Binadit · 3 listopada 2026

Przez lata wszystko szło dobrze, dopóki sztuczna inteligencja nie zaczęła sprawdzać, dlaczego stare wycieki stanowią obecnie ryzyko dla Twojej firmy

Wyciek w PHP trwał około 14 lat. Wyciek w systemie Linux od 9 lat. Przez cały czas oprogramowanie po prostu się kręciło i wydawało się, że wszystko idzie dobrze. Do czasu, gdy sztuczna inteligencja znacznie przyspieszyła poszukiwanie błędów. Zmienia to stałe założenie wielu przedsiębiorców: to, co przez długi czas szło dobrze, nie idzie samo przez się.

OpenBSD, 27 lat

FFmpeg, 16 lat

PHP, około 14 lat

Linux, błąd kopiowania, 9 lat

Linux, CVE-2026-31695, prawie 5 lat

Stare błędy teraz wychodzą na wierzch

Nie jest to nieznane oprogramowanie hobbystyczne. Jest to oprogramowanie, na którym działają firmy, rządy i duża część sieci. Patrzyły na to tysiące deweloperów, a jednak te błędy trwały latami.

PHP: 14 lat nic się nie dzieje

Wycieki, które stały się znane jako PHP2Shell, CVE-2026-109618 i CVE-2026-109619, były w kodzie od PHP 5.4 w 2012 roku. Ograniczony wariant znaleziono już w 2024 roku, ale nie uważano go wówczas za istotny. W sierpniu 2026 r. grupy badawcze znalazły błędy przy pomocy sztucznej inteligencji. Potem poszło szybko. W ciągu około tygodnia miały miejsce ataki robocze na WordPress i Drupal gotowe w śledztwie. 21 października przyszły aktualizacje, a Cloudflare doświadczyło dziesiątek tysięcy prób ataku, później milionów, w ciągu 45 minut. Palo Alto Networks miało 22,6 miliona potencjalnie narażonych instalacji. W Holandii rząd, opieka zdrowotna i strony informacyjne tymczasowo wyłączyły się w oczekiwaniu na poprawki. Przejście na tryb offline nie oznacza zhakowania witryny, było to często środek ostrożności. W dniu 22 października NCSC poinformowała, że nie widziała jeszcze żadnych nadużyć na holenderskich stronach internetowych.

Linux: ten sam wzór

Copy Fail, CVE-2026-31431, był w jądrze Linuksa od 2017 roku i został znaleziony za pomocą sztucznej inteligencji. Pozwala to zwykłemu użytkownikowi stać się rootem w systemie. CVE-2026-31695 znajdował się w jądrze przez prawie pięć lat, a obecnie doniesiono o działającym eksploicie. ZcopyReaper, CVE-2026-43502, istnieje od jądra 4.17. Najnowsze błędy są również szybciej zauważane. Fragnesia, CVE-2026-46300, nie jest starą luką, ale wprowadzoną za pośrednictwem wcześniejszej poprawki. Znajduje się ona na liście aktywnych nadużyć CISA od 28 października. Jest tam powiązana z PHP2Shell: najpierw wprowadzono ją przez stronę internetową, a następnie uzyskano pełną kontrolę nad serwerem.

To dopiero początek

Sztuczna inteligencja przyspiesza nie tylko naukowców, ale także atakujących. Sama organizacja OpenAI przyznaje, że te same możliwości mogą pomóc atakującym w szybkim tworzeniu narzędzi do ataków. Brytyjski NCSC ostrzegał już w maju przed falą awaryjnych aktualizacji obejmujących wszystkie rodzaje oprogramowania, w tym oprogramowanie open source i SaaS. Nikt nie wie, które oprogramowanie jest następne. Jest jednak jasne, że nadal istnieje wiele starych kodów, którym nigdy nie przyjrzano się tak dokładnie, jak jest to teraz możliwe. Więc licz na więcej takich tygodni.

Co to oznacza dla Ciebie jako przedsiębiorcy

Może myślisz: moja strona działa od dziesięciu lat bez żadnych problemów. To właśnie wiele osób w sieci mówiło o PHP. Wyciek może oznaczać, że dane klientów znajdują się na ulicy, Twój sklep internetowy lub aplikacja zostaną uszkodzone lub atakujący zdejmą Twój serwer. Następnie pojawiają się pytania od klientów, koszty naprawy, nieudana sprzedaż, a czasami raport do organu regulacyjnego. Uszkodzenie reputacji często zaczyna się od jednej wiadomości od klienta: co stało się z moimi danymi? Atakujący nie muszą wybierać Ciebie. W PHP2Shell próby sięgnęły milionów. Więc nie jesteś celem, ponieważ jesteś wysoki, ale dlatego, że jesteś online.

Twój kod i serwer to dwa różne problemy

Możesz naprawić wycieki w PHP i Linuksie na serwerze. Błędy we własnej witrynie lub aplikacji znajdują się w Twoim kodzie: formularz, który nie sprawdza danych wejściowych, strona bez autoryzacji, klucz w repozytorium. Żadna aktualizacja od dostawcy tego nie naprawi. Nie ma znaczenia, kto napisał kod. Niezależnie od tego, czy ma dziesięć lat, czy został wyprodukowany w zeszłym tygodniu, napastnik tylko sprawdza, czy działa.

Ile może kosztować wyciek

W przypadku niewystarczającego bezpieczeństwa holenderski organ ochrony danych może nałożyć grzywnę. Zgodnie z art. 83 RODO może on wynosić 10 milionów euro lub 2% globalnego rocznego obrotu, w zależności od tego, która z tych kwot jest wyższa. W grudniu 2025 r. HAN została ukarana grzywną w wysokości 175 000 EUR. Atakujący nadużył przecieku w formularzu internetowym w 2021 roku. Następnie OA przyjrzał się bezpieczeństwu, takim jak nadmierne prawa, ograniczone logowanie i słabo zabezpieczone hasła.

Twój obowiązek podjęcia wysiłku zgodnie z RODO i NIS2

RODO i ustawa o cyberbezpieczeństwie nie wymagają doskonałości. Proszą o odpowiednie środki, które odpowiadają ryzyku. Artykuł 32 RODO wspomina również o procedurze testowania, oceny i ewaluacji środków w regularnych odstępach czasu. Ustawa o cyberbezpieczeństwie obowiązuje od 15 sierpnia 2026 roku i według NCSC dotyczy ponad 8000 organizacji. Artykuł 21 wspomina między innymi o bezpiecznym rozwoju, reagowaniu na luki w zabezpieczeniach i bezpieczeństwie łańcucha dostaw. Jeśli sam się do niej nie zaliczasz, klient, który się do niej zalicza, nadal może poprosić o dowód. Skanowanie kodu lub skanowanie serwera nie jest znakiem jakości. Jednak raport pomaga pokazać, co sprawdziłeś, co znalazłeś i co rozwiązałeś. Szczególnie, gdy coś się dzieje, jest to cenne.

Czas podjąć działania

1. Sprawdź, które wersje PHP, Node.js i jądra są naprawdę uruchomione. 2. Załóż łatkę i uruchom ponownie. 3. Wymień oprogramowanie bez wsparcia. PHP 8.2 zakończy się 31 grudnia 2026 r. 4. Poszukaj oznak nadużyć. 5. Sprawdź swój własny kod, włączając w to stare części, na które już nikt nie patrzy. 6. Udokumentuj to, co zrobiłeś. Skorzystaj z naszej bezpłatnej samokontroli jako punktu wyjścia.

Jak Binadit pomaga

Dzięki Binadit Code Scan sprawdzamy kod Twojej strony internetowej lub aplikacji, w stałej cenie i bez konta. Podczas skanowania serwera przyglądamy się również poziomowi poprawek i konfiguracji. Postępujemy z Twoim kodem ostrożnie, podpisujemy umowę o zachowaniu poufności, a każde odkrycie jest sprawdzane przez człowieka. Sprawdź paczki.

Zobacz skanowanie kodu Binadit Przeskanuj swoją witrynę Zeskanuj swoją aplikację Zobacz skan serwera Bezpłatna samokontrola Warunki