Bezpieczeństwo PHP · aktualizacja 22.10.2026

php2shell: łatka już jest. Czy Twoja aplikacja ją ma?

21 października PHP wydało poprawki dwóch krytycznych luk, które pozwalają wykonać kod na serwerze bez logowania. Aktualizacja to jedyne pełne zabezpieczenie. Aplikacje na PHP 8.1 i starszym nie dostaną zwykłej łatki. Sprawdzimy, w jakiej sytuacji jest Twoja.

Sprawdźmy to w 15 minut

01 / Co się stało

Fakty, bez straszenia.

01
Dwie luki w rdzeniu PHP: CVE-2026-109618 i CVE-2026-109619, ocena 9.2 w skali CVSS v4.0. Pozwalają na zdalne wykonanie kodu bez uwierzytelnienia.
02
Poprawione wersje: 8.5.12, 8.4.27, 8.3.36 i 8.2.35, wydane 21.10.2026. Zaktualizować trzeba także PHP-FPM.
03
PHP 8.1 i starsze nie dostają już aktualizacji od projektu PHP. Dla 7.4, 8.0 i 8.1 opublikowano tylko minimalne poprawki do samodzielnego wdrożenia.
04
PHP 8.2 traci wsparcie 31.12.2026. Po tej dacie kolejna luka nie zostanie już załatana.

Źródło

Komunikat bezpieczeństwa na php.net. Reguły WAF u dostawców hostingu ograniczają znane ścieżki ataku, ale projekt PHP podkreśla, że pełną ochronę daje tylko aktualizacja.

02 / Jak pomagamy

Od sprawdzenia do nowszej wersji.

Bezpłatne sprawdzenie

15 minut rozmowy: jaka wersja PHP, jaki hosting, kto odpowiada za serwer i czy poprawka jest już zainstalowana. Dostajesz jasną odpowiedź, co dalej.

Aktualizacja i testy

Instalujemy poprawioną wersję PHP i PHP-FPM, sprawdzamy, czy aplikacja działa jak wcześniej, i przekazujemy krótki raport. Na życzenie dodajemy test penetracyjny. Zakres i cenę ustalamy przed startem.

Przejście na wspieraną wersję

Aplikacje na PHP 7.x–8.2 przenosimy na wersję, która dostaje poprawki bezpieczeństwa. Zaczynamy od przeglądu kodu i zależności, a zmiany planujemy tak, by system działał bez przerw.

03 / Pytania i odpowiedzi

Najczęstsze pytania.

Jak sprawdzić, jakiej wersji PHP używam?

W panelu hostingu zwykle widać wersję PHP przy domenie. Na serwerze pokaże ją polecenie php -v. Jeśli wynik jest niższy niż 8.2.35, 8.3.36, 8.4.27 lub 8.5.12 w danej gałęzi, aplikacja nie ma poprawki.

Hosting mówi, że nas zabezpieczył. Czy to wystarczy?

Reguły na poziomie serwera ograniczają znane metody ataku. Nie zastępują aktualizacji, bo nowe warianty mogą je ominąć. Warto zapytać hosting, którą wersję PHP faktycznie uruchamia Twoja aplikacja.

Mamy starą aplikację na PHP 7.4 lub 8.1. Co teraz?

Na teraz: wdrożyć poprawkę udostępnioną dla starszych gałęzi albo wsparcie od dostawcy systemu. Docelowo: przenieść aplikację na wspieraną wersję PHP. Pomagamy w obu krokach.

Czy robicie testy penetracyjne?

Tak. Po aktualizacji możemy przetestować aplikację i serwer, żeby potwierdzić, że luki są zamknięte, i znaleźć inne słabe punkty. Zakres i termin testu ustalamy przed startem.

Nie wiesz, na jakiej wersji stoi Twój system?

Napisz, jaka to aplikacja i gdzie działa. Odpowiemy, co sprawdzić i czy potrzebna jest aktualizacja.

Umów bezpłatne sprawdzenie