W październiku 2026 roku ujawniono dwie krytyczne podatności PHP: CVE-2026-109618 i CVE-2026-109619. PHP działa na wielu stronach firmowych i sklepach, w tym na witrynach opartych na WordPressie, Joomli i PrestaShop.
W określonych warunkach błędy pozwalają napastnikowi uruchomić złośliwy kod na serwerze bez logowania. Może to zagrozić stronie i przechowywanym danym. Sama obecność podatnej wersji PHP nie oznacza jednak, że doszło do włamania.
Na czym polegają podatności?
Obie luki dotyczą zarządzania pamięcią. Pierwsza pojawia się przy obsłudze wyczerpania pamięci, a druga pozwala odwołać się do danych w pamięci, która została już zwolniona. Ich wykorzystanie zależy od warunków działania PHP, ale możliwe skutki wymagają szybkiego wdrożenia poprawek.
Dostępne poprawki PHP
Poprawki opublikowano 21 października w wydaniach:
- PHP 8.2.35,
- PHP 8.3.36,
- PHP 8.4.27,
- PHP 8.5.12.
Wersje te usuwają opisane błędy w poszczególnych gałęziach PHP. Serwer powinien korzystać ze wspieranego wydania, które zawiera poprawki bezpieczeństwa.
Za aktualizację PHP na hostingu odpowiada administrator serwera. Powinien sprawdzić wszystkie wersje dostępne dla klientów, ponieważ poszczególne strony mogą korzystać z różnych wydań. Aktualizacja jednej wersji nie zabezpiecza automatycznie pozostałych.
Co powinien zrobić właściciel strony?
Właściciel strony powinien dbać o aktualność jej oprogramowania. WordPress, motywy i wtyczki wymagają własnych aktualizacji. Ich instalacja nie usuwa błędów PHP. Podobnie aktualizacja PHP nie naprawia podatnej wtyczki.
Dodatkowe zabezpieczenia serwera i zmiany konfiguracji mogą utrudnić wykorzystanie części błędów, ale nie zastępują poprawek. Twórcy PHP wskazują aktualizację jako właściwy sposób usunięcia tych podatności.
Wdrożenie poprawki w używanej gałęzi PHP nie musi oznaczać przejścia na inną gałąź. Więcej pracy może wymagać strona działająca na starym środowisku bez odpowiednich zabezpieczeń. W takiej sytuacji trzeba sprawdzić jej zgodność z nowszym PHP i przygotować potrzebne aktualizacje.
Testy po aktualizacji
Przed zmianą należy wykonać kopię zapasową. Po aktualizacji trzeba sprawdzić działanie strony, zwłaszcza formularzy i logowania. W sklepie test powinien objąć także koszyk, składanie zamówień i płatności. Starszy motyw lub wtyczka mogą wymagać poprawy albo wymiany.
Jeśli otrzymałeś ostrzeżenie od CERT Polska albo chcesz sprawdzić wersję PHP swojej strony, skontaktuj się z nami. Pomożemy ustalić, czy używane środowisko zawiera poprawki i czy sama strona wymaga aktualizacji.
Najczęstsze pytania
Czy aktualizacja WordPressa wystarczy?
Nie. Luka jest w PHP, a nie w WordPressie. Aktualny WordPress na starym PHP 7.4 dalej jest narażony na kolejne luki w samym PHP.
Na jaką wersję PHP przejść?
Najlepiej na PHP 8.3 albo 8.4. PHP 8.2 kończy wsparcie 31 grudnia 2026 roku.