Ostatni tydzień października przyniósł sporo zamieszania w fundamentach usług webowych i systemach zarządzania siecią. Gdy w środę przeglądałem pierwsze ostrzeżenia, stało się jasne, że administratorzy serwerów linuksowych i zapór sieciowych nie będą mieli spokojnego weekendu. Ujawniono dwie krytyczne podatności w samym rdzeniu interpretera PHP, ochrzczone jako PHP2Shell, które natychmiast trafiły pod ostrzał skanerów i botnetów. Do tego doszły oficjalne biuletyny producentów sprzętu sieciowego: Cisco, Palo Alto i Fortinet potwierdziły wpływ błędu na swoje ekosystemy.
Na poziomie urządzeń brzegowych sytuacja wygląda równie poważnie. Arista Networks łata aktywnie wykorzystywany błąd zero-day w orkiestratorach VeloCloud SD-WAN, który w piątek zasilił katalog CISA KEV. Cisco wydało krytyczną poprawkę dla platformy Expressway, gdzie luka w usłudze bazodanowej pozwala na zdalne przejęcie uprawnień roota bez uwierzytelnienia. W świecie aplikacji backendowych badacze opublikowali działający exploit Node2Shell, wykorzystujący przepełnienie bufora w dekompresorze Brotli w Node.js, a na podatność w Fortinet FortiSIEM pojawił się publiczny kod PoC. Poniżej zebrałem kluczowe fakty techniczne i kroki niezbędne do zabezpieczenia środowisk.
1. PHP2Shell: krytyczne zdalne wykonanie kodu w rdzeniu PHP (CVE-2026-109618, CVE-2026-109619)
Najważniejszym wydarzeniem ostatnich dni jest publikacja awaryjnych wydań bezpieczeństwa przez PHP Foundation dla dwóch luk w interpreterze języka PHP. Podatność CVE-2026-109618 otrzymała maksymalny scoring CVSS 3.1 na poziomie 9.8 (9.2 w CVSS 4.0), a towarzysząca jej luka CVE-2026-109619 oceniona została na 8.1. Zespoły monitorujące zagrożenia zaobserwowały próby ataków na honeypoty jeszcze przed oficjalnym ujawnieniem szczegółów, a operatorzy botnetu Mirai niemal natychmiast wdrożyli gotowe exploity omijające mechanizmy ASLR.
Źródło problemu tkwi w obsłudze żądań HTTP i zarządzaniu pamięcią przez proces roboczy PHP. Luka CVE-2026-109618 polega na nieprawidłowym zachowaniu funkcji longjmp() w sytuacjach braku pamięci (out-of-memory). W określonych warunkach błąd OOM przerywa alokację w trakcie inicjalizacji struktur żądania, a późniejsza procedura sprzątająca odwołuje się do niezainicjalizowanych wskaźników, co pozwala na wykonanie kodu. Z kolei CVE-2026-109619 dotyczy niepoprawnego czyszczenia stanu globalnego, który po zwolnieniu pamięci żądania nadal wskazuje na nieprawidłowe adresy (use-after-free). Kolejne zapytanie obsłużone przez ten sam proces roboczy może odczytać ten stan przed jego ponownym zainicjalizowaniem.
Wpływ podatności wykracza daleko poza klasyczne serwery WWW. Własne biuletyny bezpieczeństwa wydały koncerny sieciowe: Cisco potwierdziło wpływ na wybrane produkty w biuletynie cisco-sa-php-october26-Jj384Daq, Palo Alto Networks wydało ostrzeżenie dla PAN-OS, a Fortinet opublikował dedykowany alert Outbreak oraz biuletyn FG-IR-26-186. PHP Foundation udostępniła poprawki w gałęziach 8.1.31, 8.2.25 oraz 8.3.13. Jeśli utrzymujecie aplikacje oparte na PHP (w tym systemy WordPress), aktualizacja interpretera jest zadaniem o najwyższym priorytecie.
- Identyfikatory: CVE-2026-109618, CVE-2026-109619 (PHP2Shell)
- Ocena bazowa: CVSS 9.8 (Krytyczna)
- Status eksploatacji: Trwające ataki, botnet Mirai, honeypoty
- Podatne systemy: Interpreter PHP w wersjach 8.1.x, 8.2.x, 8.3.x oraz powiązane produkty Cisco, Palo Alto i Fortinet
- Mitygacja: Aktualizacja PHP do wersji 8.1.31, 8.2.25 lub 8.3.13
- Źródło: PHP Foundation Advisory
2. Arista VeloCloud Orchestrator: zero-day SQL Injection w sieciach SD-WAN (CVE-2026-114625)
Arista Networks opublikowała pilny biuletyn bezpieczeństwa dotyczący luki zero-day w systemie VeloCloud Orchestrator (VCO), służącym do centralnego zarządzania i orkiestracji korporacyjnych sieci SD-WAN. Podatność CVE-2026-114625 otrzymała ocenę CVSS 3.1 równą 9.9. W piątek 23 października amerykańska agencja CISA dopisała ten błąd do katalogu Known Exploited Vulnerabilities (KEV), potwierdzając trwające ataki w środowiskach produkcyjnych. To już trzecia luka zero-day w platformie VCO odnotowana w ciągu ostatnich czterech miesięcy.
Problem polega na klasycznym wstrzykiwaniu poleceń SQL (CWE-89) w logice przetwarzania zapytań orkiestratora on-premise. Zdalny użytkownik posiadający dowolne konto uwierzytelnione w systemie, nawet z najniższym poziomem uprawnień typu read-only, może skonstruować zapytanie bazodanowe pozwalające na eskalację uprawnień do roli operatora nadrzędnego (superuser). W efekcie napastnik uzyskuje dostęp do wewnętrznych interfejsów administracyjnych i funkcji orkiestratora.
- Identyfikator: CVE-2026-114625
- Ocena bazowa: CVSS 9.9 (Krytyczna)
- Status eksploatacji: Trwające ataki w sieci, katalog CISA KEV
- Podatne systemy: VeloCloud Orchestrator On-Prem (gałęzie 5.2, 6.1, 6.4)
- Mitygacja: Aktualizacja VCO do wersji 5.2.3.18, 6.1.3.10 lub 6.4.2.12, izolacja interfejsu od internetu
- Źródło: Arista Security Advisory 0199
3. Cisco Expressway Series: zdalny root w usłudze bazodanowej (CVE-2026-76466)
W ramach pakietu biuletynów z 21 października Cisco ujawniło krytyczną lukę w bramach komunikacyjnych Cisco Expressway Series. Podatność CVE-2026-76466 otrzymała ocenę CVSS 3.1 wynoszącą 9.8 i status Critical. Pozwala ona nieuwierzytelnionemu napastnikowi z dostępem sieciowym na wykonanie dowolnych poleceń w systemie operacyjnym urządzenia z uprawnieniami użytkownika root.
Błąd zlokalizowany jest w usłudze bazodanowej wykorzystywanej przez urządzenia Expressway do synchronizacji konfiguracji. Wynika ze stosowania trwałych, przewidywalnych ciasteczek sesyjnych w połączeniu z brakiem weryfikacji certyfikatów klienckich podczas pracy w klastrze, nawet jeśli opcja weryfikacji TLS została jawnie włączona. Napastnik mający parametry sesyjne może połączyć się z portem bazy i za pomocą wywołań RPC zmusić system do uruchomienia dowolnego kodu jako root.
- Identyfikator: CVE-2026-76466
- Ocena bazowa: CVSS 9.8 (Krytyczna)
- Podatne systemy: Cisco Expressway-C oraz Expressway-E
- Mitygacja: Instalacja oficjalnej poprawki udostępnionej w biuletynie Cisco PSIRT (brak obejść tymczasowych)
- Źródło: Cisco PSIRT Advisory
4. Node2Shell: przepełnienie bufora w dekompresorze Brotli (CVE-2026-111497)
Zespół projektu Node.js wydał awaryjną aktualizację dla wszystkich aktywnych gałęzi (22.x, 24.x oraz 26.x), a badacze z Imperva opublikowali dowód koncepcji nazwany Node2Shell, demonstrujący pełne wykonanie kodu na oficjalnym obrazie linuksowym Node.js. Podatność oznaczona jako CVE-2026-111497 otrzymała ocenę 9.2 w skali CVSS 3.1.
Źródłem luki jest błąd przepełnienia bufora w bibliotece Google Brotli w wersjach od 1.0.3 do 1.2.0. Problem dotyczy także środowiska Bun, pakietów Pythona brotli / brotlicffi oraz serwerów proxy Envoy. Złośliwie spreparowany strumień skompresowanych danych Brotli pozwala na uszkodzenie pamięci sterty i przejęcie kontroli nad wątkiem aplikacji.
- Identyfikator: CVE-2026-111497 (Node2Shell)
- Ocena bazowa: CVSS 9.2 (Krytyczna)
- Podatne systemy: Node.js (22.x, 24.x, 26.x), biblioteka Google Brotli 1.0.3–1.2.0, Bun, proxy Envoy
- Mitygacja: Aktualizacja Node.js do 22.14.1, 24.22.1, 26.1.1 oraz przebudowa kontenerów
- Źródło: Node.js Security Blog
5. Fortinet FortiSIEM: publiczny exploit gRPC (CVE-2026-106173) i ostrzeżenia producenta
Badacze opublikowali funkcjonalny kod exploita dla luki CVE-2026-106173 w platformie Fortinet FortiSIEM (biuletyn FG-IR-26-180), posiadającej scoring CVSS 9.4. Jest to błąd Path Traversal w demonie grpc phQueryMaster, pozwalający nieuwierzytelnionemu napastnikowi na zapis dowolnych plików na dysku i wykonanie kodu z uprawnieniami usługi. W polskim środowisku technicznym (m.in. Sekurak) nagłośniono także pakiety łatek dla FortiOS i FortiManager.
- Identyfikator: CVE-2026-106173
- Ocena bazowa: CVSS 9.4 (Krytyczna)
- Status eksploatacji: Publiczny exploit gRPC
- Podatne systemy: Fortinet FortiSIEM
- Mitygacja: Aktualizacja FortiSIEM, odcięcie interfejsów gRPC
- Źródło: FortiGuard Advisory FG-IR-26-180
Co zrobić dziś
- PHP: Zaktualizujcie interpreter PHP do wydań 8.1.31, 8.2.25 lub 8.3.13, aby zabezpieczyć serwery i WordPressa przed PHP2Shell.
- Arista VeloCloud: Wdróżcie poprawki 5.2.3.18, 6.1.3.10 lub 6.4.2.12 dla orkiestratorów SD-WAN on-premise.
- Cisco Expressway: Zainstalujcie oficjalne łatki dla bram Expressway-C i Expressway-E (CVE-2026-76466).
- Node.js i Brotli: Zaktualizujcie Node.js do gałęzi 22.14.1, 24.22.1 lub 26.1.1 oraz przebudujcie obrazy kontenerów.
- Fortinet: Zabezpieczcie FortiSIEM i sprawdźcie biuletyny dla FortiOS/FortiManager.
