Krytyczne podatności w PHP: CVE-2026-109618 i CVE-2026-109619
Aktualizacja (22 października 2026 r., godz. 12:00): na serwerach większości geoportali zainstalowaliśmy przygotowane przez nas wersje PHP z poprawkami zabezpieczającymi przed opisanymi podatnościami i przywróciliśmy na nich pełną możliwość przesyłania plików. Uprzejmie prosimy powiaty o przekazanie tej informacji użytkownikom geoportali, w szczególności geodetom. Powiaty, w których zabezpieczenie serwera wymaga dodatkowych prac, otrzymały od nas osobną wiadomość z informacją o dalszych krokach.
Aktualizacja (21 października 2026 r., godz. 22:00): większość serwerów geoportali jest już zabezpieczona, a prace przy pozostałych kontynuujemy także w nocy. Do tej pory nie stwierdziliśmy żadnych prób wykorzystania podatności na serwerach geoportali. Dziękujemy za cierpliwość i wyrozumiałość.
Aktualizacja (21 października 2026 r., godz. 19:00): poprawki zabezpieczające serwery geoportali są gotowe i stopniowo je wdrażamy. Po zabezpieczeniu danego serwera przywrócimy na nim pełną możliwość przesyłania plików, a do tego czasu komunikat o czasowych ograniczeniach pozostaje aktualny. W przypadku części serwerów, ze względu na ich konfigurację, zabezpieczenie wymaga dodatkowych prac – z tymi powiatami skontaktujemy się indywidualnie.
Aktualizacja (21 października 2026 r., godz. 17:00): zgodnie z zapowiedzią o godzinie 16:00 opublikowano szczegóły podatności. Analizujemy je i przygotowujemy poprawki dla serwerów geoportali.
Szanowni Państwo, CERT Polska oraz CERT-EU ostrzegły przed dwiema krytycznymi podatnościami w PHP (CVE-2026-109618 i CVE-2026-109619, ocena CVSS 9.2), które mogą pozwolić na zdalne przejęcie serwera bez logowania. Zagrożone są wszystkie wersje PHP od 5.0, a więc także serwery, na których działają geoportale powiatów.
W chwili pisania tej informacji szczegóły podatności nie są znane, opublikowano jedynie pewne poszlaki. Na ich podstawie podejmujemy następujące kroki:
- Teraz: natychmiast blokujemy część funkcji przesyłania plików na geoportal. Przestaną działać moduł przesyłania dużych plików, wgrywanie poświadczeń i dodawanie innych załączników w formularzach. Przesyłanie operatów pozostaje dostępne, ponieważ wykorzystuje inną metodę przesyłania danych.
- Dziś po godzinie 16:00: dopiero 21 października 2026 r. o godzinie 16:00 mają zostać opublikowane szczegóły podatności. Wtedy dowiemy się, na czym polega wektor ataku, i przeanalizujemy, jak najlepiej zabezpieczyć Państwa systemy.
- Tak szybko, jak to możliwe: wprowadzimy poprawki, które ponownie uruchomią możliwość wysyłania plików, z zabezpieczeniami przygotowanymi na podstawie opublikowanych szczegółów podatności.
Uprzejmie prosimy powiaty o poinformowanie użytkowników geoportali, w szczególności geodetów wykonujących prace na terenie powiatu, o czasowym braku możliwości przesyłania plików (np. komunikatem na stronie geoportalu lub wiadomością do wykonawców).
Aktualne informacje o rozwoju sytuacji będziemy publikować na bieżąco w naszych Aktualnościach.
Komunikaty źródłowe: