Twórcy języka PHP usunęli dwie krytyczne luki bezpieczeństwa, przez które atakujący mógł zdalnie uruchomić własny kod na serwerze. Poprawki opublikowano 21 października 2026 r., a na hostingu az.pl zostały już wdrożone dla każdej wersji PHP. Sprawdź, które wersje zawierają poprawki, jak ustalić wersję PHP swojej strony i co zrobić, jeśli samodzielnie zarządzasz serwerem.
SPIS TREŚCI
- Na czym polegają luki w PHP?
- Które wersje PHP zawierają poprawki?
- Jak zabezpieczyliśmy usługi az.pl?
- Co musisz zrobić?
- Jak ustalić wersję PHP swojej strony?
- PHP 8.1 i starsze wersje
- Fałszywe wiadomości o lukach w PHP
- Pytania i odpowiedzi
Na czym polegają luki w PHP?
Obie luki wykryto w jądrze PHP i otrzymały numery CVE-2026-109618 oraz CVE-2026-109619. Każdą z nich oceniono na 9.2 w skali CVSS, co klasyfikuje je jako krytyczne.
CVSS to międzynarodowy system oceniania powagi luk w oprogramowaniu. Bierze pod uwagę m.in. to, czy do ataku wystarczy dostęp przez sieć, ile wysiłku wymaga jego przeprowadzenie i jakie szkody może wyrządzić. Oceny mieszczą się w przedziale od 0 do 10, a wynik 9.0 lub wyższy oznacza najwyższą kategorię zagrożenia, czyli poziom krytyczny.
Do wykorzystania luk nie było potrzebne logowanie: wystarczyło wysłać odpowiednio przygotowane zapytanie, aby uruchomić na serwerze własny kod. Zagrożone były instalacje PHP obsługujące strony WWW u każdego dostawcy hostingu, nie tylko w az.pl.
Które wersje PHP zawierają poprawki?
Luki usunięto w wersjach wymienionych w tabeli. Ostatnia kolumna pokazuje, jak długo twórcy PHP będą jeszcze publikować poprawki bezpieczeństwa dla każdej z nich.
| Wersja PHP | Pierwsze wydanie z poprawkami | Koniec wsparcia twórców |
|---|---|---|
| 8.5 | 8.5.12 | 31 grudnia 2029 |
| 8.4 | 8.4.27 | 31 grudnia 2028 |
| 8.3 | 8.3.36 | 31 grudnia 2027 |
| 8.2 | 8.2.35 | 31 grudnia 2026 |
| 8.1 i starsze | twórcy nie wydali poprawek | wsparcie już zakończone |
Dla PHP 8.1 i starszych wersji twórcy nie publikują już aktualizacji. Na hostingu az.pl poprawki dla tych wersji przygotowaliśmy sami. Szczegóły znajdziesz w sekcji PHP 8.1 i starsze wersje.
Wersja PHP 8.6 jest dopiero testowana i twórcy odradzają używanie jej na stronach, które działają produkcyjnie.
Jak zabezpieczyliśmy usługi az.pl?
Zanim twórcy PHP udostępnili poprawki, uruchomiliśmy dodatkową ochronę: zmieniliśmy konfigurację PHP i dodaliśmy reguły zapory sieciowej, które wychwytują i blokują podejrzane zapytania. Gdy tylko poprawki zostały opublikowane, zaczęliśmy instalować je na serwerach. 22 października prace zostały zakończone: objęły już wszystkie usługi oparte na PHP, łącznie ze starszymi wersjami, których twórcy nie wspierają.
Co musisz zrobić?
Korzystasz z hostingu az.pl? Nie musisz nic robić.
Korzystasz z serwera VPS lub dedykowanego? Zaktualizuj PHP we własnym zakresie.
Na takim serwerze to Ty zarządzasz oprogramowaniem, także PHP, dlatego poprawek nie zainstalujemy za Ciebie. Lukę zamyka na stałe wyłącznie aktualizacja PHP.
- Ustal wersję PHP na serwerze, np. za pomocą polecenia php -v. Jeśli korzystasz z kilku wersji PHP jednocześnie, sprawdź wszystkie.
- Zainstaluj wydanie z poprawkami wskazane w tabeli, korzystając z pakietów swojego systemu operacyjnego albo panelu administracyjnego serwera.
- Zrestartuj PHP-FPM lub serwer WWW, żeby zaczęła działać nowa wersja.
- Jeszcze raz sprawdź wersję PHP i porównaj numer z tabelą.
Jak ustalić wersję PHP swojej strony?
- W Panelu Klienta az.pl: Usługi WWW > nazwa hostingu > Serwer WWW. Zobaczysz tam domyślną wersję PHP dla hostingu. Pamiętaj, że pojedyncze strony mogą działać na innej wersji.
- Przez phpinfo: wyświetla wersję PHP, z której korzysta wybrana strona. Przejdź do instrukcji.
- W panelu WordPressa: Narzędzia > Zdrowie witryny > Informacje > Serwer.
- Na serwerze VPS lub dedykowanym: za pomocą polecenia php -v.
PHP 8.1 i starsze wersje
Jeśli Twoja strona działa na PHP 8.1 lub starszym i korzystasz z usługi Wsparcia starszych wersji PHP, Twoja strona dostała poprawki bezpieczeństwa, choć twórcy PHP nie wydają już aktualizacji dla tych wersji.
Mimo to warto przejść na wersję PHP, która ma wsparcie twórców, bo właśnie takie wersje najszybciej dostają poprawki bezpieczeństwa.
Twórcy PHP zakończą wsparcie dla wersji 8.2 z końcem 2026 roku. Planując zmianę, wybierz więc PHP 8.3 lub nowszą.
Fałszywe wiadomości o lukach w PHP
Pytania i odpowiedzi
Nie. Luki znajdują się w samym PHP, a nie w systemie CMS ani we wtyczkach, więc usuwa je tylko aktualizacja PHP. Na hostingu az.pl już ją przeprowadziliśmy. Aktualizacje WordPressa i wtyczek nadal są ważne, ale chronią przed innymi zagrożeniami.
Na hostingu az.pl nie musisz. Poprawki zainstalowaliśmy dla każdej dostępnej wersji. Przejście na nowszą wersję PHP polecamy jednak jako dobry nawyk na przyszłość.
Szczegóły luk i tymczasowych zabezpieczeń opisuje komunikat twórców PHP.
