Przez groźną lukę wyłączono serwisy. Firmy też są zagrożone
Część stron Biuletynu Informacji Publicznej oraz cztery systemy obsługiwane przez PARP zostały czasowo wyłączone po ostrzeżeniu CERT Polska o krytycznych lukach w oprogramowaniu PHP. Ten sam problem może dotyczyć firmowych stron i sklepów internetowych. Przedsiębiorcy powinni sprawdzić, czy ich dostawca hostingu zainstalował już udostępnione poprawki.
Dla firmy udany atak przez taką lukę może oznaczać znacznie więcej niż chwilowy problem ze stroną. Zagrożone są ciągłość sprzedaży, dostęp do zamówień oraz dane klientów. Jeżeli sklep lub serwis przestanie działać, przedsiębiorca może tracić przychody. W przypadku wycieku informacji dochodzą do tego koszty usuwania skutków incydentu i ryzyko utraty zaufania klientów.
Urzędy wyłączają serwisy ze względów bezpieczeństwa
Ministerstwo Cyfryzacji poinformowało 22 października, że Centralny Ośrodek Informatyki czasowo wyłączył strony BIP działające w Systemie Scentralizowanego Dostępu do Informacji Publicznej. Resort podkreślił, że decyzja nie dotyczy wszystkich stron BIP w Polsce, lecz serwisów funkcjonujących pod adresem ssdip.bip.gov.pl. Przerwa ma umożliwić wprowadzenie niezbędnych zabezpieczeń.
Tego samego dnia podobną decyzję podjęła Polska Agencja Rozwoju Przedsiębiorczości. Czasowo wyłączono cztery serwisy: system do obsługi projektów unijnych, narzędzie do oceny kondycji firmy, Kwalifikator MŚP oraz system sprawozdawczości dla funduszy pożyczkowych i poręczeniowych.
Obie instytucje wyłączyły systemy zapobiegawczo. Nie poinformowały, że doszło w nich do udanego ataku lub wycieku danych. Ich decyzje pokazują jednak, że zagrożenie potraktowano na tyle poważnie, by zaakceptować czasową niedostępność usług.
Luka może zatrzymać stronę albo sklep internetowy
PHP to oprogramowanie działające na serwerze, na którym znajduje się strona. Korzystają z niego między innymi popularne wśród firm systemy typu WordPress, WooCommerce, PrestaShop, Joomla oraz wiele systemów tworzonych na zamówienie. Właściciel firmy może więc używać PHP, nawet jeśli nigdy sam go nie instalował i nie widzi go podczas codziennej obsługi serwisu.
Sama aktualizacja WordPressa, WooCommerce lub zainstalowanych wtyczek nie usuwa tej podatności. Poprawiona musi zostać sama wersja PHP działająca na serwerze
CERT Polska ostrzega przed dwiema podatnościami oznaczonymi jako CVE-2026-109618 oraz CVE-2026-109619. Pozwalają one atakującemu zdalnie wykonać polecenia na podatnym serwerze. Nie musi on wcześniej znać hasła administratora ani logować się do sklepu.
W praktyce może to umożliwić zmianę zawartości strony, umieszczenie na niej złośliwych plików, zakłócenie działania sklepu lub uzyskanie dostępu do przechowywanych informacji. Szczególnie dotkliwe skutki może odczuć branża e-commerce, ponieważ każda przerwa w działaniu serwisu oznacza brak możliwości składania i opłacania zamówień.
Zagrożenie nie jest wyłącznie teoretyczne. Amazon poinformował, że próbę wykorzystania luk wykryto już 17 października, czyli cztery dni przed ich publicznym ujawnieniem. Po opublikowaniu szczegółów odnotowano kolejne próby ataków.
Właściciel firmy powinien zapytać dostawcę hostingu
Przedsiębiorca nie musi znać technicznych szczegółów działania serwera. Powinien jednak zapytać swojego dostawcę usług hostingowych lub informatyka opiekującego się stroną firmową bądź sklepem, czy witryna jest już zabezpieczona oraz czy sprawdzono ją pod kątem prób włamania.
Niestety samo zapewnienie, że poprawka została zainstalowana, nie kończy pracy. Po aktualizacji trzeba jeszcze sprawdzić najważniejsze funkcje strony z punktu widzenia klienta. W sklepie internetowym oznacza to przejście całej ścieżki zakupowej: od dodania produktu do koszyka, przez logowanie i wybór dostawy, aż po płatność oraz otrzymanie wiadomości potwierdzającej zamówienie.
Warto również przetestować formularze kontaktowe, wyszukiwarkę, panel klienta, wystawianie dokumentów sprzedażowych oraz połączenia z magazynem, kurierem lub systemem księgowym.
