Incydenty bezpieczeństwa w październiku 2026: PHP2Shell, eMudhra i LiteLLM

Między 17 a 21 października 2026 roku cztery incydenty bezpieczeństwa dotknęły oprogramowania, na którym działa duża część internetu:

dwie krytyczne luki w PHP pozwalające na zdalne wykonanie kodu („PHP2Shell”)
skompromitowane klucze w urzędzie certyfikacji eMudhra
pakiet poprawek bezpieczeństwa dla Node.js
zainfekowana wersja biblioteki AI dla Pythona o nazwie LiteLLM

W skrócie dla klientów Safiny: Safina nie używa ani PHP, ani LiteLLM. Każde zgłoszenie sprawdziliśmy zaraz po jego publikacji, a zależności, których to dotyczyło, zaktualizowaliśmy. Na swoim koncie Safina nie musisz nic robić. Jak zareagowaliśmy · Co warto sprawdzić samemu

Ostatnia aktualizacja: 22 października 2026. Uzupełnimy ten artykuł, gdy pojawią się nowe informacje.

Incydenty z października 2026 w skrócie

Incydent	Czego dotyczy	Rozwiązanie
PHP2Shell 21 października · krytyczna	Każdej instalacji PHP obsługującej żądania webowe	PHP 8.5.12, 8.4.27, 8.3.36 lub 8.2.35
Certyfikaty pośrednie eMudhra 17 października · możliwe fałszywe certyfikaty	Oprogramowania, które ufa certyfikatowi głównemu „emSign ECC Root CA - G3”	Aktualne przeglądarki i listy certyfikatów, nowe certyfikaty dla stron, których to dotyczy
Poprawki bezpieczeństwa Node.js 21 października · 4 luki o wysokiej wadze	Node.js 22.x, 24.x i 26.x	Node.js 22.23.4, 24.22.1 lub 26.12.1
LiteLLM 1.107.0 21 października · kradzież danych logowania i tylne drzwi	Systemów, które zainstalowały LiteLLM 1.107.0 z PyPI lub pobrały jego obrazy Docker	LiteLLM 1.106.2, wymiana wszystkich danych dostępowych

PHP2Shell: krytyczna luka w PHP

PHP2Shell to nazwa dwóch krytycznych podatności w interpreterze PHP: CVE-2026-109618 i CVE-2026-109619. Obie pozwalają atakującemu wykonać kod na serwerze jednym żądaniem webowym bez logowania, zanim w ogóle uruchomi się kod aplikacji. Zespół PHP ocenia obie na 9,2 w skali CVSS 4.0 i 21 października 2026 roku opublikował poprawki.

Na PHP działa WordPress, wiele sklepów internetowych, wtyczki do rezerwacji i panele administracyjne firm hostingowych. Dlatego PHP2Shell to jedna z najszerzej sięgających luk od lat. Badacz bezpieczeństwa Kevin Beaumont powiedział serwisowi Help Net Security: „Sytuacja z PHP doprowadzi do masy incydentów. To jedna z największych podatności od lat”.

Czego dotyczy: według Help Net Security każdej konfiguracji PHP, która obsługuje żądania webowe: PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Według Tenable podatny kod sięga aż PHP 5.4.

Poprawione wersje: PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. PHP od 7.4 do 8.1 nie dostaje oficjalnego wydania, tylko minimalne poprawki kodu źródłowego.

Przebieg: identyfikatory CVE wyciekły 20 października. PHP Foundation przyspieszyła wtedy wydanie o jeden dzień, z 22 na 21 października, podaje Tenable. Amazon Threat Intelligence zauważył pierwszą próbę ataku już 17 października, cztery dni przed poprawką, i od tego czasu raportuje szeroko zakrojone ataki. Amerykańska agencja CISA w chwili publikacji ostrzeżenia nie widziała jeszcze ataków, ale zaleca odłączenie niezałatanych systemów PHP oraz wszystkich systemów z PHP 8.1 lub starszym.

Cloudflare dodał reguły zapory chroniące przed znanymi wzorcami ataków, także w darmowych planach. Sam Cloudflare nazywa to rozwiązaniem tymczasowym: lukę usuwa tylko aktualizacja.

Stan na 22 października: po wydaniu poprawek firmy bezpieczeństwa, takie jak watchTowr i Patchstack, zgłosiły aktywne próby ataków. Według CyberScoop Huntress nie potwierdził udanego ataku na systemy klientów. CyberScoop szacuje, że ponad 1,3 miliona serwerów dostępnych z internetu może być podatnych. CISA nie dodała jeszcze obu luk do swojego katalogu wykorzystywanych podatności.

eMudhra: skompromitowane klucze urzędu certyfikacji

Urzędy certyfikacji (CA) wystawiają certyfikaty, dzięki którym kłódka w przeglądarce w ogóle coś znaczy. 17 października 2026 roku badacz zgłosił, że klucze prywatne ośmiu certyfikatów pośrednich indyjskiego urzędu eMudhra wygenerowano przy zbyt słabej losowości. Każdy mógł obliczyć te klucze i wystawić dla dowolnej strony certyfikat, któremu zaufałyby przeglądarki i aplikacje.

Reakcja była szybka. Według Google Chrome zablokował certyfikaty pośrednie mniej niż dwie godziny po zgłoszeniu, bez aktualizacji przeglądarki. Urządzenia z Androidem dostały blokadę 19 października przez usługi Google Play. Google nie znalazł przed blokadą żadnego certyfikatu tych CA w publicznych dziennikach Certificate Transparency. Mozilla usunęła certyfikat główny „emSign ECC Root CA - G3” z listy zaufanych certyfikatów Firefoksa (błąd Mozilli 2083449), a Chrome usunie go 27 października 2026 roku. Firefox również zablokował certyfikaty pośrednie 17 października, Apple 19, a Microsoft 20 października (CyberInsider). eMudhra przypisuje słabe klucze błędnemu skryptowi użytemu przy generowaniu kluczy i nie wystawia już certyfikatów w ramach certyfikatu głównego G3.

Trudniej jest z oprogramowaniem poza przeglądarką. Serwery, kontenery i języki programowania często mają własną listę zaufanych CA, a większość z nich nie potrafi zablokować pojedynczego certyfikatu pośredniego. Potrzebują aktualizacji, która usuwa cały certyfikat główny. Pakiet Pythona certifi na przykład nie zawiera go od wersji 2026.10.18, a ostrzeżenie wskazuje 2026.10.19 jako wersję z poprawką (ostrzeżenie GitHub). Dwa z ośmiu certyfikatów pośrednich służyły do podpisywania oprogramowania, więc ryzyko nie dotyczy tylko stron internetowych.

Poprawki bezpieczeństwa Node.js z października 2026

21 października 2026 roku projekt Node.js wydał poprawki bezpieczeństwa dla wszystkich wspieranych linii: 22.23.4, 24.22.1 i 26.12.1. Usuwają one 10 podatności, w tym 4 o wysokiej wadze:

dwa sposoby obejścia sprawdzania nazwy hosta w TLS przy nietypowym zapisie adresów IP
zapis poza zakresem pamięci w dekoderze Brotli, który może umożliwić zdalne wykonanie kodu
błąd w dns.resolve, który obcina nazwy hostów na znaku NUL

Te same wydania usuwają też skompromitowany certyfikat główny eMudhra z listy certyfikatów dołączonej do Node.js. Wersje bez wsparcia, takie jak Node.js 20, również są podatne i nie dostaną poprawki.

LiteLLM 1.107.0: atak na łańcuch dostaw biblioteki AI

LiteLLM to popularna biblioteka Pythona, która łączy aplikacje z wieloma dostawcami modeli AI. 21 października 2026 roku atakujący opublikowali wersję 1.107.0 w PyPI i w obrazach Docker projektu (tagi v1.107.0, latest, main-latest i main-stable). Wersja zawierała program kradnący dane logowania i tylne drzwi.

Według Datadog Security Labs złośliwa wersja była dostępna przez około dwie godziny. Jej pliki uruchamiają się przy każdym starcie Pythona, nawet jeśli LiteLLM nie jest importowany, i zostają w systemie po odinstalowaniu. Złośliwy kod zbierał klucze do chmury, klucze API dostawców AI, klucze SSH i hasła zapisane w przeglądarce. Chainguard liczy to jako drugi atak na LiteLLM w ciągu siedmiu miesięcy.

Według raportu LiteLLM o incydencie atakujący użyli skradzionych danych logowania GitHub z kont deweloperów i przekierowali proces publikacji na repozytorium o łudząco podobnej nazwie. Kod źródłowy w oficjalnym repozytorium nie zawierał złośliwych plików. Pakiet był dostępny w PyPI od 11:39 do około 13:23 UTC, a tagi Docker wskazywały na złośliwy obraz do 14:20 UTC. Klienci prywatnej wersji Enterprise nie zostali dotknięci.

Ostatnia bezpieczna wersja to 1.106.2. Kto zainstalował 1.107.0, powinien uznać system za przejęty, usunąć wstrzyknięte pliki i z czystego komputera wymienić wszystkie dane dostępowe, do których system miał dostęp.

Jak zareagowała Safina

Safina odbiera telefony Twojej firmy, więc systemy, na których działa, muszą być dostępne i bezpieczne. Bezpieczeństwo jest dla nas priorytetem, a automatyczny monitoring bezpieczeństwa od zawsze jest częścią działania Safiny. Tak zadziałał przy tych incydentach:

Automatyczny monitoring. Nasz kod, zależności i obrazy kontenerów są skanowane automatycznie. Gdy ostrzeżenie bezpieczeństwa dotyczy komponentu, którego używamy, dostajemy alert i propozycję aktualizacji, bez czekania, aż ktoś przeczyta wiadomości.
Sprawdzenie zaraz po publikacji. Przy każdym z czterech incydentów zaraz po jego ujawnieniu sprawdziliśmy, czy i gdzie Safina używa podatnego oprogramowania.
Aktualizacje. Przenieśliśmy nasze usługi na poprawione wersje Node.js i zaktualizowaliśmy listy zaufanych certyfikatów w naszych usługach.
Nie używamy. Safina nie uruchamia PHP i nie korzysta z LiteLLM. Potwierdził to przegląd całego kodu i wszystkich zależności.

Nie musisz nic robić na swoim koncie Safina. Aktualizacje odbywają się po naszej stronie. Więcej o tym, jak przetwarzamy Twoje dane, przeczytasz w naszym przeglądzie prywatności i zgodności oraz w artykule o RODO i asystentach telefonicznych AI.

Co małe firmy powinny teraz sprawdzić

Pewnie nie zarządzasz własnymi serwerami. Ale Twoja strona, sklep internetowy lub narzędzie do rezerwacji mogą działać na PHP. Tych pięć kroków obejmuje najczęstsze przypadki:

Zapytaj firmę hostingową lub agencję, czy Twoja strona używa wersji PHP z poprawką (8.5.12, 8.4.27, 8.3.36 lub 8.2.35). Dotyczy to większości stron na WordPressie.
Zaplanuj odejście od PHP 8.1 lub starszego. Te wersje nie dostaną oficjalnej poprawki. CISA zaleca odłączenie takich systemów.
Aktualizuj przeglądarki, telefony i komputery. Chrome, Firefox, Android oraz urządzenia Apple i Microsoft blokują certyfikaty eMudhra w ramach zwykłych aktualizacji.
Sprawdź wystawcę swojego certyfikatu, jeśli Twoja strona używa certyfikatu eMudhra (emSign). Chrome przestaje ufać certyfikatowi głównemu „emSign ECC Root CA - G3” 27 października 2026 roku. Wcześniej zdobądź nowy certyfikat od innego CA.
Zapytaj swojego dostawcę IT o LiteLLM, jeśli używasz własnych narzędzi AI. Jeśli zainstalowano wersję 1.107.0, system trzeba oczyścić, a wszystkie zapisane na nim klucze wymienić.

Dlaczego przez AI szybkie aktualizacje są ważniejsze

Badacze z Wiz stwierdzili o PHP2Shell, że najnowsze modele AI wyraźnie obniżyły próg wejścia i zamieniły starą lukę w działający atak (Help Net Security). Modele AI pomagają dziś obrońcom znajdować stare błędy, co Anthropic pokazał na przykładzie Claude Mythos i Project Glasswing. Te same narzędzia pomagają atakującym szybciej zamienić opublikowaną poprawkę w atak.

Czas między publikacją a pierwszymi atakami jest coraz krótszy. Przy PHP2Shell pierwsze próby pojawiły się, zanim poprawka w ogóle była dostępna. Automatyczny monitoring i szybkie aktualizacje nie są już dla dostawcy oprogramowania dodatkiem. To podstawa.

Najczęściej zadawane pytania

Czy PHP2Shell dotyczy Safiny?

Nie. Safina nie uruchamia PHP. Nasza strona, aplikacje i usługi backendowe korzystają z innych technologii. Sprawdziliśmy to zaraz po publikacji podatności.

Czy muszę coś zmienić w Safinie?

Nie. Wszystkie aktualizacje odbywają się po naszej stronie. Twój asystent, numer telefonu i ustawienia pozostają bez zmian.

Które wersje PHP usuwają PHP2Shell?

PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35, wydane 21 października 2026 roku. PHP 8.1 i starsze nie dostaną oficjalnego wydania. Zapytaj firmę hostingową, jakiej wersji używa Twoja strona.

Co się stało w eMudhra?

Klucze prywatne ośmiu certyfikatów pośrednich urzędu certyfikacji eMudhra wygenerowano przy zbyt słabej losowości. Każdy mógł ich użyć do tworzenia zaufanych certyfikatów dla dowolnej strony. Chrome i Firefox zablokowały je kilka godzin po zgłoszeniu, Apple i Android dwa dni później, a Microsoft trzy dni później, zaś certyfikat główny „emSign ECC Root CA - G3” jest usuwany z list zaufanych certyfikatów.

Która wersja LiteLLM jest bezpieczna?

LiteLLM 1.106.2 to ostatnia bezpieczna wersja. Wersja 1.107.0 z 21 października 2026 roku zawierała program kradnący dane logowania. Systemy, na których ją zainstalowano, trzeba oczyścić i wyposażyć w nowe dane dostępowe.

Przebieg wydarzeń

Data (2026)	Wydarzenie
17 października	Zgłoszenie słabych kluczy eMudhra. Chrome i Firefox blokują certyfikaty pośrednie tego samego wieczoru. Amazon widzi pierwszą próbę ataku przez PHP2Shell.
19 października	Apple blokuje certyfikaty pośrednie eMudhra. Android dostaje blokadę przez usługi Google Play.
20 października	Wyciekają identyfikatory CVE PHP2Shell. PHP zapowiada aktualizację bezpieczeństwa na następny dzień. Microsoft blokuje certyfikaty pośrednie eMudhra.
21 października	PHP i Node.js publikują poprawki bezpieczeństwa. Pojawia się złośliwa wersja LiteLLM 1.107.0, usunięta po około dwóch godzinach. CISA publikuje ostrzeżenie dotyczące PHP. Firmy bezpieczeństwa zgłaszają pierwsze próby ataków po aktualizacji PHP.
27 października	Chrome usuwa certyfikat główny „emSign ECC Root CA - G3” ze swojej listy zaufanych certyfikatów.