21 października 2026 roku zespół PHP wydał poprawki dwóch krytycznych luk. Obie dostały ocenę 9.2 w skali CVSS i obie pozwalają uruchomić obcy kod na serwerze bez logowania.
Jeśli Twoja strona albo sklep działa na WordPressie, to działa na PHP. Czyli sprawa dotyczy Ciebie, niezależnie od tego, jakie masz wtyczki. Pomaga tylko aktualizacja PHP.
Dobra wiadomość: w większości przypadków nie musisz niczego instalować sam. Musisz za to sprawdzić, czy ktoś to zrobił. Poniżej rozpisaliśmy, jak to ogarnąć w 30 minut.
Co się stało, w czterech zdaniach
20 października zespół PHP zapowiedział pilne poprawki bezpieczeństwa. Tego samego dnia szczegóły luk wyciekły, więc wydanie przyspieszono z 22 na 21 października. Poprawione wersje to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35 (luki mają numery CVE-2026-109618 i CVE-2026-109619, w mediach nazywane są PHP2Shell). Firmy bezpieczeństwa widzą już próby ataków; potwierdzonych włamań na razie nie opisano.
Czy luka w PHP dotyczy mojej strony na WordPressie?
Tak, jeśli strona działa na PHP. WordPress i WooCommerce działają na PHP zawsze.
Ważne: luka jest w samym PHP, nie w WordPressie. Aktualizacja WordPressa ani wtyczek jej nie usuwa. Pomaga tylko aktualizacja PHP.
Według zespołu PHP zagrożone są wszystkie instalacje PHP obsługujące strony WWW, w każdym popularnym trybie pracy serwera. Podatne są wersje starsze niż 8.2.35, 8.3.36, 8.4.27 i 8.5.12, a także cała gałąź 8.1 i starsze.
Krok 1: jak sprawdzić wersję PHP
Najprościej w samym WordPressie:
- Zaloguj się do panelu WordPressa.
- Wejdź w Narzędzia → Stan witryny → Informacje.
- Rozwiń sekcję Serwer. Tam znajdziesz wersję PHP, np. 8.3.36.
Drugie miejsce to panel hostingu, zwykle w sekcji z ustawieniami PHP.
Jedna pułapka, o której pisze home.pl: wersja widoczna w panelu klienta to wersja domyślna dla hostingu. Pojedyncza strona może mieć ustawioną inną. Dlatego wersję z WordPressa traktuj jako tę właściwą.
Co oznacza wynik:
- 8.2.35, 8.3.36, 8.4.27, 8.5.12 lub nowsza w tej samej gałęzi – poprawka jest. Przejdź do kroku 3, żeby sprawdzić, czy gałąź nie jest za stara.
- Niższy numer w gałęzi 8.2–8.5 (np. 8.3.30) – poprawki jeszcze nie ma. Krok 2.
- 8.1, 8.0, 7.4 lub starsza – krok 2 i koniecznie krok 3.
Krok 2: kto ma zaktualizować PHP – hosting, ja czy agencja?
To najważniejsze pytanie w całej sprawie. Odpowiedź zależy od tego, gdzie stoi strona.
| Gdzie jest strona | Kto aktualizuje PHP |
|---|---|
| Hosting współdzielony (typowy pakiet „hosting WWW”) | Hostingodawca |
| VPS albo serwer dedykowany | Ty albo Twój administrator |
| Stronę zrobiła i utrzymuje agencja lub freelancer | Ustal z nimi, kto ma dostęp i kto za to odpowiada |
Część hostingodawców opisała to publicznie:
- home.pl w komunikacie z 21.10 napisał, że na hostingu instaluje poprawki za klienta, zaczynając od wersji 8.2 i nowszych, a dla starszych przygotowuje poprawki we własnym zakresie. Na VPS i serwerach dedykowanych klient aktualizuje sam.
- cyber_Folks 21.10 poinformował, że w zarządzanych środowiskach poprawki wdrożyli administratorzy, także w starszych wersjach PHP, i klient nie musi nic instalować.
Jeśli Twój hosting nie opublikował komunikatu, to nie znaczy, że nie załatał. Zapytaj go wprost. Możesz skopiować tę wiadomość:
Dzień dobry, mam stronę [adres] na koncie [login/numer klienta]. Czy PHP na moim koncie jest już zaktualizowane do wersji z poprawką z 21.10.2026 (CVE-2026-109618 i CVE-2026-109619), czyli 8.2.35, 8.3.36, 8.4.27 lub 8.5.12? Jeśli strona działa na starszej gałęzi, czy ją też zabezpieczyliście? Proszę o potwierdzenie.
Tę samą wiadomość możesz wysłać agencji, która opiekuje się stroną.
Krok 3: mam PHP 7.4, 8.0 lub 8.1 – co teraz?
Projekt PHP nie wydaje już aktualizacji dla wersji 8.1 i starszych. Zespół udostępnił tylko minimalne poprawki kodu źródłowego dla 7.4, 8.0 i 8.1 – dla tych, którzy sami kompilują PHP. Na zwykłym hostingu to nie Ty.
Część hostingów zabezpiecza starsze wersje na własną rękę (tak deklarują home.pl i cyber_Folks). To gasi pożar, ale nie rozwiązuje problemu. Stara gałąź to sygnał, że czas na przesiadkę.
Dokąd? WordPress zaleca PHP 8.3 lub nowsze. Uwaga na 8.2: dostała poprawkę, ale jej wsparcie kończy się 31 grudnia 2026. Przejście na nią teraz oznacza powtórkę za dwa miesiące.
Wsparcie gałęzi według php.net:
| Gałąź | Wsparcie do |
|---|---|
| 8.2 | 31.12.2026 |
| 8.3 | 31.12.2027 |
| 8.4 | 31.12.2028 |
| 8.5 | 31.12.2029 |
Krok 4: kopia zapasowa przed zmianą wersji PHP
Sama poprawka w obrębie gałęzi (np. z 8.3.30 na 8.3.36) to zwykle zadanie hostingu i nie wymaga od Ciebie ruchu. Zmiana gałęzi (np. z 8.1 na 8.3) to co innego. Starsze wtyczki albo motyw mogą przestać działać.
Zanim przestawisz wersję w panelu:
- Zrób kopię plików i bazy danych. W panelu hostingu albo wtyczką do kopii zapasowych.
- Sprawdź datę ostatniej kopii. Kopia sprzed pół roku w sklepie to strata wszystkich zamówień i zmian od tego czasu.
- Sklep przestawiaj poza godzinami szczytu. Jeśli coś pójdzie nie tak, mniej klientów trafi na błąd.
Krok 5: co z wtyczkami WordPress i WooCommerce po aktualizacji PHP?
Po zmianie wersji poświęć 10 minut na test. Nasza rekomendacja:
- Otwórz stronę główną i dwie, trzy podstrony.
- Wyślij formularz kontaktowy i sprawdź, czy wiadomość doszła.
- W sklepie: dodaj produkt do koszyka i przejdź płatność testową w WooCommerce.
- Zaloguj się do panelu WordPressa i sprawdź, czy działa edycja.
- Zajrzyj do Narzędzia → Stan witryny – WordPress pokaże tam wykryte problemy.
Jeśli coś się sypie: wróć w panelu hostingu do poprzedniej gałęzi PHP i skontaktuj się z twórcą strony. Problem jest wtedy zwykle w przestarzałej wtyczce lub motywie i trzeba go naprawić, zanim spróbujesz ponownie. Wracaj do starej gałęzi tylko na chwilę – na niej strona dalej jest narażona, jeśli hosting jej nie zabezpieczył.
Czego nie robić
- Nie kombinuj z ustawieniami php.ini na hostingu współdzielonym. W sieci krążą obejścia, ale zespół PHP sam pisze, że nie ma pełnych obejść i jedynym bezpiecznym wyjściem jest aktualizacja. Na hostingu współdzielonym zwykle i tak nie masz do tych ustawień dostępu.
- Nie wyłączaj strony w panice, jeśli hosting potwierdził, że poprawka jest wgrana.
- Nie zakładaj, że aktualizacja WordPressa załatwia sprawę. Luka jest w PHP.
Checklista do odhaczenia
- Wersja PHP sprawdzona w WordPressie (Narzędzia → Stan witryny → Informacje → Serwer).
- Wiadomo, kto aktualizuje PHP: hosting, ja czy agencja.
- Jest potwierdzenie od hostingu lub agencji, że poprawka z 21.10 jest wgrana.
- Przy wersji 8.2 lub starszej: kopia zrobiona, przejście na 8.3 lub nowszą zaplanowane.
- Po zmianie wersji przetestowane: strona, formularz, koszyk i panel admina.
Więcej o podstawach ochrony danych w firmie piszemy w tekście Bezpieczeństwo danych – na co zwrócić uwagę.
FAQ
Czy aktualizacja WordPressa usuwa lukę w PHP?
Nie. Luka jest w PHP, czyli w oprogramowaniu serwera, na którym działa WordPress. Usuwa ją tylko aktualizacja PHP do wersji 8.2.35, 8.3.36, 8.4.27, 8.5.12 lub nowszej.
Ile kosztuje aktualizacja PHP?
Na hostingu współdzielonym poprawkę instaluje hostingodawca – home.pl i cyber_Folks robią to za klienta. Koszt pojawia się, gdy trzeba przejść na nowszą gałąź, a stara wtyczka lub motyw tego nie wytrzymuje. Wtedy zależy od tego, ile pracy wymaga konkretna strona.
Co jeśli mam PHP 7.4?
Projekt PHP nie wydaje już dla niej aktualizacji. Zapytaj hosting, czy zabezpieczył ją na własną rękę, a potem zaplanuj przejście na PHP 8.3 lub nowsze – to zaleca WordPress. Przed zmianą zrób kopię zapasową i przetestuj stronę po zmianie.
Czy hakerzy już włamują się przez te luki?
Firmy bezpieczeństwa raportują próby ataków. Według The Hacker News (stan na 21 października) żadne źródło nie potwierdziło udanego włamania. To nie powód do paniki, ale też nie powód, żeby odkładać sprawdzenie.
Nie wiesz, kto ma dostęp do Twojego hostingu, albo boisz się, że po zmianie PHP sklep przestanie działać? Napisz do nas. Sprawdzimy wersję i przeprowadzimy aktualizację z kopią zapasową.
