Krytyczne podatności w PHP (php2shell) – jak chronić szpitale, podmioty medyczne i administrację publiczną

W październiku 2026 roku zespół CERT Polska opublikował komunikat [196/2026] ostrzegający przed dwiema krytycznymi podatnościami w PHP, oznaczonymi identyfikatorami CVE-2026-109618 oraz CVE-2026-109619. Luki te, znane pod wspólną nazwą php2shell, pozwalają atakującemu na zdalne wykonanie dowolnych poleceń systemowych (Remote Code Execution, RCE) na serwerze, na którym działa podatna wersja języka PHP. Dla szpitali, podmiotów medycznych i administracji publicznej — instytucji przetwarzających ogromne ilości danych wrażliwych — konsekwencje udanego ataku mogą być katastrofalne.

W tym artykule wyjaśniamy przystępnie, na czym polegają podatności php2shell, dlaczego stanowią one szczególne zagrożenie dla sektora ochrony zdrowia i administracji państwowej oraz jakie konkretne kroki podjąć, aby zabezpieczyć infrastrukturę IT. Wiedza ta jest kluczowa dla dyrektorów szpitali, administratorów systemów medycznych (HIS, EHR), informatyków w podmiotach leczniczych oraz Inspektorów Ochrony Danych (IOD) odpowiedzialnych za zgodność z RODO.

Czym są podatności php2shell (CVE-2026-109618 i CVE-2026-109619)?

PHP to jeden z najpopularniejszych języków programowania wykorzystywanych po stronie serwera. Napędza miliony stron internetowych i aplikacji webowych na całym świecie, w tym systemy oparte na WordPressie, Joomli czy WooCommerce. Wiele rejestracji pacjentów, portali e-zdrowia, systemów rezerwacji wizyt oraz stron urzędów administracji publicznej jest zbudowanych właśnie w oparciu o PHP.

Podatności php2shell wynikają z błędów w mechanizmie zarządzania pamięcią w PHP. Atakujący, wykorzystując te luki, może spreparować specjalnie skonstruowane żądanie, które doprowadzi do przejęcia kontroli nad serwerem i wykonania dowolnego kodu systemowego. Oznacza to w praktyce pełne przejęcie maszyny — instalację złośliwego oprogramowania, kradzież danych, a w skrajnych przypadkach zablokowanie działania całego systemu (atak ransomware).

Podatne są wszystkie wersje PHP od 5.4 w górę. Oznacza to, że niemal każda instytucja korzystająca z nieaktualizowanego środowiska PHP znajduje się w strefie ryzyka. Komunikat CERT Polska podkreśla, że podatne są również systemy wykorzystujące oprogramowanie zbudowane na PHP — w tym popularne systemy CMS, sklepy internetowe i aplikacje dedykowane.

Dlaczego szpitale i podmioty medyczne są szczególnie narażone?

Sektor ochrony zdrowia to jeden z najbardziej atrakcyjnych celów dla cyberprzestępców. Szpitale, przychodnie, laboratoria medyczne i placówki diagnostyczne przetwarzają dane wrażliwe w rozumieniu RODO — informacje o stanie zdrowia pacjentów, wyniki badań, dane identyfikacyjne. Wyciek takich danych to nie tylko naruszenie prawa, ale przede wszystkim realne zagrożenie dla pacjentów i zaufania do placówki.

Atak wykorzystujący podatności php2shell może w podmiocie medycznym prowadzić do:

• Wycieku danych medycznych pacjentów — naruszenie art. 9 i art. 32 RODO, z ryzykiem kar finansowych sięgających do 20 mln euro lub 4% rocznego obrotu.
• Zablokowania systemów rejestracji i dokumentacji medycznej (HIS/EHR) — paraliż pracy oddziałów, opóźnienia w leczeniu, zagrożenie zdrowia i życia pacjentów.
• Instalacji ransomware — zaszyfrowania danych szpitalnych i żądania okupu, co w przypadku placówek medycznych bywa szczególnie dotkliwe.
• Utraty ciągłości działania — szpitale działają 24/7, a każda minuta przestoju systemu IT to opóźnienia w udzielaniu świadczeń zdrowotnych.

Warto pamiętać, że wiele podmiotów medycznych prowadzi dodatkowo portale pacjenta, systemy e-rejestracji czy sklepy z suplementami — aplikacje te często bazują na WordPressie lub WooCommerce, a więc bezpośrednio na PHP. Każda taka aplikacja to potencjalna furtka dla ataku php2shell.

Dlaczego administracja publiczna jest celem numer jeden?

Administracja publiczna — urzędy, ministerstwa, samorządy, sądy, instytucje państwowe — przetwarza dane milionów obywateli. Systemy e-administracji (ePUAP, portale usług publicznych, strony urzędów) są budowane w dużej mierze w oparciu o technologie webowe, w tym PHP. Udany atak RCE na serwer urzędu może oznaczać:

• Masowy wyciek danych obywateli — dane osobowe, adresy, numery PESEL, informacje finansowe.
• Zaburzenie funkcjonowania państwa — niedostępność usług publicznych, opóźnienia w załatwianiu spraw obywatelskich.
• Utratę zaufania obywateli do cyfryzacji administracji i instytucji państwowych.
• Podważenie bezpieczeństwa krytycznej infrastruktury państwa, jeśli atak rozprzestrzeni się w sieci wewnętrznej.

Dla administracji publicznej zgodność z wymogami Krajowego Systemu Cyberbezpieczeństwa (KSC) oraz dyrektyw NIS2 jest nie tylko dobrym praktyką, ale obowiązkiem prawnym. Niezastosowanie się do rekomendacji CERT Polska i brak aktualizacji PHP może zostać potraktowany jako niedopełnienie obowiązków w zakresie cyberbezpieczeństwa.

Jak natychmiast zabezpieczyć serwer? Tymczasowe łagodzenie ryzyka

Zespół CERT Polska jednoznacznie wskazuje, że jedyną skuteczną metodą ochrony jest instalacja poprawionej wersji PHP. Dopóki jednak dostawca dystrybucji lub producent oprogramowania nie udostępni bezpiecznej aktualizacji, należy zmniejszyć ryzyko skutecznego ataku w pierwszej fali masowych prób wykorzystania podatności poprzez ustawienie w pliku php.ini następujących parametrów:

• memory_limit na -1 (jeśli pozwalają na to zasoby), a w przeciwnym wypadku 128M lub więcej,
• post_max_size: 8M lub mniej,
• max_input_vars: 1000 lub mniej,
• session.upload_progress.enabled na Off.

Podkreślamy za CERT Polska: ustawienie tych opcji nie wyklucza możliwości wykorzystania podatności. W pełni zabezpiecza jedynie aktualizacja PHP do bezpiecznej wersji. Traktuj te zmiany jako środek tymczasowy, a nie docelowe rozwiązanie.

Bezpieczne wersje PHP — do jakiej wersji aktualizować?

Zgodnie z komunikatem CERT Polska bezpieczne wersje PHP to:

• dla linii PHP 8.5: 8.5.12,
• dla linii PHP 8.4: 8.4.27,
• dla linii PHP 8.3: 8.3.36,
• dla linii PHP 8.2: 8.2.35.

W przypadku pozostałych linii PHP, w tym popularnych 5.6, 7.0, 8.0 i 8.1, poprawki będą pochodzić od dostawcy dystrybucji lub oprogramowania używającego PHP. W instytucjach, które korzystają z gotowych urządzeń (appliance) lub obrazów kontenerów (np. Docker), należy oczekiwać nowej wersji od producenta i regularnie sprawdzać jej dostępność.

Oficjalne rekomendacje autorów PHP dostępne są na stronie php.net, a dodatkowe informacje od znalazców podatności na stronie php2shell.com.

Lista kontrolna bezpieczeństwa dla szpitali, podmiotów medycznych i administracji

Przygotowaliśmy praktyczną listę kroków, którą może wykorzystać każdy administrator IT, IOD lub dyrektor odpowiedzialny za cyberbezpieczeństwo w instytucji:

1. Inwentaryzacja środowiska PHP — zidentyfikuj wszystkie serwery, aplikacje, strony internetowe i systemy (w tym portale pacjenta, e-rejestrację, strony urzędów) działające na PHP.
2. Weryfikacja wersji PHP — sprawdź, czy używana wersja jest objęta podatnością i czy dostępna jest bezpieczna aktualizacja.
3. Zastosowanie tymczasowych parametrów php.ini — natychmiast skonfiguruj memory_limit, post_max_size, max_input_vars oraz session.upload_progress.enabled zgodnie z rekomendacją CERT Polska.
4. Aktualizacja PHP do bezpiecznej wersji — zaplanuj i przeprowadź aktualizację w oknie serwisowym, z wcześniejszym backupem.
5. Aktualizacja oprogramowania warstwy wyższej — WordPress, Joomla, WooCommerce, wtyczki i motywy również muszą być w aktualnych wersjach.
6. Wdrożenie WAF i monitorowania — Web Application Firewall oraz systemy detekcji intruzów (IDS/IPS) pomogą wykryć próby wykorzystania podatności.
7. Przegląd logów — sprawdź, czy w logach serwera nie ma śladów już przeprowadzonych prób ataku.
8. Audyt zgodności z RODO i KSC — udokumentuj podjęte działania; w razie incydentu będziesz musiał wykazać należytą staranność (art. 32 RODO).
9. Szkolenie personelu — poinformuj zespół IT oraz użytkowników o zagrożeniu i procedurach reagowania.
10. Plan reagowania na incydenty — upewnij się, że znasz procedurę zgłoszenia do CERT Polska przez portal incydent.cert.pl.

RODO, KSC i odpowiedzialność instytucji

Zarówno szpitale i podmioty medyczne, jak i administracja publiczna należą do podmiotów przetwarzających dane wrażliwe na masową skalę. Zgodnie z art. 32 RODO muszą one wdrożyć odpowiednie środki techniczne i organizacyjne zapewniające poziom bezpieczeństwa odpowiadający ryzyku. Brak aktualizacji krytycznej podatności, o której publicznie ostrzegł CERT Polska, może zostać uznany przez UODO za niedopełnienie tego obowiązku.

W przypadku wykrycia naruszenia ochrony danych osobowych wynikającego z ataku php2shell, podmiot ma obowiązek zgłosić incydent do UODO w ciągu 72 godzin oraz — w sektorze medycznym — poinformować pacjentów, jeśli naruszenie stwarza wysokie ryzyko naruszenia ich praw i wolności. Dla administracji publicznej dodatkowo obowiązuje reżim ustawy o krajowym systemie cyberbezpieczeństwa i potencjalnie dyrektywy NIS2.

Co zrobić w przypadku wykrycia ataku?

Jeśli w Twojej instytucji — szpitalu, przychodni, urzędzie — wykryto ślady wykorzystania podatności php2shell, działaj natychmiast:

• Odłącz zainfekowane systemy od sieci, aby zapobiec rozprzestrzenianiu się ataku.
• Zachowaj dowody — logi, zrzuty pamięci, obrazy dysków — niezbędne do analizy i zgłoszenia.
• Zgłoś incydent do CERT Polska przez formularz na stronie incydent.cert.pl.
• Powiadom Inspektora Ochrony Danych i ocen ryzyko naruszenia praw osób, których dane dotyczą.
• Przygotuj zgłoszenie do UODO, jeśli doszło do naruszenia ochrony danych osobowych.
• Przywróć systemy z zaufanych kopii zapasowych po usunięciu wektora ataku (aktualizacji PHP).

Jak AIVISION Bodak wspiera cyberbezpieczeństwo w medycynie i administracji?

W AIVISION Bodak rozumiemy specyfikę sektora ochrony zdrowia i administracji publicznej. Pomagamy podmiotom medycznym i instytucjom państwowym w:

• Audycie bezpieczeństwa infrastruktury IT i identyfikacji podatnych wersji PHP oraz oprogramowania,
• Szybkiej aktualizacji i migracji systemów do bezpiecznych wersji PHP,
• Wdrażaniu automatyzacji monitorowania logów i wykrywania prób ataku z wykorzystaniem AI,
• Budowie procedur reagowania na incydenty zgodnych z RODO, KSC i NIS2,
• Szkoleniach personelu z zakresu cyberhigieny i świadomości zagrożeń.

Łączymy wiedzę o sztucznej inteligencji z praktyką cyberbezpieczeństwa, aby instytucje mogły nie tylko reagować na zagrożenia, ale je uprzedzać. Automatyzacja monitorowania podatności i analiza logów z wykorzystaniem AI to dziś standard, który pozwala wykryć atak php2shell, zanim wyrządzi szkody.

Podsumowanie

Krytyczne podatności w PHP oznaczone jako php2shell (CVE-2026-109618 i CVE-2026-109619) to jedno z najpoważniejszych ostrzeżeń bezpieczeństwa w 2026 roku. Dla szpitali, podmiotów medycznych i administracji publicznej — instytucji przetwarzających dane wrażliwe i działających pod presją RODO oraz KSC — natychmiastowa aktualizacja PHP do bezpiecznej wersji oraz zastosowanie tymczasowych parametrów php.ini to absolutny priorytet. Nie czekaj na atak — zabezpiecz swoją infrastrukturę już dziś.

Jeśli potrzebujesz wsparcia w audycie, aktualizacji lub wdrożeniu automatyzacji monitorowania bezpieczeństwa w Twojej placówce medycznej lub instytucji publicznej, umów bezpłatną konsultację z naszymi ekspertami.