Krytyczna luka w PHP: dhosting.pl wdrożył wszystkie łatki w rekordowym czasie

Co się wydarzyło - krytyczne podatności CVE-2026-109618 i CVE-2026-109619

21 października 2026 roku CERT Polska opublikował oficjalne ostrzeżenie dotyczące dwóch krytycznych luk bezpieczeństwa w języku PHP, oznaczonych identyfikatorami CVE-2026-109618 oraz CVE-2026-109619. Według komunikatów zarówno CERT Polska, jak i zespołu odpowiedzialnego za rozwój PHP, podatności te mogą umożliwiać osobie atakującej zdalne wykonanie dowolnego kodu na podatnym serwerze bez konieczności wcześniejszego uwierzytelnienia. Oznacza to, że atakujący mógłby przejąć kontrolę nad serwerem bez podawania jakichkolwiek poświadczeń.

Co istotne, luki te dotyczą samego środowiska wykonawczego PHP, a nie konkretnej aplikacji czy systemu CMS. Ponieważ PHP jest fundamentem większości stron internetowych - w tym popularnych systemów zarządzania treścią takich jak WordPress czy Joomla - zasięg potencjalnego zagrożenia był ogromny. Każda strona korzystająca z niespatchowanego interpretera PHP pozostawała narażona na atak, niezależnie od tego, jak dobrze zabezpieczona była sama aplikacja.

Zalecanym i w zasadzie jedynym skutecznym sposobem usunięcia zagrożenia jest instalacja oficjalnych poprawek bezpieczeństwa dostarczonych przez twórców PHP. W przypadku hostingu współdzielonego odpowiedzialność za aktualizację interpretera spoczywa na dostawcy usług, dlatego szybkość reakcji hostingu staje się kluczowa dla bezpieczeństwa klientów.

Reakcja dhosting.pl - działania ograniczające ryzyko i wdrożenie docelowych poprawek

Według materiału opublikowanego przez dhosting.pl, pierwsze działania podejmowano już krótko po północy 21 października, zanim oficjalne poprawki zostały udostępnione przez dostawców oprogramowania. Administratorzy wdrożyli dostępne środki ograniczające ryzyko, w tym wyłączenie parametru PHP session.upload_progress.enabled poprzez ustawienie jego wartości na Off. Było to zabezpieczenie tymczasowe, mające na celu zmniejszenie powierzchni ataku w oczekiwaniu na docelowe łatki.

Po publikacji poprawek przez twórców PHP oraz udostępnieniu odpowiednich pakietów przez CloudLinux - dostawcę systemu operacyjnego wykorzystywanego na serwerach dhosting.pl - administratorzy przystąpili do wdrażania aktualizacji na kolejnych systemach. Pierwsze serwery otrzymały docelowe zabezpieczenia już 21 października 2026 r. o godzinie 16:05, zaledwie kilka minut po planowanym terminie publikacji aktualizacji bezpieczeństwa PHP. Prace trwały przez całą noc, a pełne wdrożenie wszystkich dostępnych poprawek na wszystkich serwerach WWW zakończono 22 października 2026 r. o godzinie 3:57.

Aktualizacje objęły wszystkie serwery WWW dhosting.pl oraz obsługiwane linie PHP w zakresie od 5.3 do 8.5, zgodnie z dostępnością odpowiednich pakietów i poprawek dostawcy. To szczególnie ważne, ponieważ infrastruktura hostingowa zazwyczaj obsługuje jednocześnie wiele aplikacji wymagających różnych wersji PHP. Szybkie zaktualizowanie całego środowiska pozwala wyeliminować ryzyko wynikające z podatności na poziomie samego interpretera, bez konieczności migracji klientów między wersjami.

Według wiedzy dhosting.pl, firma była jednym z pierwszych, a prawdopodobnie pierwszym dostawcą hostingu w Polsce, który zakończył wdrażanie wszystkich dostępnych poprawek dla obsługiwanych przez siebie wersji PHP w tak krótkim czasie. Szybkość ta jest możliwa dzięki automatyzacji procesów wdrażania oraz bliskiej współpracy z dostawcą systemu operacyjnego (CloudLinux), co pozwala na natychmiastowe zastosowanie poprawek po ich udostępnieniu.

Co to oznacza dla klientów - co zrobił hosting, a co musisz zrobić Ty

Poprawki bezpieczeństwa zostały wdrożone po stronie infrastruktury hostingowej. Oznacza to, że klienci korzystający z objętych nimi środowisk nie muszą samodzielnie instalować ani konfigurować aktualizacji serwerowych - interpretera PHP na serwerze jest już zabezpieczony. To duża zaleta hostingu zarządzanego: w momencie krytycznego incydentu bezpieczeństwa dostawca bierze na siebie ciężar operacyjny, a klient może skupić się na prowadzeniu swojej działalności.

Niezależnie od działań administratorów serwerów, każdy właściciel strony internetowej powinien pamiętać o regularnej aktualizacji własnych aplikacji. Dotyczy to w szczególności systemów CMS takich jak WordPress, a także używanych motywów, wtyczek i innych komponentów. Luka w PHP została zamknięta, ale luki w kodzie aplikacji (np. w wtyczce WordPress) nadal mogą zostać wykorzystane do ataku. Aktualizacje języka PHP nie tylko poprawiają bezpieczeństwo, ale mogą także zapewniać lepszą kompatybilność i wydajność aplikacji.

Warto również zwrócić uwagę na wersję PHP używaną przez swoją stronę. Starsze linie PHP (np. 5.3, 5.6, 7.0, 7.1, 7.2, 7.3, 7.4) nie otrzymują już oficjalnego wsparcia od twórców języka. Zakres dostępnych poprawek dla tych wersji zależy w całości od wsparcia zapewnianego przez dostawcę systemu operacyjnego (w tym przypadku CloudLinux). Jeśli Twoja strona wciąż działa na przestarzałej wersji PHP, planowanie migracji na wspieraną linię (np. 8.2, 8.3, 8.4 lub 8.5) powinno być priorytetem - nie tylko ze względów bezpieczeństwa, ale także wydajności i kompatybilności z nowymi wersjami CMS i wtyczek.

Dobre praktyki, które warto wdrożyć już teraz: - Włącz automatyczne aktualizacje drobne (minor) dla WordPressa, motywów i wtyczek - większość krytycznych łatek bezpieczeństwa trafia właśnie do takich wydań. - Używaj narzędzi do skanowania stron pod kątem złośliwego kodu i luk (np. wtyczki bezpieczeństwa typu Wordfence, Sucuri lub narzędzia dostarczane przez hosting). - Prowadź regularne kopie zapasowe (backupy) przechowywane w oddzielnej lokalizacji - w razie udanego ataku lub błędu po aktualizacji pozwalają na szybkie przywrócenie działającej wersji strony. - Monitoruj logi błędów i dostępu do strony - nietypowe wzorce mogą być wczesnym sygnałem próby ataku. - Rozważ wdrożenie Web Application Firewall (WAF) - na poziomie hostingu (jeśli dostawca go oferuje) lub przez usługi zewnętrzne typu Cloudflare.

Bezpieczeństwo infrastruktury to ciągły proces - wnioski na przyszłość

Incydent związany z CVE-2026-109618 i CVE-2026-109619 pokazał, jak istotna jest szybka reakcja na krytyczne zagrożenia w podstawowym oprogramowaniu wykorzystywanym przez strony internetowe. W dhosting.pl proces ten przebiegł w kilku etapach: monitorowanie komunikatów bezpieczeństwa, wdrożenie tymczasowych zabezpieczeń ograniczających ryzyko (tzw. virtual patching / hardening), a następnie natychmiastowe zastosowanie oficjalnych poprawek po ich udostępnieniu przez dostawcę.

Takie podejście - "defense in depth" (obrona w głębi) - to standard w profesjonalnym hostingu. Oznacza on, że nawet jeśli jedna warstwa zabezpieczeń zawiedzie (np. opóźnienie wydania oficjalnej łaty), inne warstwy (konfiguracja PHP, WAF, izolacja kont, monitoring) nadal chronią infrastrukturę. Dla klienta kluczowe jest pytanie: jak mój hosting radzi sobie z takimi sytuacjami? Czy ma procedury? Czy informuje klientów? Czy wdraża łatki automatycznie?

Przy wyborze hostingu warto zwrócić uwagę na historię reakcji na incydenty bezpieczeństwa, transparentność komunikacji (np. changelog, blog, statuspage) oraz na to, czy dostawca korzysta z nowoczesnych systemów operacyjnych i narzędzi automatyzacji wdrożeń (jak CloudLinux, CageFS, KernelCare, automatyczne aktualizacje PHP). To wszystko przekłada się na czas reakcji - i w przypadku luk typu RCE (Remote Code Execution) każda godzina ma znaczenie.

Podsumowując: luka w PHP została zablokowana na poziomie serwera u dhosting.pl w rekordowym czasie. Twoja strona jest bezpieczna pod kątem tej konkretnej podatności interpretera. Pamiętaj jednak, że bezpieczeństwo to proces, a nie stan - regularne aktualizacje aplikacji, kopie zapasowe i świadomy wybór dostawcy hostingu to najlepsza polisa ubezpieczeniowa dla Twojej witryny.

Jeśli szukasz hostingu, który proaktywnie monitoruje zagrożenia i wdraża łatki bezpieczeństwa w godzinach, a nie dniach, dhosting.pl oferuje to w standardzie bez dodatkowych kosztów.

Jeśli chcesz zgłębić temat, zajrzyj też do naszych powiązanych poradników: Bezpieczeństwo WordPress na hostingu - co musisz wiedzieć, Dlaczego backup to podstawa bezpieczeństwa strony, Certyfikat SSL - co to jest i dlaczego go potrzebujesz, Hosting dla WordPress - jak wybrać najlepszy.

Najczęstsze pytania