Product Security › Biuletyny bezpieczeństwa

SATEL-SA-2026-001: krytyczne podatności PHP w INTEGRUM

SATEL sp. z o.o. · wersja 1.1 · opublikowano 22 października 2026 r. · zaktualizowano 23 października 2026 r.

Produkt	INTEGRUM, oprogramowanie do zdalnego zarządzania bezpieczeństwem, dostarczane przez SATEL jako kompletny kontener
Podatności	CVE-2026-109618, CVE-2026-109619 w interpreterze PHP
Waga	krytyczna CVSS v4.0: 9.2 (ocena projektu PHP)
Wersje podatne	wszystkie wydania INTEGRUM z PHP starszym niż 8.3.36, czyli opublikowane przed 21 października 2026 r.
Wersja z poprawką	wydanie z 21 października 2026 r. z PHP 8.3.36, dostępne w serwisie aktualizacji updates.satel.pl
Wykorzystanie w atakach	podatności PHP są wykorzystywane w atakach; nie mamy informacji o atakach na instalacje INTEGRUM
Wersje bez wsparcia	INTEGRUM 2.0 i starsze nie otrzymają tej poprawki, zob. Wersje bez wsparcia

Zalecamy niezwłoczną aktualizację, w pierwszej kolejności instalacji dostępnych z internetu.

Podsumowanie

Kontener INTEGRUM zawiera interpreter PHP. 21 października 2026 r. projekt PHP opublikował poprawki dwóch krytycznych podatności, które pozwalają zdalnemu napastnikowi wykonać kod na serwerze bez logowania. Tego samego dnia udostępniliśmy wydanie INTEGRUM z poprawioną wersją PHP 8.3.36.

Jak sprawdzić, czy instalacja jest zabezpieczona

Instalacja jest zabezpieczona, jeśli w szczegółach wersji INTEGRUM widnieje:

PHP_VERSION=8.3.36 lub wyższa wersja,
Created=2026-10-21T16:42:41.793748316Z lub późniejsza data.

Każde wcześniejsze wydanie jest podatne.

Opis podatności

CVE-2026-109618 (komunikat PHP GHSA-w8hw-w9fx-j79w). Gdy na początku obsługi żądania zabraknie pamięci, PHP przerywa żądanie i pozostawia pamięć w niespójnym stanie. Zakończenie żądania przetwarza potem ten stan, co pozwala wykonać kod z uprawnieniami procesu serwera WWW.

CVE-2026-109619 (komunikat PHP GHSA-6wmf-4rv5-p3rp). Proces obsługujący kolejne żądania zachowuje odwołanie do pamięci zwolnionej po poprzednim żądaniu (use-after-free). Skutek jest ten sam: wykonanie kodu z uprawnieniami procesu serwera WWW.

Obie podatności mają wektor CVSS CVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N. Atak nie wymaga logowania, a logowanie do aplikacji go nie blokuje. Projekt PHP podaje, że jedynym pełnym zabezpieczeniem jest aktualizacja PHP; zmiany konfiguracji nie chronią w pełni.

Wpływ na INTEGRUM

Napastnik, który może wysyłać żądania HTTP do interfejsu WWW INTEGRUM, może wykonać dowolny kod w kontenerze INTEGRUM z uprawnieniami serwera WWW. Uzyskuje wtedy dostęp do danych INTEGRUM i do jego funkcji, w tym do zarządzania podłączonymi systemami alarmowymi i kontroli dostępu.

Najbardziej narażone są instalacje dostępne z internetu. Zalecamy instalowanie INTEGRUM wyłącznie w sieci lokalnej. W takiej instalacji napastnik potrzebuje dostępu do tej sieci, co zmniejsza ryzyko, ale go nie usuwa.

Co zrobić

Zaktualizuj INTEGRUM przez serwis updates.satel.pl do wydania z 21 października 2026 r. lub nowszego.
Sprawdź w szczegółach wersji, że PHP_VERSION ma wartość 8.3.36 lub wyższą.
Jeśli INTEGRUM było dostępne z internetu przed aktualizacją, wykonaj kroki z sekcji „Instalacje dostępne z internetu”.

Do czasu aktualizacji

Jeśli nie możesz zaktualizować od razu, zablokuj na zaporze dostęp do interfejsu WWW INTEGRUM z internetu, a zdalny dostęp zapewnij przez VPN. To ogranicza krąg możliwych napastników, ale nie usuwa podatności.

Wersje bez wsparcia

Wsparcie INTEGRUM w wersji 2.0 i starszych zostało zakończone. Te wersje nie otrzymują aktualizacji bezpieczeństwa, więc nie otrzymają też tej poprawki. Użytkownikom tych wersji zalecamy migrację do bieżącej wersji INTEGRUM. Do czasu migracji serwer powinien być odłączony od internetu (dostęp tylko przez VPN) i umieszczony w wydzielonym segmencie sieci.

Ścieżkę migracji, ryzyko dalszego używania i zalecenia na okres przejściowy opisuje strona Koniec wsparcia produktów.

Instalacje dostępne z internetu

Szczegóły podatności wyciekły 20 października 2026 r., przed publikacją poprawek PHP. Jeśli INTEGRUM było w tym czasie dostępne z internetu:

przed aktualizacją zachowaj kopię logów serwera WWW INTEGRUM, bo wymiana kontenera może je usunąć;
przejrzyj logi od 20 października 2026 r. pod kątem nietypowych żądań i błędów serwera;
sprawdź, czy w INTEGRUM nie pojawiły się nieznane konta lub zmiany uprawnień;
jeśli podejrzewasz włamanie, zgłoś to przez formularz poniżej, a po aktualizacji zmień hasła użytkowników INTEGRUM.

Wykorzystanie w atakach

Firmy zajmujące się bezpieczeństwem informują o atakach z użyciem tych podatności PHP od 21 października 2026 r. Nie mamy informacji o atakach na instalacje INTEGRUM. Ataki są prowadzone automatycznie, więc mogą trafić w każdą instalację dostępną z internetu.

Odniesienia

PHP, CVE-2026-109618: GHSA-w8hw-w9fx-j79w
PHP, CVE-2026-109619: GHSA-6wmf-4rv5-p3rp
Lista zmian PHP 8.3.36
NVD: CVE-2026-109618, CVE-2026-109619
Strona produktu INTEGRUM

Podziękowania

Podatności usunął projekt PHP. Osoby, które je zgłosiły, są wymienione w komunikatach PHP.

Kontakt

Pytania dotyczące tego biuletynu oraz informacje o możliwym włamaniu przyjmujemy przez formularz zgłoszeniowy.

Formularz zgłoszeniowy

Kanał zapasowy: psirt@satel.pl

Historia zmian

Wersja	Data	Zmiana
1.0	22 października 2026 r.	Pierwsza publikacja
1.1	23 października 2026 r.	Wydanie z poprawką rozpoznawane po polu `Created` obrazu kontenera; dodana informacja o wersjach bez wsparcia