Krytyczne podatności w PHP: co zrobić, by strona była bezpieczna

Co się stało i dlaczego to grozi Twojej stronie

W październiku 2026 roku ujawniono informacje o dwóch poważnych podatnościach w interpreterze PHP, oznaczonych jako CVE-2026-109618 oraz CVE-2026-109619. Zespół odpowiedzialny za rozwój języka ocenił ich poziom zagrożenia na 9,2 w dziesięciostopniowej skali CVSS 4.0, co klasyfikuje je jako krytyczne. Obie luki były powiązane z możliwością zdalnego wykonania kodu (RCE, ang. Remote Code Execution). Oznacza to, że w określonych warunkach atakujący mógłby doprowadzić do uruchomienia własnych instrukcji na podatnym serwerze. W zależności od konfiguracji środowiska i uprawnień procesu mogłoby to skutkować nieautoryzowanym dostępem do danych, ingerencją w działanie aplikacji lub przejęciem kontroli nad jej wybranymi elementami.

Potencjalny zasięg zagrożenia budził niepokój, ponieważ PHP stanowi podstawę działania wielu popularnych systemów CMS i platform e-commerce, takich jak WordPress, WooCommerce czy PrestaShop, a także aplikacji tworzonych na indywidualne zamówienie. W przeciwieństwie do luk występujących w konkretnych wtyczkach czy modułach, podatności w samym interpreterze PHP mogą wpływać na różne aplikacje korzystające z podatnej wersji języka. Rzeczywiste ryzyko wykorzystania luk zależy jednak od konfiguracji serwera, sposobu przetwarzania żądań i warunków niezbędnych do przeprowadzenia ataku. Po ujawnieniu podatności priorytetem było szybkie wdrożenie poprawek, zarówno dla aktualnie wspieranych wersji PHP, jak i starszych wydań, które nie otrzymują już oficjalnych aktualizacji bezpieczeństwa.

Jak CyberFolks zabezpieczył środowiska - także te bez wsparcia producenta

W chwili ujawnienia zagrożenia oficjalnym wsparciem były objęte wersje PHP 8.2, 8.3, 8.4 i 8.5. Starsze wersje, w tym PHP 5.x i 7.x, osiągnęły już koniec swojego cyklu życia. Użytkownicy nie mogli liczyć na standardowe poprawki przygotowane przez zespół rozwijający PHP. Dlaczego to ważne? Starsze wersje PHP nadal bywają niezbędne do działania aplikacji, powstałych wiele lat temu. Niektóre systemy korzystają z rozwiązań niezgodnych z nowszymi wydaniami języka, a ich aktualizacja wymaga zmian w kodzie, wtyczkach lub integracjach. Przejście na nową wersję PHP nie zawsze jest więc możliwe natychmiast. CyberFolks umożliwia korzystanie ze starszych środowisk dzięki usłudze Legacy PHP. W przypadku tak poważnych podatności oznacza to jednak dodatkową odpowiedzialność techniczną. Samo utrzymywanie zgodności ze starszym oprogramowaniem nie wystarcza. Trzeba również zadbać o jego zabezpieczenie.

Zespół administratorów niezwłocznie przystąpił do wdrażania poprawek. Własna reguła blokująca próby ataku została wprowadzona chwilę po oficjalnym komunikacie o wykryciu podatności, skutecznie zatrzymując kilkadziesiąt podejrzanych ataków na serwer. Następnie przeanalizowano zmiany usuwające podatności, dostosowano poprawki do starszych wersji PHP i sprawdzono ich działanie w tych środowiskach. Kod starszych wersji PHP różni się od obecnie rozwijanych wydań, dlatego rozwiązania przygotowane dla PHP 8 nie muszą współpracować z PHP 5 czy PHP 7. Każda zmiana musiała uwzględniać te różnice i zostać sprawdzona pod kątem skuteczności oraz zgodności z obsługiwanym środowiskiem. Zabezpieczenia przed CVE-2026-109618 i CVE-2026-109619 wdrożono również w starszych środowiskach PHP, mimo braku oficjalnych aktualizacji dla tych wersji. W przypadku wspieranych wersji PHP wdrożono oficjalne poprawki bez konieczności przechodzenia na kolejne wydania. Stąd oznaczenie np. 8.5.11-CF0.1 - to wersja CyberFolks zawierająca poprawkę, a nie oficjalne PHP 8.5.12. Podobnie PHP 8.2.34-CF0.1 Hardened by cyber_Folks potwierdza, że łatki zostały nałożone. Wersja 8.1 zabezpieczono poprzez naniesienie poprawek w kodzie źródłowym, a wersje 5.x, 7.x oraz 8.0 otrzymały analogiczne zabezpieczenia przygotowane samodzielnie przez zespół techniczny.

Co musisz zrobić (i czego nie musisz) jako klient hostingu

Poprawki dotyczące podatności CVE-2026-109618 i CVE-2026-109619 zostały wdrożone po stronie CyberFolks w objętych działaniami środowiskach hostingowych. Nie musisz samodzielnie instalować tych łatek na zarządzanych przez nich serwerach. Jeśli korzystasz ze starszej wersji, nie objętej oficjalną aktualizacją (5.x, 7.x, 8.1), Twoje usługi są również bezpieczne. Wdrożono samodzielnie zmiany w kodzie źródłowym, dbając o bezpieczeństwo infrastruktury. Dotyczy to również serwerów dedykowanych i zarządzanych VPS - poprawki wdrażano na poziomie infrastruktury serwerowej w ramach wewnętrznych działań administracyjnych. Warto jednak sprawdzić, czy Twoja strona lub sklep korzysta z aktualnej wersji PHP. Starsze wydania, mimo zastosowania zabezpieczeń dotyczących opisanych luk, pozostają poza oficjalnym cyklem wsparcia. Korzystanie z nich może oznaczać większe ryzyko wystąpienia kolejnych podatności w przyszłości. Jeśli Twoja aplikacja wymaga PHP 5.x lub 7.x, zaplanuj jej aktualizację do nowszego środowiska. Przed zmianą wersji PHP należy sprawdzić zgodność kodu strony, wtyczek, motywu oraz wykorzystywanych integracji. Szczególnie w przypadku rozbudowanych sklepów i starszych aplikacji warto najpierw przeprowadzić testy na środowisku stagingowym.

Z perspektywy HostGrade.pl to doskonały przykład na to, dlaczego wybór hostingu z aktywnym monitorowaniem zagrożeń i gotowością do backportowania łatek do starszych wersji ma kluczowe znaczenie. Nie każdy dostawca podejmie wysiłek dostosowania poprawek bezpieczeństwa do PHP 5.6 czy 7.4, gdy producent przestał je wspierać. Dobre praktyki hostingowe to nie tylko szybka reakcja na CVE, ale też transparentna komunikacja z klientami - informacja, które wersje są zabezpieczone, jak wygląda ciąg wersji (np. sufiks CF), i czy klient musi coś robić. Jeśli szukasz hostingu, który dbie o bezpieczeństwo na poziomie infrastruktury i nie zostawia klientów samych sobie z problemami starszego oprogramowania, [LINK] daje to bez dodatkowych kosztów.

Dobre praktyki: jak spać spokojnie, gdy kolejne CVE uderzy w PHP

Opisana sytuacja pokazuje, że bezpieczeństwo to proces, a nie jednorazowa akcja. Nawet jeśli Twój hosting zareagował exemplarycznie, warto zbudować własną odporność na przyszłe incydenty. Kluczowe zasady to: regularne sprawdzanie wersji PHP używanej przez aplikację (w panelu hostingu lub przez phpinfo), planowanie migracji ze wersji EOL (End of Life) z wyprzedzeniem - nie w momencie kryzysu, posiadanie aktualnych kopii zapasowych przed każdą zmianą wersji PHP lub aktualizacją CMS, testowanie zmian na środowisku stagingowym lub deweloperskim przed wdrożeniem na produkcję, monitorowanie komunikatów dostawcy hostingu o zdarzeniach bezpieczeństwa. Warto też pamiętać, że bezpieczeństwo interpretera to tylko jedna warstwa. Równoważnie ważne są: aktualne CMS, wtyczki i motywy, silne hasła i uwierzytelnianie dwuskładnikowe do paneli administracyjnych, ograniczenie uprawnień plików i katalogów do niezbędnego minimum, WAF (Web Application Firewall) na poziomie serwera lub CDN, certyfikat SSL/TLS i wymuszone HTTPS. Hosting, który samodzielnie hartuje starsze wersje PHP, to silny fundament, ale odpowiedzialność za kod aplikacji leży po stronie właściciela strony.

Jeśli szukasz hostingu, który proaktywnie hartuje infrastrukturę i backportuje łatki do starszych wersji PHP, CyberFolks daje to bez dodatkowych kosztów.

Jeśli chcesz zgłębić temat, zajrzyj też do naszych powiązanych poradników: Bezpieczeństwo WordPress na hostingu, Dlaczego backup to podstawa bezpieczeństwa, Hosting dla sklepu internetowego, Co to jest VPS i kiedy warto wybrać.

Najczęstsze pytania