Rząd spóźniony z reakcją na cyberatak! „Co miało paść, już padło”

W sieci wybuchła „PHPokalipsa”. Gdy globalne instytucje od kilkudziesięciu godzin stawiały tarcze przed krytyczną luką w sercu internetu, polskie Ministerstwo Cyfryzacji zareagowało dopiero rano, tymczasowym odcięciem rządowych serwisów. Eksperci ds. bezpieczeństwa nie zostawiają na tym ruchu suchej nitki.

Dwie luki bezpieczeństwa (CVE-2026-109618 i CVE-2026-109619) w mechanizmach języka PHP wywołały największy kryzys w globalnej sieci od lat. Problem dotyczy kodu funkcjonującego w sieci od ostatnich 14 lat, od wersji PHP 5.4 wzwyż. Błąd pozwala cyberprzestępcom na zdalne wykonanie kodu (RCE) i przejęcie pełnej kontroli nad serwerem i bazami danych bez potrzeby logowania czy znajomości haseł.

W czwartek rano wicepremier i minister cyfryzacji Krzysztof Gawkowski poinformował o zwołaniu Połączonego Centrum Operacyjnego CyberbezpiPoleczeństwa oraz wdrożeniu planu awaryjnego. Centralny Ośrodek Informatyki (COI) podjął bezprecedensowy krok: czasowo wyłączono strony Biuletynu Informacji Publicznej (BIP) działające w centralnym systemie SSDIP.

Obudzili się. Dobrze! Choć co miało być zhakowane, już jest zhakowane.
— Łukasz Olejnik (@prywatnik) October 22, 2026

„Co miało być zhakowane, już jest zhakowane”

Choć resort przekonuje, że czasowa niedostępność serwisów rządowych pozwoli wdrożyć zabezpieczenia, w środowisku cyberbezpieczeństwa zawrzało z powodu opieszałości władz.

Obudzili się. Dobrze! Choć co miało być zhakowane, już jest zhakowane” - skomentował dr Łukasz Olejnik, uznany badacz i niezależny analityk cyberbezpieczeństwa.

Jak wskazują specjaliści, giganci chmurowi (m.in. Cloudflare i Amazon) odnotowywali zmasowane próby skanowania i ataki zautomatyzowanych botnetów na długo przed oficjalnym komunikatem polskiego rządu. W przypadku luk o tak wysokiej krytyczności (CVSS 9,2) kluczowe są pierwsze godziny, wyłączenie publicznych stron dopiero po fali skanów oznacza, że w wielu miejscach intruzi mogli już uzyskać dostęp do wrażliwych zasobów.

Spóźniona reakcja rządu i komunikat wydany kilkanaście godzin po atakach dziwi tym bardziej, iż eksperci wojskowi informowali o sprawie znacznie wcześniej niż rząd.

W związku z pojawieniem się informacji o podatnościach CVE-2026-109618 oraz CVE-2026-109619 związanych z PHP (podatne są wszystkie wersje od 5.4) zalecamy wszystkim podmiotom wykorzystującym tę technologię jej niezwłoczną aktualizację. Wymienione podatności umożliwiają zdalne wykonanie kodu na podatnym serwerze (RCE). Oficjalne rekomendacje autorów PHP można znaleźć na stronie: https://t.co/1Ckar1B7E1. Poprawki dostępne są wyłącznie dla wersji 8.x. Obecnie nie ma oficjalnych informacji dotyczących planowanego objęcia poprawkami bezpieczeństwa starszych wersji. W sytuacjach, gdy natychmiastowe wdrożenie poprawek nie jest możliwe, zaleca się rozważenie odseparowania podatnych aplikacji od sieci publicznych – do czasu wdrożenia odpowiednich poprawek.
— Wojska Obrony Cyberprzestrzeni (@CyberWojska) October 21, 2026

Świat bił na alarm od środy. Polska obudziła się rano

Podczas gdy polskie władze zwołały sztab kryzysowy dopiero w czwartek rano, światowe agencje i rządy reagowały już od środy. Unijna agencja CERT-EU, amerykańska CISA oraz brytyjskie NCSC wydały najwyższe noty ostrzegawcze natychmiast po upublicznieniu luki przez twórców PHP w środę o 13:30 UTC. O powadze sytuacji świadczy fakt, że premier Japonii Sanae Takaichi osobiście zaapelowała do administratorów w mediach społecznościowych o natychmiastowe audyty serwerów, a instytucje w Niemczech i Holandii czy prefektury we Francji już poprzedniego popołudnia prewencyjnie izolowały podatne systemy i wdrażały reguły filtrujące ruch.

W tym samym czasie giganci infrastrukturalni - tacy jak Cloudflare, Amazon Web Services czy Google Cloud - odnotowali masowe skanowanie sieci przez botnety poszukujące podatnych instancji. Przez niemal dobę polska cyberprzestrzeń pozostawała bez skoordynowanego, publicznego ostrzeżenia ze strony rządu. Dopiero gdy niebezpieczne narzędzia hakerów krążyły już w sieci w najlepsze, Ministerstwo Cyfryzacji zdecydowało się na awaryjny ruch i „odcięcie kabla” od rządowych serwerów BIP.

Francja i Niemcy wyłączyły strony państwowe. Powodem dwie krytyczne luki w PHP. Zniknęły m .in. francuski urząd podatkowy i strony prefektur, a w Nadrenii Północnej-Westfalii strony szpitali i policji. Nie można zhakować czegoś czego nie ma w Internecie
— Łukasz Olejnik (@prywatnik) October 21, 2026

Luka odkryta przez AI, problem z milionami stron

Ironią losu jest fakt, że niebezpieczeństwo, które przez ponad dekadę uchodziło za czysto teoretyczne, zostało skutecznie zidentyfikowane i przeanalizowane przy użyciu zaawansowanych modeli sztucznej inteligencji. Gdy badacze dowiedli realności ataku, autorzy technologii wydali poprawki wyłącznie dla najnowszej gałęzi: PHP 8.x.

To stawia pod ścianą miliony serwisów na świecie, w tym setki polskich stron instytucji publicznych i szpitali, które przez lata zaniedbań architektonicznych wciąż działają na przestarzałych wersjach 7.x czy 5.x. Dla nich oficjalnych łatek nie ma, a jedynym ratunkiem pozostaje całkowite odcięcie witryny od publicznego internetu lub budowa kosztownych zapór WAF.

CERT Polska apeluje do wszystkich administratorów w kraju o pilną weryfikację serwerów i zgłaszanie incydentów pod adresem incydent.cert.pl. Prawdziwa skala szkód wyrządzonych przed reakcją służb ujawni się jednak dopiero w kolejnych dniach.

źr. wPolityce.pl za X/Reuters/BBC