie dostępna. Dotyczy to zarówno właścicieli stron firmowych, jak i osób prowadzących serwisy osobiste na współdzielonym hostingu. W przypadku większych projektów warto skontaktować się z działem IT lub dostawcą hostingu i zapytać, kiedy zostanie wdrożona poprawka.

Drugą kwestią jest monitorowanie logów serwera pod kątem nietypowych zapytań. Ponieważ atak według opisu wymaga kilkudziesięciu żądań, nawet krótka analiza ruchu może pomóc wykryć próbę wykorzystania luki. Trzeba też pamiętać, że przeciek przed terminem oznacza mniej czasu na spokojne wdrożenie, dlatego najlepiej przygotować się zawczasu: zrobić kopię zapasową i zaplanować okno serwisowe.

Historia PHP2Shell pokazuje też, że narzędzia AI zaczynają odgrywać realną rolę w wykrywaniu błędów w kodzie. Ta sama technologia może jednak obniżyć próg wejścia dla atakujących, dlatego szybka reakcja po publikacji aktualizacji ma dziś szczególne znaczenie.