PHP2Shell i spór o krypto-haltefrist

Dwie sprawy, jeden wspólny mianownik: ryzyko dla internetu i krypto

W ciągu jednego dnia na rynku kryptowalut i szerzej w świecie technologii pojawiły się dwa głośne wątki. Z jednej strony ujawniono poważną lukę w PHP, języku, który napędza ogromną część stron internetowych. Z drugiej — w Niemczech wróciła dyskusja o likwidacji rocznej krypto-haltefrist, czyli zwolnienia z podatku po roku trzymania aktywów cyfrowych.

Choć tematy brzmią różnie, łączy je jedno: oba pokazują, jak mocno technologia i regulacje mogą wpływać na codzienne korzystanie z internetu oraz rynku kryptowalut.

PHP2Shell: luka, która może dać zdalny dostęp do serwera

W PHP wykryto dwie podatności oznaczone jako CVE-2026-109618 i CVE-2026-109619. Razem opisuje się je jako PHP2Shell. Problem jest poważny, bo pozwala nieautoryzowanemu atakującemu uruchamiać kod na serwerze i wpływać na sposób, w jaki serwer podaje treści do przeglądarki użytkownika.

PHP jest dziś jednym z fundamentów internetu — według opisu zagrożenia zasila backendy około 70% światowych stron internetowych. To oznacza, że potencjalny zasięg problemu jest ogromny.

Co ważne, oficjalne poprawki trafiły początkowo tylko do PHP 8.2 i nowszych wersji, przez co ponad jedna trzecia stron opartych na PHP wciąż nie miała łatki w momencie publikacji. Z czasem zaczęto jednak udostępniać backporty dla starszych gałęzi 7.4–8.1.

Które wersje są już poprawione?

Wskazane poprawione wydania to:

• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35

Jednocześnie problem pozostaje szczególnie trudny dla starszych instalacji. Około 27% stron na PHP działa na wersji 7, a 7,7% na PHP 5 — te środowiska nadal pozostają bez aktualizacji bezpieczeństwa. Dodatkowo ponad 800 tys. hostów internetowych ma korzystać z tak starej gałęzi PHP, że nie otrzyma już żadnej poprawki.

AI znalazła błąd, którego ludzie mogli nie zauważyć latami

Na uwagę zasługuje fakt, że podatność została odkryta przez badacza korzystającego z modelu OpenAI GPT-5.6 Sol podczas audytu finansowanego przez OpenAI. Praca była prowadzona w ramach programu Patch the Planet, łączącego zaawansowane modele AI z eksperckim przeglądem człowieka.

Weryfikację luki potwierdziła także niezależnie firma Wiz, należąca do Google Cloud. Jej współzałożyciel określił PHP2Shell jako najpoważniejszą podatność AI, jaką kiedykolwiek znaleziono.

To ważny sygnał dla całej branży cyberbezpieczeństwa: AI nie tylko przyspiesza analizę kodu, ale może też odkrywać błędy, które przez lata uchodziły uwadze specjalistów.

Reakcje administracji i firm internetowych

Skala problemu wymusiła szybkie działania. Firma Cloudflare wdrożyła awaryjne środki ochronne, zanim pojawiły się kolejne poprawki. Równolegle pojedyncze instytucje na świecie zaczęły czasowo wyłączać usługi internetowe, by ograniczyć ryzyko ataku.

Wśród opisanych reakcji znalazły się m.in.:

• czasowe wyłączenie części usług państwowych w Finlandii,
• problemy z serwisami dla lokalnych władz w Holandii,
• czasowe zdejmowanie niektórych stron administracyjnych z sieci we Francji.

To pokazuje, że luka nie była jedynie teoretycznym zagrożeniem, ale realnym problemem operacyjnym dla podmiotów publicznych i prywatnych.

Niemcy: krypto-haltefrist pod ostrzałem

Równolegle w Niemczech trwa debata o zniesieniu rocznej ulgi podatkowej dla kryptowalut. Zgodnie z referentem projektu zyski z aktywów cyfrowych nabytych od 2027 roku miałyby być opodatkowane niezależnie od okresu trzymania.

Politycznie sprawa nie jest jeszcze przesądzona. Zaplanowany termin posiedzenia rządu został odwołany, a projekt utknął na etapie uzgodnień między resortami.

Jak reagują inwestorzy?

W badaniu przeprowadzonym wśród 274 uczestników niemiecka społeczność kryptowalutowa oceniła możliwe skutki reformy bardzo sceptycznie.

Najważniejsze wnioski z ankiety:

• 70,3 pkt — tyle wyniósł indeks optymizmu wobec rynku krypto,
• średnio za 6 miesięcy badani oczekują ceny Bitcoina na poziomie około 97 400 USD,
• 80,1% respondentów uważa, że po zniesieniu ulgi spadnie popyt niemieckich inwestorów detalicznych na kryptowaluty,
• 87,5% sądzi, że Niemcy stracą na atrakcyjności jako miejsce dla firm z branży krypto.

W ankiecie pojawił się też wyraźny motyw ucieczki kapitału i aktywności za granicę. Część respondentów zakłada, że inwestorzy zaczną częściej korzystać z:

• zagranicznych platform,
• zdecentralizowanych giełd,
• self-custody,
• produktów takich jak ETP/ETF,
• a część z nich może nawet przenieść rezydencję podatkową poza Niemcy.

Spór o podatki dotyka też długoterminowych inwestorów

W komentarzach wielu uczestników wracał jeden argument: obecna konstrukcja przepisów ma premiować krótkoterminowe spekulacje, a gorzej traktować osoby budujące majątek z myślą o emeryturze czy długim horyzoncie.

Pojawiały się też porównania z innymi aktywami, zwłaszcza z złotem i srebrem, które w wielu sytuacjach korzystają z bardziej korzystnego traktowania podatkowego. Z punktu widzenia inwestorów to właśnie ten element budził największe emocje.

Dwa ostrzeżenia na raz

Obie historie pokazują, że rynek technologii i krypto pozostaje pod presją z dwóch stron. Z jednej strony rośnie znaczenie cyberbezpieczeństwa, bo nawet podstawowe elementy internetu mogą okazać się podatne na atak. Z drugiej — decyzje regulatorów wciąż mogą istotnie zmieniać zachowania inwestorów i atrakcyjność całych rynków.

W praktyce oznacza to jedno: zarówno administratorzy serwisów, jak i uczestnicy rynku krypto muszą dziś śledzić nie tylko kursy, ale też poprawki bezpieczeństwa i zmiany podatkowe.