Krytyczna luka w PHP (PHP2Shell): jak sprawdzić wersję PHP i co zrobić

2026-10-22/Bezpieczeństwo

Od rana w sieci wrze. Mam kilka nieodebranych połączeń, bo telefon padł mi w najmniej odpowiednim momencie, a w kilku krajach, m.in. w Holandii i Finlandii, na wszelki wypadek wyłączano strony rządowe. Powód: dwie krytyczne luki w PHP, nazwane wspólnie PHP2Shell, które pozwalają włamać się na serwer bez żadnego logowania. Poprawki wyszły 21 października 2026 r.

Zanim zaczniesz panikować: te luki nie pojawiły się wczoraj. Siedzą w PHP od wersji 5.4, czyli od 2012 roku. Przez ponad dekadę były w kodzie i prawie nikt o nich nie wiedział. Od wczoraj zmieniło się tyle, że są znane – i że jest na nie łatka. Panika niczego nie naprawi. Spokojna, szybka aktualizacja tak, bo teraz o lukach wiedzą też atakujący.

Jeśli Twoja strona lub sklep działa na WordPressie, WooCommerce, PrestaShopie czy Joomli, sprawdź dziś wersję PHP na serwerze. To nie jest luka w jednej wtyczce – problem siedzi w samym PHP, czyli w silniku, na którym działa większość stron w internecie. Poniżej wyjaśniam po ludzku, o co chodzi, jak w kilka minut sprawdzić wersję PHP i co zrobić, jeśli jest nieaktualna.

Na czym polega luka PHP2Shell i co może zrobić atakujący

Obie luki pozwalają obcej osobie uruchomić własny kod na serwerze Twojej strony, bez hasła i bez konta. Fachowo nazywa się to zdalnym wykonaniem kodu (RCE). Obie podatności dostały ocenę 9,2 na 10 w skali CVSS.

• CVE-2026-109618 – gdy PHP zabraknie pamięci w nieodpowiednim momencie, zostawia po sobie „niedokończone” dane. Można to wykorzystać do przejęcia serwera.
• CVE-2026-109619 – dane z jednego żądania mogą przetrwać w pamięci i zostać użyte przy kolejnym. Badacze pokazali też, że w ten sposób da się odczytać pamięć serwera z hasłami, tokenami i kluczami API.

Co to oznacza w praktyce? Atakujący z dostępem do serwera może:

• podmienić treść strony albo dokleić do niej spam i złośliwe przekierowania,
• wykraść bazę danych – klientów, zamówienia, adresy e-mail,
• przechwycić hasła do bazy, poczty czy bramek płatniczych,
• użyć serwera do rozsyłania spamu lub ataków na innych, przez co hosting może zablokować konto, a Google oznaczyć stronę jako niebezpieczną.

Ważne: to luka w PHP na serwerze, a nie w WordPressie. Aktualizacja wtyczek, motywu czy samego WordPressa jej nie usunie. Zagrożone są wszystkie popularne konfiguracje serwerów (PHP-FPM, Apache z mod_php, LiteSpeed i inne) oraz wszystkie wersje PHP od 5.4 aż do wydanych przed 21 października 2026 r.

Jaka wersja PHP jest bezpieczna

Bezpieczna jest wersja równa lub wyższa niż ta w tabeli dla Twojej gałęzi. Liczy się pełny numer, nie sama gałąź – „PHP 8.3” nic jeszcze nie mówi, ważne jest, czy to 8.3.36, czy 8.3.20.

Przykłady:

• Widzisz 8.3.36 albo 8.4.27 – wszystko w porządku.
• Widzisz 8.3.30 – gałąź jest dobra, ale wersja sprzed poprawki. Serwer trzeba zaktualizować.
• Widzisz 8.1.x albo 7.4.x – strona jest podatna i oficjalnej poprawki nie dostanie. Trzeba przejść na PHP 8.3 lub nowsze.

Dla PHP 7.4, 8.0 i 8.1 zespół PHP opublikował jedynie minimalne poprawki w kodzie źródłowym, przeznaczone dla osób samodzielnie kompilujących PHP. Na zwykłym hostingu nie warto na to liczyć. Więcej o tym, dlaczego stare wersje to problem, pisałem we wpisie Koniec wsparcia dla starych wersji PHP.

Jak sprawdzić wersję PHP w WordPressie

Najpewniejsze miejsce to panel samej strony. Pokazuje wersję, na której strona faktycznie działa, a nie tylko ustawienie domyślne na koncie hostingowym.

1. Zaloguj się do panelu WordPressa (zwykle twojadomena.pl/wp-admin).
2. W menu po lewej wybierz Narzędzia → Zdrowie witryny.
3. Przejdź do zakładki Informacje.
4. Rozwiń sekcję Serwer.
5. Znajdź wiersz Wersja PHP i porównaj pełny numer z tabelą powyżej.

Potrzebujesz konta administratora. Jeśli nie widzisz menu Narzędzia, poproś osobę, która opiekuje się Twoją stroną.

Sklep na WooCommerce

W panelu wybierz WooCommerce → Status. W sekcji Środowisko serwera znajdziesz wiersz Wersja PHP.

Panel hostingu

Wersję PHP sprawdzisz, a często też zmienisz, w panelu klienta u dostawcy hostingu. Szukaj opcji w rodzaju Wersja PHP, Konfiguracja PHP, Select PHP Version lub MultiPHP Manager. Nazwy różnią się w zależności od firmy.

Uwaga: panel hostingu często pokazuje tylko gałąź, np. „8.3”, bez pełnego numeru. Wtedy lepiej sprawdzić numer w WordPressie albo zapytać support hostingu.

Co zrobić, gdy wersja PHP jest nieaktualna

To, co zrobisz, zależy od wyniku. Zespół PHP pisze wprost, że jedynym pełnym zabezpieczeniem jest aktualizacja.

Masz dobrą gałąź (8.2–8.5), ale starszy numer

To najprostszy przypadek. Poprawka jest drobną aktualizacją i nie powinna niczego zepsuć na stronie.

• Hosting współdzielony: zwykle aktualizuje go dostawca. Sprawdź komunikaty na jego stronie lub napisz do supportu z pytaniem, kiedy wdroży PHP z poprawkami z 21.10.2026.
• Własny serwer lub VPS: zaktualizuj pakiety PHP i zrestartuj wszystkie procesy PHP (np. PHP-FPM i serwer WWW).

Masz PHP 8.1 lub starsze

Tu trzeba zmienić gałąź, najlepiej od razu na 8.3 lub 8.4. To poważniejsza zmiana, bo stare wtyczki i motywy mogą nie działać na nowym PHP.

1. Zrób pełną kopię zapasową strony i bazy danych.
2. Zaktualizuj WordPressa, wtyczki i motyw do najnowszych wersji.
3. Zmień wersję PHP w panelu hostingu.
4. Sprawdź najważniejsze elementy: stronę główną, formularze, koszyk i płatności, logowanie do panelu.
5. Jeśli coś przestało działać, wróć na chwilę do poprzedniej wersji i skontaktuj się z programistą. Nie zostawiaj jednak strony na starym PHP na dłużej.

Nie możesz zaktualizować od razu

Dla administratorów serwerów istnieje rozwiązanie tymczasowe na jedną z luk (CVE-2026-109619): ustawienie session.upload_progress.enabled=0 w php.ini lub w konfiguracji puli FPM i restart wszystkich procesów PHP. Na PHP 8.5 dodatkowo fatal_error_backtraces=0. Strony za Cloudflare dostały też wstępne reguły zapory (WAF). To tylko zmniejsza ryzyko i nie zastępuje aktualizacji.

Po aktualizacji

Jeśli strona długo działała na podatnej wersji, warto sprawdzić, czy nie ma śladów włamania: nieznanych kont administratorów, nowych plików PHP w katalogu uploads, dziwnych przekierowań. Dla bezpieczeństwa zmień hasła do panelu, bazy danych i FTP. Jeśli coś wygląda podejrzanie, pomogę w usuwaniu wirusów z WordPressa.

Podsumowanie

1. Sprawdź wersję PHP w Narzędzia → Zdrowie witryny → Informacje → Serwer.
2. Bezpieczne są wersje 8.5.12, 8.4.27, 8.3.36, 8.2.35 lub nowsze.
3. PHP 8.1 i starsze trzeba zmienić na 8.3 lub nowsze – po wcześniejszej kopii zapasowej.

Takie sprawy to powód, dla którego warto mieć stronę pod stałą opieką – w ramach zarządzania stroną pilnuję wersji PHP i aktualizacji za klienta. Nie wiesz, jak sprawdzić wersję PHP, albo boisz się, że zmiana coś zepsuje? Napisz do mnie – sprawdzę Twoją stronę, przeprowadzę aktualizację i przetestuję, czy wszystko działa.

Źródła

• The PHP Foundation – komunikat o wydaniu poprawek
• Help Net Security – PHP2Shell
• Patchstack – alert bezpieczeństwa PHP
• Unit 42 (Palo Alto Networks) – Threat Brief