Dwie krytyczne podatności PHP mogą umożliwiać cyberprzestępcom zdalne wykonanie kodu na serwerze bez konieczności uwierzytelnienia. Luki oznaczone jako CVE-2026-109618 i CVE-2026-109619, ocenione na 9,2/10 w skali CVSS, zostały ujawnione 21 października 2026 roku. Twórcy PHP opublikowali awaryjne aktualizacje, a zagrożenie dotyczy również środowisk obsługujących strony WordPress i sklepy internetowe. Sprawdź, które wersje PHP wymagają aktualizacji i jak zabezpieczyć swoją witrynę.
21 października 2026 roku zespół odpowiedzialny za rozwój PHP opublikował pilny komunikat bezpieczeństwa dotyczący dwóch podatności w mechanizmach zarządzania pamięcią.
Zidentyfikowane luki to:
Obie podatności oceniono na 9,2/10 w skali CVSS 4.0, co oznacza krytyczny poziom zagrożenia.
Najpoważniejszą konsekwencją jest możliwość przeprowadzenia ataku bez wcześniejszego uwierzytelnienia.
Oznacza to, że w określonych warunkach atakujący nie musi mieć dostępu do panelu administracyjnego strony ani znać hasła administratora.
Skuteczne wykorzystanie podatności może doprowadzić do wykonania złośliwego kodu na serwerze, naruszenia poufności danych lub zakłócenia działania aplikacji.
Twórcy PHP wskazują, że zagrożone mogą być różne konfiguracje środowiska serwerowego, w tym PHP-FPM, Apache z modułem mod_php, php-cgi, FrankenPHP i LiteSpeed.
Szczególnie wysokie ryzyko dotyczy konfiguracji mod_php, dla której wykazano możliwość wywołania podatności jeszcze przed uruchomieniem kodu aplikacji.
To podatności samego PHP, dlatego problem może dotyczyć również stron, których system CMS oraz wtyczki są w pełni aktualne.
Wraz z ujawnieniem podatności zespół PHP udostępnił aktualizacje bezpieczeństwa.
| Gałąź PHP | Wersja zawierająca poprawki |
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Wcześniejsze wydania tych gałęzi wymagają zastosowania odpowiednich poprawek.
W przypadku starszych, niewspieranych już wersji PHP należy skontaktować się z administratorem serwera i zaplanować migrację do wspieranego środowiska.
Niektórzy dostawcy systemów operacyjnych i hostingu mogą udostępniać własne poprawki bezpieczeństwa, dlatego sama informacja o numerze wersji nie zawsze wystarcza do oceny stanu zabezpieczeń.
Najważniejsze jest potwierdzenie, czy na serwerze wdrożono poprawki dla CVE-2026-109618 i CVE-2026-109619.
Jeżeli nie masz pewności, na jakiej wersji PHP działa Twoja witryna, poproś o weryfikację dostawcę hostingu lub zespół odpowiedzialny za jej obsługę techniczną.
Tak. WordPress, Magento, Drupal i wiele innych systemów zarządzania treścią wykorzystuje PHP do obsługi działania aplikacji po stronie serwera.
Oznacza to, że potencjalnie zagrożone mogą być zarówno strony firmowe i blogi, jak i rozbudowane sklepy internetowe.
Warto jednak podkreślić, że samo korzystanie z WordPressa lub Magento nie oznacza, że doszło do ataku. Ryzyko zależy m.in. od wersji PHP, konfiguracji środowiska i wdrożonych zabezpieczeń.
Co istotne, aktualizacja WordPressa, Magento, motywu czy wtyczek nie usuwa podatności znajdujących się w samym PHP.
Nawet witryna korzystająca z najnowszej wersji CMS-a może działać na podatnym środowisku serwerowym.
Dlatego właściciele stron powinni zweryfikować nie tylko aktualność systemu, ale również oprogramowania, na którym działa ich witryna.
W Delante bezpieczeństwo stron internetowych jest jednym z istotnych elementów pełnej opieki developerskiej.
Nasz zespół DEV od razu rozpoczął działania związane z weryfikacją zagrożenia i zabezpieczeniem środowisk klientów objętych tą usługą. Równolegle zwiększyliśmy monitoring bezpieczeństwa, aby możliwie szybko identyfikować potencjalne nieprawidłowości.
W ramach prowadzonych prac developerzy weryfikowali konfiguracje serwerów, sprawdzali stosowane wersje PHP i analizowali potencjalne zagrożenia dla obsługiwanych witryn.
W przypadkach, w których Delante odpowiada również za administrację serwerem, samodzielnie wdrożyliśmy niezbędne aktualizacje i poprawki bezpieczeństwa.
Dzięki temu klienci objęci naszą pełną opieką techniczną otrzymywali wsparcie w identyfikacji zagrożenia i organizacji odpowiednich działań, również wtedy, gdy aktualizacja serwera wymagała zaangażowania zewnętrznego dostawcy.
Jak podkreśla Robert Smalarz, Tech Lead w Delante:
„Bezpieczeństwo strony to nie tylko aktualizacje WordPressa i wtyczek. Równie ważne jest środowisko serwerowe, na którym działa witryna. Dlatego w przypadku takich zagrożeń sprawdzamy nie tylko wersje oprogramowania, ale też potencjalne oznaki ataków i stan wdrożonych zabezpieczeń”.
Działania te są częścią szerszego podejścia do opieki technicznej, które obejmuje zarówno bieżące utrzymanie witryn, jak i reagowanie na nowe zagrożenia bezpieczeństwa.
Jeśli zarządzasz stroną internetową lub sklepem online, warto jak najszybciej przeprowadzić podstawową weryfikację środowiska serwerowego.
Informacje o wersji PHP można znaleźć w panelu administracyjnym hostingu.
W WordPressie sprawdzisz ją również w sekcji Narzędzia → Stan witryny → Informacje → Serwer.
Jeżeli korzystasz ze starszego wydania, ustal z administratorem, czy konieczna jest aktualizacja.
Pamiętaj, że część dostawców stosuje poprawki bezpieczeństwa bez zmiany widocznego numeru wersji PHP. W takim przypadku warto poprosić o jednoznaczne potwierdzenie wdrożenia poprawek dla wskazanych podatności.
Zapytaj, czy na serwerze zostały wdrożone poprawki usuwające CVE-2026-109618 i CVE-2026-109619.
Warto również ustalić, kiedy przeprowadzono aktualizację i czy obejmuje wszystkie środowiska wykorzystywane przez witrynę.
Nie należy zakładać, że poprawki zostały wdrożone automatycznie, nawet jeśli korzystasz z hostingu zarządzanego.
Jeżeli za utrzymanie serwera odpowiadasz samodzielnie, zaplanuj niezwłoczne wdrożenie zabezpieczonej wersji PHP.
Przed aktualizacją przygotuj kopię zapasową oraz sprawdź kompatybilność witryny z docelową wersją.
Po wdrożeniu przetestuj najważniejsze funkcje strony, w tym formularze kontaktowe, integracje, proces zakupowy i płatności.
Aktualizacja oprogramowania usuwa podatność, ale nie pozwala ustalić, czy wcześniej ktoś próbował ją wykorzystać.
Dlatego warto sprawdzić logi serwera WWW, PHP oraz narzędzi monitorujących bezpieczeństwo.
Jeśli pojawią się oznaki podejrzanej aktywności, konieczna może być dodatkowa analiza incydentu.
Web Application Firewall (WAF) może stanowić dodatkową ochronę przed wybranymi próbami ataków.
Cloudflare poinformował o wdrożeniu reguł ograniczających możliwość wykorzystania znanych metod ataku.
Trzeba jednak pamiętać, że WAF nie zastępuje aktualizacji PHP. Nawet korzystając z dodatkowych zabezpieczeń, należy potwierdzić, że podatne oprogramowanie zostało poprawione.
23 października zespół PHP opublikował dodatkowe ostrzeżenie dotyczące mechanizmu session upload progress.
Zidentyfikowano specyficzny scenariusz podatności oznaczony jako CVE-2026-115560, który w określonych konfiguracjach może dotyczyć również środowisk korzystających z wydań zawierających poprawki z 21 października.
Problem nie oznacza, że wszystkie zaktualizowane serwery PHP pozostają zagrożone w ten sam sposób.
W przypadku aplikacji wykorzystujących podatną konfigurację twórcy PHP wskazali możliwość wyłączenia funkcji session.upload_progress.enabled jako tymczasowego środka ograniczającego ryzyko.
Odpowiednie działanie powinien dobrać administrator, uwzględniając konfigurację i wymagania konkretnej aplikacji.
Dodatkowe ostrzeżenie nie zmienia podstawowej rekomendacji: należy niezwłocznie wdrożyć aktualizacje usuwające dwie krytyczne podatności ujawnione 21 października oraz śledzić kolejne komunikaty bezpieczeństwa PHP.
Podatności w oprogramowaniu serwerowym są przede wszystkim zagrożeniem dla bezpieczeństwa danych i ciągłości działania witryny.
Ich skutki mogą jednak wpływać również na widoczność w wyszukiwarkach, skuteczność kampanii reklamowych i wyniki sprzedaży internetowej.
Udany atak może prowadzić do nieautoryzowanej modyfikacji treści, wstrzyknięcia złośliwego kodu, tworzenia spamowych podstron lub przekierowywania użytkowników na inne domeny.
W przypadku poważnych naruszeń Google może również oznaczyć witrynę jako niebezpieczną.
Dla sklepów internetowych oznacza to potencjalne ryzyko przerw w sprzedaży, zakłócenia realizacji zamówień i utraty zaufania klientów.
Nie oznacza to jednak, że samo występowanie podatności automatycznie obniża pozycje witryny w Google. Negatywne skutki SEO zależą od rzeczywistego przebiegu incydentu i jego konsekwencji.
Jeżeli podejrzewasz naruszenie bezpieczeństwa, sprawdź również nasz poradnik Włamanie na stronę WWW. Co robić?.
Najnowsze podatności PHP pokazują, że bezpieczeństwo witryny nie kończy się na aktualizowaniu CMS-a i wtyczek.
Ważne są również kontrola środowiska serwerowego, monitorowanie nowych zagrożeń, regularne tworzenie kopii zapasowych i szybkie wdrażanie niezbędnych poprawek.
Właśnie dlatego odpowiednio zaplanowana opieka developerska powinna obejmować nie tylko rozwój strony, ale również jej utrzymanie i weryfikację bezpieczeństwa.
Warto wiedzieć, co obejmuje audyt bezpieczeństwa WordPress i jakie działania są realizowane w ramach administracji strony WordPress.
W naszym poradniku Dlaczego warto regularnie aktualizować witrynę? wyjaśniamy też, dlaczego odkładanie aktualizacji może zwiększać ryzyko problemów technicznych i incydentów bezpieczeństwa.
Poprawki dla podatności CVE-2026-109618 i CVE-2026-109619 zostały udostępnione w wydaniach PHP 8.5.12, 8.4.27, 8.3.36 oraz 8.2.35.
W przypadku starszych instalacji konieczne może być zastosowanie poprawek dostawcy systemu lub zaplanowanie migracji do wspieranej wersji PHP.
Warto również monitorować kolejne komunikaty bezpieczeństwa, szczególnie w kontekście dodatkowego ostrzeżenia z 23 października.
Najważniejszym działaniem dla właścicieli stron jest obecnie sprawdzenie, czy ich serwer korzysta z zabezpieczonego środowiska PHP oraz czy nie występują oznaki wcześniejszych prób ataku.
Jeżeli witryna znajduje się pod opieką zewnętrznego administratora lub hostingu, warto uzyskać potwierdzenie, że poprawki zostały faktycznie wdrożone.
