Krytyczne luki w PHP: co oznaczają dla Twojej strony

Jeśli masz stronę internetową, komunikat o krytycznych lukach w PHP może brzmieć jak problem, który powinien załatwić hosting. I częściowo tak jest. Ale poprawka na serwerze i aktualizacja Twojej strony to dwie różne rzeczy.

21 października 2026 r. twórcy PHP opublikowali pilne poprawki bezpieczeństwa. Wyjaśnię Ci, czego dotyczyły, co zostało zrobione po stronie naszego hostingu i dlaczego przy starej stronie samo przełączenie wersji PHP nie jest planem modernizacji.

Dwie krytyczne luki w PHP ujawnione 21 października 2026 r.

PHP to język programowania, w którym napisano wiele stron i sklepów. Na serwerze działa oprogramowanie wykonujące taki kod. To właśnie w nim znaleziono dwie krytyczne luki w PHP, oznaczone numerami CVE-2026-109618 i CVE-2026-109619. To identyfikatory błędów, po których administrator może znaleźć właściwy komunikat.

Luki mogą pozwolić obcej osobie na zdalne wykonanie kodu bez logowania. W praktyce chodzi o uruchomienie przez atakującego własnego kodu na serwerze, a nie tylko o zepsuty wygląd strony.

W oficjalnym komunikacie bezpieczeństwa PHP potwierdzono działający sposób wykorzystania błędu przy mod_php, czyli jednym ze sposobów uruchamiania PHP przez serwer WWW. Ostrzeżenie obejmuje jednak wszystkie instalacje obsługujące żądania internetowe, także PHP-FPM, inny popularny sposób uruchamiania PHP. Nie należy zakładać, że inny sposób obsługi strony wyklucza zagrożenie.

Wydania zawierające poprawki to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Komunikat dotyczy publicznie ujawnionych podatności. Sam w sobie nie jest informacją o włamaniu na Twoją stronę.

Co zostało poprawione po stronie naszego hostingu?

Firma dostarczająca nam serwery wdrożyła 21 października 2026 r. poprawki także dla starszych wersji PHP. To informacja o poprawkach oprogramowania serwera, nie o przebudowie kodu każdej strony.

Starszy numer PHP nie przesądza, czy konkretna instalacja dostała łatkę. Twórcy PHP zaznaczyli, że część dostawców przenosi poprawki do starszych wydań. Wyjątkowo udostępnili też minimalne poprawki w kodzie źródłowym dla PHP 7.4, 8.0 i 8.1. Nie oznacza to przywrócenia ich regularnego wsparcia.

Masz hosting w innej firmie? Zapytaj ją wprost, czy wdrożyła poprawki na obie wskazane podatności. Samo „mamy PHP 8” nie odpowiada na to pytanie.

Dlaczego łatka serwera nie aktualizuje Twojej strony?

Serwer wykonuje kod strony, ale poprawienie jego oprogramowania nie przepisuje formularzy, panelu zarządzania treścią ani dodatków. Załatany PHP nie oznacza automatycznie aktualnego kodu strony.

Szersze zasady opisaliśmy we wpisie Jak zabezpieczyć stronę internetową przed atakami. Tutaj ważne jest rozdzielenie odpowiedzialności: poprawki hostingu nie zastępują opieki nad samą stroną.

To rozróżnienie techniczne nie oznacza, że każda zmiana jest dodatkowo płatna. Przy stronie z Donety obowiązują warunki udzielonej gwarancji i wybranego zakresu opieki. Ten wpis ich nie zmienia.

Co oznacza przejście z PHP 5.6 na aktualną wersję?

Przy modernizacji strony działającej na PHP 5.6 zakładamy konieczność dostosowania kodu albo przygotowania nowej strony. Nie traktujemy tego jak szybkiej zmiany ustawienia w panelu hostingu.

Dlaczego? Nowsze PHP zmieniło część zasad działania i usunęło dawne funkcje. Już oficjalny poradnik migracji z PHP 5.6 do PHP 7.0 opisuje usunięcie starego sposobu łączenia się z bazą danych. Kod, który z niego korzysta, wymaga zmiany. Dalsze wersje przyniosły kolejne różnice.

Nie znaczy to, że każda starsza strona przestanie działać na nowym PHP. Decyduje jej kod i użyte dodatki, nie sam wiek. Zakres prac trzeba ustalić przed przełączeniem działającej strony.

Przed zmianami potrzebna jest pełna kopia plików i bazy danych. O jej roli przeczytasz w tekście Po co robić backupy swoich stron i sklepów internetowych?

Kiedy wystarczy aktualizacja kodu, a kiedy nowa strona?

Aktualizacja ma sens, gdy stronę można dalej utrzymywać, jej funkcje Ci odpowiadają, a poprawki mają ustalony zakres. Nie ma powodu wymieniać dobrego projektu graficznego tylko dlatego, że zmienia się PHP.

Nową stronę warto rozważyć, jeśli trzeba zastąpić większość starego systemu, dodatki nie mają już aktualizacji albo obecna strona i tak wymaga przebudowy. Porównuj zakres naprawy z zakresem nowego projektu, nie sam numer PHP.

Jeśli rozważasz tworzenie stron WWW, najpierw ustalmy, co da się zachować z Twojej obecnej strony. Napisz, na czym działa i kto się nią opiekuje. To lepszy początek niż przełączanie wersji na próbę.

Najczęstsze pytania o luki w PHP i aktualizację strony

Poproś hosting o potwierdzenie poprawki na ujawnione luki, a opiekuna strony o ocenę jej kodu. To dwa osobne zadania. Przy stronie na PHP 5.6 potrzebujesz planu modernizacji, nie obietnicy, że „jakoś się przełączy”.