Krytyczna luka w PHP! Zaktualizowaliśmy naszą infrastrukturę hostingową

Dziś rano przeprowadziliśmy pilne prace na serwerach naszego hostingu zarządzanego. Powodem są dwie krytyczne podatności w samym PHP, opublikowane 21 października. Poniżej wyjaśniamy, czego dotyczą, co zrobiliśmy i czy musisz cokolwiek zrobić po swojej stronie.

Co się stało?

21 października 2026 r. zespół rozwijający PHP wydał awaryjne poprawki bezpieczeństwa dla dwóch podatności w rdzeniu interpretera: CVE-2026-109618 i CVE-2026-109619, nazywanych wspólnie PHP2Shell. Obie otrzymały ocenę 9,2 w skali CVSS, czyli najwyższą kategorię zagrożenia.
W praktyce oznacza to, że atakujący bez logowania i bez żadnych uprawnień mógł zdalnie uruchomić własny kod na serwerze, na którym działa strona. Problem dotyczy niemal wszystkich używanych dziś wersji PHP, od 5.4 aż po 8.5.11, a więc także praktycznie każdej instalacji WordPressa i WooCommerce.
Sytuację dodatkowo zaostrzył fakt, że szczegóły luk wyciekły jeszcze przed publikacją poprawek, a pierwsze próby ich wykorzystania zaobserwowano już kilka dni wcześniej. Twórcy PHP podkreślają, że nie istnieje pełne obejście problemu. Jedynym bezpiecznym rozwiązaniem jest aktualizacja.

Co zrobiliśmy?

Dziś, 22 października, w godzinach 7:00-9:00 zaktualizowaliśmy PHP na wszystkich serwerach hostingu zarządzanego do wersji zawierających poprawki:
• PHP 8.5.12
• PHP 8.4.27
• PHP 8.3.36
• PHP 8.2.35
Prace zaplanowaliśmy na wczesne godziny poranne, kiedy ruch w sklepach i na stronach jest najmniejszy. Aktualizacja wymagała restartu usług PHP, dlatego część stron mogła być przez chwilę niedostępna. Zwykle od kilku sekund do kilku minut. Po zakończeniu prac sprawdziliśmy działanie stron i sklepów naszych klientów.

A co ze starszymi wersjami PHP?

Oficjalne poprawki zostały wydane tylko dla wersji 8.2–8.5. Starsze gałęzie (8.1 i wcześniejsze) nie są już wspierane przez twórców PHP i nie otrzymały łatki. Nie chcieliśmy zostawiać działających na nich stron bez ochrony, dlatego poprawki dla starszych wersji PHP przygotowaliśmy i wdrożyliśmy we własnym zakresie podczas tych samych porannych prac. Strony na starszym PHP są więc również zabezpieczone przed PHP2Shell.

Pamiętaj jednak, że wersje bez wsparcia twórców nie będą otrzymywać kolejnych oficjalnych poprawek bezpieczeństwa. Jeśli Twoja strona nadal działa na PHP 8.1 lub starszym, zachęcamy do przejścia na aktualną wersję, chętnie w tym pomożemy.

Czy muszę coś zrobić?

Jeśli korzystasz z naszego hostingu zarządzanego – nie. Wszystkie prace wykonaliśmy za Ciebie, a Twoja strona działa już na załatanej wersji PHP.

Jeśli po porannych pracach zauważysz cokolwiek niepokojącego, na przykład błędy na stronie lub problemy z panelem WordPressa, daj nam znać. Sprawdzimy to od razu.

Jeśli natomiast Twoja strona działa na innym hostingu lub własnym serwerze, upewnij się u dostawcy, że PHP zostało już zaktualizowane do jednej z wersji wymienionych wyżej. W przypadku tej luki zwlekanie z aktualizacją jest realnym ryzykiem.