Luka w PHP! PHPokalipsa! Strony www zagrożone! „Co robić?” – poradnik dla właścicieli stron www

Luka bezpieczeństwa w PHP to temat, którym od wczoraj żyje cały internet. Powstał specjalny hashtag: #PHPokalipsa – i nie jest on przesadą! Ta niezwykle groźna luka w PHP sprawia, iż każdy może zdalnie wykonać kod na serwerze korzystającym z PHP. Według statystyk problem dotyczy prawie 70% stron www w internecie i jej twórców, ale w praktyce – każdego użytkownika internetu. Dziś tłumaczę, na czym polega problem z PHP i jak się ratować. A także – co robić w przyszłości, gdy znów pojawi się luka w PHP?

Co to jest PHP?

W sumie aż 69,3% stron, według w3techs, korzysta w internecie z PHP. Znajdziesz go na serwerach stron internetowych stawianych przez programistów od zera, a także tych wykorzystujących popularne systemy CMS, na przykład WordPress, Joomla. Istnieje ogromne prawdopodobieństwo, iż choćby jeżeli nie posiadasz strony www, masz z PHP ciągłą styczność jako użytkownik stron www.

Wersja PHP ma znaczenie dla bezpieczeństwa strony www

PHP, czyli Hypertext Preprocessor, to język programowania, który bardzo często wykorzystywany jest przez twórców stron internetowych. Nie będę zanudzać Cię technicznym detalami – jeżeli jesteś z IT, wszystko już wiesz; jeżeli nie, moje doświadczenie z tworzeniem stron www mówi, iż chcesz wiedzieć, jak się ratować, a nie znać techniczne detale i definicje. Na tym etapie musisz więc wiedzieć jedno: każdy PHP ma swoją wersję zapisywaną liczbą, często z kropkami i kolejnymi liczbami. Im wyższa liczba – tym nowsza wersja. Aktualnie najnowsza jest PHP 8.5.12, ale to się gwałtownie zmienia ze względu na lukę w PHP.

Wersja PHP 8.5.12 ukazała się wczoraj (możesz więcej się dowiedzieć na jej temat klikając link: php.announce: [ANNOUNCE] PHP 8.5.12 Released).

Aktualizacje PHP to zmiana wersji na nowszą, mającą wprowadzone przez programistów poprawki związane z tym, iż coś nie działało albo pojawiły się podatności, powszechnie często nazywane lukami. Każda podatność ma swój numer, a te ogłoszone wczoraj mają numery CVE-2026-109618 oraz CVE-2026-109619. Podatność bądź luka to w tym przypadku błąd w samym oprogramowaniu PHP zainstalowanym na serwerze, który może prowadzić do zagrożenia. Serwer jest niezbędny, by działała strona www.

Podatności są też oceniane w dziesięciostopniowej skali ryzyka. Ta dostała 9,2 na 10, czyli bardzo wysokie ryzyko!

W przypadku tych dwóch podatności główne zagrożenie wiązało się z tym, iż ktoś mógłby wykonywać kod na Twojej stronie, w ogóle się na nią nie logując. Wyobraź to sobie, jak sytuację, w której ktoś wchodzi do Twojego mieszkania, kradnie dokumenty, które trzymasz w segregatorach i jeszcze z balkonu sprzedaje sąsiadom narkotyki. Słabo?

Która wersja PHP jest aktualna i bezpieczna?

Wczoraj wprowadzono aktualizacje do wersji PHP chroniące przed tymi podatnościami. W tym momencie oficjalnie bezpieczne są zaktualizowane wersje PHP 8.2.x, 8.3.x, 8.4.x oraz 8.5.x (gdzie x oznacza cyfrę). Nie oznacza to jednak, iż musisz już biegać w panice – istnieje duże prawdopodobieństwo, iż Twój dostawca hostingu wprowadził dodatkowe aktualizacje dla starszych wersji PHP – zrobił tak np. cyberfolks, naprawiając wersje PHP 5.x oraz PHP 7.x, a także inni popularni w Polsce hostingodawcy (niżej znajdziesz tabelkę).

Zwróć też uwagę, iż u niektórych hostingodawców znajdują się dwie daty: kiedy kończy się oficjalny cykl wsparcia dla danej wersji oraz kiedy kończy się cykl wsparcia u danego hostingodawcy. Taki kalendarz wsparcia znajdziesz np. na stronie LH.pl kalendarz wsparcia.

Czy to oznacza, iż mając PHP starsze niż 8.2 możesz czuć się bezpiecznie? Pod żadnym pozorem! Zasadniczo każda wersja PHP ma swój okres wsparcia (czas, kiedy ktoś się nim zajmuje i dba o aktualizacje, bezpieczeństwo itd.) i wiele starych wersji już nie działa bezpiecznie albo zaraz przestanie. Według w3techs, 34,7% stron w internecie korzysta z wersji PHP starszej niż 8. Wiele z tych stron jest zagrożonych – nie zawsze w związku z tymi konkretnymi podatnościami, ale z wieloma innymi, które były mniej znane.

Czy to oznacza, iż powinieneś teraz w panice aktualizować PHP na swojej stronie? Zasmucę Cię: też nie. Istnieje ryzyko, iż strona napisana na starszym PHP może na nowszej wersji nie działać prawidłowo. Im większy „przeskok” między numerami, tym większe ryzyko. jeżeli Twój hosting wykonuje automatyczne kopie zapasowe albo Ty wiesz, jak to zrobić – zasadniczo możesz zaryzykować samodzielną aktualizację i w razie problemów przywrócić starszą wersję. Zachęcam jednak do skonsultowania się z programistą, twórcą stron www.

Co mogę zrobić, by bronić się przed luką w PHP?

Po pierwsze: nie panikuj i nie wykonuj nerwowych ruchów. Aktualizacje PHP po stronie serwera są łatwe do zrobienia, ale nie masz gwarancji, iż Twoja strona www będzie współpracować z nowszą aktualizacją (mogła korzystać z jakichś specyficznych cech ze starszych wydań).

Aktualizuj PHP samodzielnie tylko wtedy, jeżeli – tak jak wspomniałam wcześniej – umiesz łatwo przywrócić stronę z kopii zapasowej. Zwróć też uwagę, do czego Twoja strona służy. jeżeli to tylko wizytówka, reklama – możesz próbować. jeżeli masz na przykład sklep z dużymi obrotami, to luka w PHP jest bardzo niebezpieczna, ale równie niebezpieczne jest, iż zaktualizujesz stronę i gdzieś w samym procesie sprzedaży będzie pojawiał się błąd, którego nie zauważysz.

Aktualizacja PHP to jedno zadanie, ale…

Zasadniczo wszystko na stronach www powinno być na bieżąco aktualizowane, jeżeli korzystasz np. z WordPressa i Woocommerce brak aktualizacji bardzo często oznacza podatność! Niestety, regularnie dostaję do odświeżenia strony www, na których nikt nic nie aktualizował od kilku lat – to bomby z opóźnionym zapłonem, których jedna wielka aktualizacja, zamiast małych bieżących jest o wiele bardziej ryzykowna, a potencjalna lista ryzyk rośnie. Twórcy stron www w WordPressie i innych CMS-ach bardzo często dołączają do strony pakiet krótkiego szkolenia z obsługi. Aktualność strony www jest kluczowa dla jej bezpieczeństwa.

Ważna rada: nie ignoruj maili od Twojego hostingodawcy. To, niestety, także bardzo często widzę u klientów: nie czytają maili, bo z góry zakładają, iż są zbyt skomplikowane. Bywa też oczywiście tak, iż te maile są naprawdę skomplikowane, więc właściciele stron je ignorują. To błąd, który może prowadzić do poważnego ryzyka.

Sprawdź, co zrobił Twój hostingodawca w sprawie luki PHP!

Poszczególni hostingodawcy w różny sposób podeszli do tematu aktualizacji. Ponadto manualne aktualizacje PHP w różny sposób można u nich wykonać. W poniższej tabelce prezentujemy, jakie działania wdrożyli najpopularniejszy hostingodawcy, co Ty musisz zrobić oraz link do oficjalnej instrukcji dotyczącej aktualizacji PHP. Znajdź swojego hostingodawcę i sprawdź!

Zapamiętaj jedną rzecz na przyszłość: choćby jeżeli teraz nie musisz nic robić, to dbanie o aktualizacje systemu jest najlepszym, co możesz i powinieneś regularnie robić dla swojej strony www.

Podatności w PHP CVE-2026-109618 i CVE-2026-109619

Nagłe pojawienie się poważnych podatności w PHP wywołało lawinę działań i strachu. W całej Europie instytucje rządowe i publiczne wyłączają strony www i je łatają. Firmy, zarówno te duże, jak i te małe, uruchamiają swoje zespoły informatyków lub szukają kogoś, kto podejmie się aktualizacji bezpieczeństwa. Ta historia uczy nas, iż choćby jeżeli mamy świetnie działającą firmę w internecie, opartą na najnowszych wersjach oprogramowania, krytyczna awaria może zawsze wystąpić. Pocieszające jest to, iż oficjalne łatki PHP pojawiły się tak szybko, a hostingodawcy od razu podjęli działania mające uchronić ich klientów przed atakiem.

Źródło zdjęcia: Tim Gouw