Krytyczne podatności PHP – jak zabezpieczyć stronę i aplikację?

Dwie krytyczne podatności w PHP, oznaczone jako CVE-2026-109618 i CVE-2026-109619, mogą umożliwić cyberprzestępcom zdalne wykonanie kodu na serwerze bez konieczności logowania. Zagrożenie dotyczy środowisk wykorzystywanych przez strony internetowe, sklepy i aplikacje, w tym oparte na WordPressie, WooCommerce czy Laravel. 21 października 2026 r. udostępniono poprawki bezpieczeństwa. Wyjaśniamy, jak sprawdzić, czy serwis jest zabezpieczony, kto odpowiada za aktualizację PHP i co zrobić, jeśli aplikacja działa na starszej wersji.

Co się wydarzyło? Dwie krytyczne podatności PHP

PHP to język programowania wykorzystywany do obsługi wielu stron internetowych i aplikacji. Działa po stronie serwera, odpowiadając między innymi za przetwarzanie formularzy, komunikację z bazami danych czy obsługę użytkowników.

21 października 2026 r. zespół rozwijający PHP opublikował poprawki usuwające dwie poważne podatności bezpieczeństwa.

CVE-2026-109618 dotyczy błędu w zarządzaniu pamięcią PHP. W określonych warunkach podatność może pozwolić cyberprzestępcy na zdalne uruchomienie złośliwego kodu na serwerze, bez konieczności logowania. Może to prowadzić między innymi do nieuprawnionego dostępu do danych, modyfikacji plików lub zakłócenia działania strony internetowej.

Podatność CVE-2026-109619 wynika z możliwości ponownego wykorzystania danych przechowywanych w pamięci, która została już zwolniona. W określonych warunkach cyberprzestępca może wykorzystać tę nieprawidłowość do ingerowania w działanie programu i naruszenia bezpieczeństwa serwera.

Obie podatności otrzymały ocenę 9,2/10 w skali CVSS 4.0, co oznacza krytyczny poziom zagrożenia. Największym zagrożeniem jest to, że atakujący nie musi posiadać konta administratora ani znać hasła do serwisu.

Kogo dotyczą podatności PHP?

Zagrożenie dotyczy środowisk, w których podatne wersje PHP obsługują żądania kierowane do stron i aplikacji internetowych. Mogą to być między innymi:

• strony firmowe, serwisy instytucji publicznych i portale oparte na WordPressie;
• sklepy internetowe korzystające z WooCommerce;
• aplikacje biznesowe i systemy tworzone w Laravel;
• autorskie aplikacje PHP, w tym systemy obsługi klientów, formularze i panele administracyjne.

Warto podkreślić, że podatności występują w samym środowisku PHP, a nie w konkretnym systemie CMS czy frameworku. Dlatego nawet prawidłowo zaktualizowany WordPress może działać na podatnej wersji PHP.

Kto odpowiada za aktualizację PHP?

Zakres odpowiedzialności zależy od sposobu utrzymania strony i warunków umowy z dostawcą usług technicznych.

Właściciel serwisu powinien zadbać o ustalenie, kto odpowiada za aktualizacje i bezpieczeństwo środowiska, oraz dopilnować realizacji niezbędnych działań.

Administrator strony lub opiekun techniczny weryfikuje konfigurację, zgodność aplikacji z nową wersją PHP, wdraża zmiany w ramach swoich uprawnień i przeprowadza testy.

Dostawca hostingu odpowiada za te elementy infrastruktury, które pozostają w zakresie świadczonej przez niego usługi. W przypadku hostingu zarządzanego może udostępniać lub automatycznie wdrażać poprawki PHP. Przy serwerach VPS i dedykowanych obowiązki te mogą należeć do klienta lub jego administratora.

Nie należy więc zakładać, że samo wykupienie hostingu oznacza automatyczne zabezpieczenie wszystkich uruchomionych na nim aplikacji.

Jak sprawdzić, czy strona korzysta z bezpiecznej wersji PHP?

Pierwszym krokiem jest ustalenie, jaka wersja PHP rzeczywiście obsługuje stronę internetową.

W przypadku WordPressa można to sprawdzić w panelu administracyjnym:

W sklepach WooCommerce odpowiednia informacja znajduje się również w sekcji|:

W przypadku aplikacji Laravel i rozwiązań autorskich wersję PHP należy zweryfikować w konfiguracji hostingu lub bezpośrednio na serwerze. Administrator może posłużyć się poleceniem php -v, pamiętając, że wersja dostępna w terminalu nie zawsze odpowiada wersji obsługującej żądania strony.

Które wersje PHP zawierają poprawki?

Według oficjalnego komunikatu PHP poprawki obu podatności wprowadzono w następujących wydaniach:

Gałąź PHP	Wersja z poprawkami
PHP 8.5	8.5.12 i nowsze
PHP 8.4	8.4.27 i nowsze
PHP 8.3	8.3.36 i nowsze
PHP 8.2	8.2.35 i nowsze

Tabela 1. Lista wersji PHP z wprowadzonymi poprawkami.

W przypadku starszych wersji konieczna jest dodatkowa weryfikacja. PHP 8.1 i wcześniejsze nie otrzymują już standardowych aktualizacji bezpieczeństwa od projektu PHP. Niektórzy dostawcy systemów operacyjnych i hostingu udostępniają jednak własne poprawki przeniesione do starszych pakietów, tzw. backporty.

Dlatego samo oznaczenie „PHP 8” nie wystarcza do potwierdzenia bezpieczeństwa. Należy sprawdzić pełny numer wersji lub uzyskać od dostawcy potwierdzenie, że stosowany pakiet zawiera poprawki dla obu CVE.

Warto również pamiętać, że PHP 8.2 zakończy okres wsparcia bezpieczeństwa 31 grudnia 2026 r. Organizacje korzystające z tej gałęzi powinny już planować przejście na nowszą wersję.

Jak zabezpieczyć stronę i aplikację przed podatnościami PHP?

W przypadku CVE-2026-109618 i CVE-2026-109619 podstawowym działaniem jest wdrożenie odpowiedniej poprawki PHP. Producent wskazuje, że same zmiany konfiguracji nie zapewniają pełnej ochrony.

Aktualizację warto przeprowadzić w następującej kolejności:

1. Wykonaj kopię zapasową – zabezpiecz pliki aplikacji, bazę danych i istotne elementy konfiguracji. Sprawdź, czy kopię można odtworzyć.
2. Zweryfikuj zgodność aplikacji – przed zmianą wersji PHP sprawdź wymagania systemu CMS, wtyczek, bibliotek i integracji. Jeśli to możliwe, przeprowadź analizy w środowisku testowym.
3. Wdróż poprawki bezpieczeństwa – zaktualizuj PHP do odpowiedniej wersji lub zastosuj zweryfikowany pakiet dostawcy zawierający poprawki obu podatności.
4. Uruchom ponownie procesy PHP – samo zainstalowanie aktualizacji może nie wystarczyć, jeżeli działające procesy nadal korzystają ze starego kodu. Administrator powinien ponownie uruchomić lub wymienić odpowiednie procesy obsługujące aplikację.
5. Sprawdź działanie serwisu – przetestuj najważniejsze funkcje: formularze, logowanie, płatności, integracje, proces zakupowy i komunikację z zewnętrznymi systemami. Potwierdź również, że środowisko faktycznie korzysta z poprawionej wersji PHP.

Jeżeli występują przesłanki wcześniejszego naruszenia bezpieczeństwa, sama aktualizacja nie wystarczy. Konieczna może być dodatkowa analiza logów, konfiguracji i integralności plików.

Co zrobić, gdy aktualizacja PHP nie jest od razu możliwa?

Niektóre aplikacje wymagają wcześniejszych zmian w kodzie lub korzystają z hostingu, który jeszcze nie udostępnił odpowiednich poprawek.

W takiej sytuacji należy ograniczyć ryzyko do czasu wdrożenia aktualizacji. Możliwe działania obejmują ograniczenie publicznego dostępu do aplikacji, dopuszczenie połączeń wyłącznie z określonych adresów IP lub przez VPN, a w sytuacjach szczególnie wysokiego ryzyka także tymczasowe wyłączenie podatnej usługi.

Dodatkowe reguły zapory aplikacyjnej (WAF) mogą ograniczać wybrane próby ataku, ale nie zastępują poprawki bezpieczeństwa PHP.

Dobór zabezpieczeń tymczasowych powinien uwzględniać sposób działania aplikacji, aby nie spowodować niekontrolowanego przerwania kluczowych usług.

Co ze starszymi aplikacjami, które nie obsługują nowego PHP?

Aktualizacja środowiska może być trudniejsza w przypadku wieloletnich serwisów, autorskich systemów i aplikacji korzystających z nieutrzymywanych bibliotek.

Przejście na nowszą wersję PHP może powodować błędy zgodności, szczególnie gdy aplikacja wykorzystuje funkcje usunięte z języka lub zależy od starszych rozszerzeń.

W takiej sytuacji konieczna może być analiza kodu, aktualizacja bibliotek, zmiana konfiguracji lub dostosowanie integracji z innymi systemami.

Jeżeli aktualny hosting nie zapewnia obsługiwanej wersji PHP ani wiarygodnych poprawek bezpieczeństwa, należy również rozważyć migrację środowiska.

Utrzymywanie starszej aplikacji nie powinno oznaczać bezterminowego pozostawania na niewspieranej wersji PHP. Doraźne poprawki dostawcy mogą ograniczyć określone zagrożenie, ale nie zastępują długofalowego planu modernizacji.

Jak może pomóc zespół Smart Accessibility Technologies?

Weryfikacja środowiska PHP i bezpieczne wdrożenie aktualizacji mogą wymagać współpracy z programistą, a nie każdy posiada w swoim zespole osobą, która może wykonać wskazane wcześniej działania.

Wsparcie techniczne Grupy WW GovTech i zespołu SAT pozwala uporządkować cały proces i ograniczyć ryzyko problemów związanych z aktualizacją. Jest to szczególnie istotne w przypadku sklepów internetowych, rozbudowanych portali i aplikacji korzystających z zewnętrznych integracji, gdzie zmiana wersji PHP może wpłynąć na działanie podstawowych funkcji. Naszym celem jest nie tylko usunięcie podatności, ale również zachowanie stabilności i ciągłości działania serwisu.

Komentarz specjalisty:

Potrzebujesz pomocy w aktualizacji PHP?

Jeśli nie masz pewności, czy Twoja strona lub aplikacja korzysta z bezpiecznej wersji PHP, skontaktuj się z Grupą WW GovTech. Pomożemy ustalić stan środowiska oraz zakres działań potrzebnych do wdrożenia odpowiednich poprawek.