Krytyczne luki w PHP. Masz własny VPS lub serwer? Zaktualizuj go pilnie.

21 października 2026 r. udostępniono pilne aktualizacje bezpieczeństwa PHP usuwające dwie krytyczne luki: CVE-2026-109618 i CVE-2026-109619. W określonych warunkach umożliwiają one zdalne wykonanie kodu na serwerze (RCE), również bez wcześniejszego zalogowania się. Zagrożenie dotyczy środowiska PHP, a nie wyłącznie konkretnej wtyczki czy systemu CMS.

Co dokładnie wykryto i dlaczego sprawa jest pilna?

Luki dotyczą wewnętrznej obsługi pamięci i stanu żądań przez interpreter PHP. Ich wykorzystanie może prowadzić do uruchomienia kodu przez atakującego, a w konsekwencji do naruszenia danych, plików strony lub dalszych elementów infrastruktury. Nie każda instalacja jest jednakowo narażona – znaczenie ma m.in. sposób uruchamiania PHP i konfiguracja aplikacji.

Zespół PHP wskazuje na ryzyko zarówno w środowiskach PHP-FPM, jak i Apache z mod_php, a także przy innych sposobach uruchamiania interpretera. Sama aktualizacja WordPressa, PrestaShop czy wtyczek nie zastępuje poprawienia PHP na serwerze.

Czy musisz cokolwiek robić? To zależy od rodzaju hostingu

Warto pamiętać, że usługa „VPS” nie oznacza automatycznie opieki administratora. Jeśli po zalogowaniu przez SSH sam aktualizujesz pakiety, konfigurujesz PHP-FPM i odpowiadasz za kopie zapasowe, potraktuj ten komunikat jako zadanie do pilnej realizacji.

Które wersje PHP zawierają poprawki z 21 października?

To numery oficjalnych wydań PHP. W systemach Linux poprawka może występować także jako pakiet dystrybucyjny z innym numerem (tzw. backport). O skuteczności aktualizacji decydują informacje producenta pakietu, a nie wyłącznie wynik php -v. PHP 8.1 i starsze nie otrzymują już oficjalnych aktualizacji od projektu PHP; część dostawców oferuje poprawki w ramach wydłużonego wsparcia.

Jak sprawdzić wersje PHP na VPS-ie lub serwerze dedykowanym?

Jeśli korzystasz z Linuxa i masz dostęp SSH, zacznij od prostego sprawdzenia wersji interpretera:

php -v

To jednak pokazuje zwykle PHP uruchamiane w terminalu (CLI). Strony internetowe mogą używać innych gałęzi PHP-FPM. Na Debianie lub Ubuntu sprawdź również pakiety:

dpkg-query -W -f='${binary:Package} ${Version}\n' \
  'php[0-9]*-fpm' 'php[0-9]*-cli' 2>/dev/null

Sprawdź dostępność aktualizacji dla używanych gałęzi:

sudo apt update
apt-cache policy php8.2-fpm php8.3-fpm php8.4-fpm php8.5-fpm

Serwery z HestiaCP, Plesk, cPanel albo kilkoma wersjami PHP wymagają sprawdzenia również ustawień domen i PHP używanego przez sam panel. W przypadku HestiaCP wykaz skonfigurowanych gałęzi można odczytać poleceniem:

sudo /usr/local/hestia/bin/v-list-sys-php

Jak bezpiecznie wdrożyć aktualizację?

1. Zrób inwentaryzację. Ustal, które wersje PHP są zainstalowane i przypisane do działających stron, sklepów, API oraz paneli administracyjnych.
2. Wykonaj kopię zapasową. Zadbaj o aktualny backup plików, baz danych i konfiguracji. Jeśli to VPS, rozważ snapshot i upewnij się, że umiesz przywrócić usługę.
3. Sprawdź źródło pakietów. Korzystaj z aktualizacji dostawcy dystrybucji lub zaufanego repozytorium. Zweryfikuj, czy pakiet rzeczywiście zawiera poprawki dla wskazanych CVE.
4. Przeprowadź kontrolowaną aktualizację. Na Debianie lub Ubuntu administrator może użyć APT, ale zakres zmian trzeba najpierw przejrzeć, zwłaszcza przy wielu gałęziach PHP lub dodatkowych repozytoriach.
5. Uruchom ponownie odpowiednie usługi. Aktualizacja plików pakietu nie oznacza automatycznie, że wszystkie działające procesy PHP-FPM czy Apache korzystają już z nowego kodu.
6. Wykonaj testy i weryfikację. Sprawdź sklepy, formularze, płatności, logowanie, API, zadania cron oraz dzienniki błędów. Potwierdź wersje faktycznie uruchomionych interpreterów.

Przykładowe polecenia aktualizujące pakiety w Debianie/Ubuntu to sudo apt update i sudo apt upgrade, ale nie uruchamiaj ich w ciemno na produkcji. Operacja może objąć także inne pakiety, a niektóre aktualizacje wymagają zmian konfiguracji albo restartu. W środowisku biznesowym ważne są backup, plan wycofania zmian i testy działania usług.

Masz stare PHP 5.6, 7.x, 8.0 lub 8.1?

Dla starszych gałęzi nie ma nowych oficjalnych wydań z projektu PHP. Wybrani dostawcy pakietów mogą dostarczać własne poprawki bezpieczeństwa, jednak daty kompilacji czy sam fakt pojawienia się aktualizacji nie dowodzą, że te konkretne luki są usunięte. Sprawdź dokumentację dostawcy, a równolegle zaplanuj migrację aplikacji do wspieranej wersji PHP.

Nie masz administratora Linux? Zleć nam pilną, jednorazową aktualizację

Nie musisz podpisywać umowy na stałą administrację, aby zabezpieczyć konkretny serwer. W ramach jednorazowej pomocy administratora Codergo możemy przeanalizować konfigurację, sprawdzić pakiety PHP i dostępność poprawek, przygotować bezpieczny plan wdrożenia oraz przeprowadzić aktualizację z weryfikacją działania usług. Zakres i termin uzgodnimy po rozpoznaniu środowiska.

Obsługujemy m.in. serwery Linux z Nginx, Apache, PHP-FPM i panelami administracyjnymi takimi jak HestiaCP. Priorytetem jest zabezpieczenie usługi bez niepotrzebnego przestoju i bez pochopnej zmiany wersji PHP używanych przez aplikacje.

Najczęstsze pytania

Czy wystarczy zaktualizować WordPressa lub PrestaShop?

Nie. Te podatności dotyczą samego interpretera PHP. Aktualizacje CMS i rozszerzeń nadal są ważne, lecz nie zastępują poprawki PHP.

Czy zwykły hosting współdzielony wymaga mojej interwencji?

Najczęściej nie – administracja systemem i interpreterem PHP należy do dostawcy. Warto jednak potwierdzić, że poprawki zostały wdrożone, szczególnie jeśli usługa korzysta z niestandardowej lub bardzo starej wersji PHP.

Czy wynik php -v wystarczy do potwierdzenia bezpieczeństwa?

Nie. To zwykle wersja CLI. Serwer WWW może korzystać z innego interpretera PHP, a poprawki dystrybucyjne mogą być dostarczane jako backporty. Trzeba sprawdzić również używane usługi, pakiety i dokumentację ich dostawcy.

Źródła: komunikat bezpieczeństwa PHP z 21.10.2026, PHP Foundation, Debian Security Tracker. Stan informacji na 21 października 2026 r.