Krytyczne luki bezpieczeństwa w PHP! Dwie podatności CVSS 9.2 zagrażają serwerom i stronom internetowym
W popularnym języku programowania PHP wykryto dwie krytyczne podatności bezpieczeństwa, które mogą stanowić poważne zagrożenie dla infrastruktury internetowej. Luki, identyfikowane w doniesieniach jako CVE-2026-109618 oraz CVE-2026-109619, otrzymały ocenę 9,2 na 10 punktów w skali CVSS v4.0. Według badaczy bezpieczeństwa ich wykorzystanie może potencjalnie umożliwiać zdalne wykonanie kodu na serwerze (Remote Code Execution – RCE).
Zespół PHP Security oficjalnie potwierdził przygotowanie nadzwyczajnej aktualizacji bezpieczeństwa. Poprawki mają zostać udostępnione 21 października 2026 roku o godzinie 16:00 czasu polskiego (14:00 UTC).
Sytuacja jest szczególnie istotna dla właścicieli stron internetowych opartych na WordPressie, sklepów WooCommerce oraz administratorów aplikacji wykorzystujących PHP.
Dwie krytyczne podatności PHP – co wiadomo?
20 października 2026 roku zespół odpowiedzialny za bezpieczeństwo PHP opublikował oficjalny komunikat dotyczący dwóch poważnych luk w zabezpieczeniach interpretera.
Obie podatności uzyskały ocenę CVSS 4.0 wynoszącą 9,2, co oznacza krytyczny poziom zagrożenia. Oficjalnie potwierdzono także termin przygotowania aktualizacji bezpieczeństwa.
Według doniesień badaczy z firmy watchTowr podatności zostały oznaczone jako:
- CVE-2026-109618 – zgłaszana krytyczna podatność, potencjalnie umożliwiająca zdalne wykonanie kodu.
- CVE-2026-109619 – druga zgłaszana podatność o analogicznie wysokim poziomie zagrożenia.
Warto podkreślić, że w chwili przygotowania artykułu zespół PHP nie opublikował jeszcze pełnej dokumentacji technicznej, oficjalnego zakresu podatnych wersji ani szczegółowych warunków wykorzystania luk.
Według wstępnych doniesień zagrożone mogą być również starsze generacje PHP, począwszy od wersji 5. Informacje te wymagają jednak ostatecznego potwierdzenia w dokumentacji bezpieczeństwa.
Czym jest podatność RCE i dlaczego jest tak niebezpieczna?
Remote Code Execution (RCE) to jedna z najpoważniejszych kategorii podatności występujących w oprogramowaniu serwerowym.
W zależności od mechanizmu konkretnej luki atakujący może uzyskać możliwość wykonania nieautoryzowanych instrukcji na serwerze, bez konieczności logowania się do panelu administracyjnego witryny.
Potencjalne konsekwencje skutecznego ataku obejmują przejęcie kontroli nad aplikacją internetową, modyfikację plików strony, kradzież danych lub instalację złośliwego oprogramowania.
W przypadku sklepów internetowych zagrożone mogą być także poufne dane klientów, zamówienia i inne informacje przetwarzane przez aplikację.
Skala skutków zależy jednak od uprawnień procesu PHP, konfiguracji serwera oraz rzeczywistych warunków wykorzystania podatności.
Ważne: wykrycie krytycznej podatności nie oznacza automatycznie, że wszystkie serwery PHP zostały zaatakowane. Nie ma również podstaw, aby na tym etapie twierdzić, że każdy serwer będzie możliwy do przejęcia bez spełnienia dodatkowych warunków.
Czy WordPress i WooCommerce są zagrożone?
WordPress jest systemem CMS wykorzystującym PHP po stronie serwera. Ta sama technologia stanowi podstawę działania WooCommerce, Drupala, Joomla oraz wielu autorskich aplikacji internetowych.
Z tego powodu podatność występująca w samym interpreterze PHP może mieć znacznie szerszy zasięg niż luka ograniczona do pojedynczej wtyczki czy motywu.
Nie oznacza to jednak, że wykryto błąd bezpośrednio w kodzie WordPressa.
Problem dotyczy warstwy środowiska uruchomieniowego PHP, z której WordPress korzysta.
To istotne rozróżnienie. Nawet aktualny WordPress, posiadający najnowsze wtyczki i motyw, może działać na serwerze z podatną wersją PHP.
Co więcej, automatyczne aktualizacje WordPressa nie są równoznaczne z aktualizacją samego interpretera PHP.
W praktyce oznacza to, że zabezpieczenie witryny może wymagać działania po stronie dostawcy hostingu lub administratora serwera.
Jakie wersje PHP są zagrożone?
Na moment publikacji oficjalna lista podatnych wersji nie została jeszcze udostępniona.
Według wstępnych informacji rozpowszechnianych przez badaczy bezpieczeństwa problem może dotyczyć wielu generacji PHP, również tych wykorzystywanych w starszych aplikacjach.
Nie należy jednak zakładać, że wszystkie wersje PHP 8.x są podatne w identycznym stopniu ani że każda konfiguracja serwera umożliwia skuteczne wykorzystanie luk.
Dokładne informacje o podatnych i poprawionych wydaniach powinny zostać opublikowane wraz z aktualizacją PHP.
Administratorzy nie powinni opierać decyzji wyłącznie na numerze głównej wersji, np. PHP 8.3 czy 8.4. Znaczenie będzie miał także numer wydania poprawkowego oraz ewentualne poprawki dostarczone przez dystrybutora systemu lub firmę hostingową.
Co zrobić, aby zabezpieczyć stronę WordPress i serwer PHP?
W związku z komunikatem zespołu PHP Security administratorzy powinni rozpocząć przygotowania jeszcze przed publikacją aktualizacji.
- Sprawdź wersję PHP na hostingu. W WordPressie przejdź do zakładki Narzędzia → Stan witryny → Informacje → Serwer. Znajdziesz tam wersję PHP obsługującą stronę. Możesz również sprawdzić ją w panelu cPanel, Plesk lub DirectAdmin.
- Zweryfikuj informacje dostawcy hostingu. Ustal, czy hosting aktualizuje PHP automatycznie, czy konieczne będzie ręczne przełączenie wersji albo instalacja poprawek.
- Wykonaj kopię bezpieczeństwa. Zabezpiecz pliki strony i bazę danych przed planowaną zmianą środowiska. Backup powinien znajdować się w lokalizacji odizolowanej od serwera produkcyjnego.
- Zainstaluj poprawioną wersję PHP po jej udostępnieniu. Korzystaj wyłącznie z oficjalnych pakietów lub aktualizacji dostarczonych przez zaufanego dostawcę systemu i hostingu.
- Sprawdź działanie strony po aktualizacji. Zweryfikuj formularze kontaktowe, logowanie, panel WordPress, koszyk WooCommerce, płatności i integracje z zewnętrznymi systemami.
- Monitoruj logi oraz podejrzaną aktywność. Zwróć uwagę na nieoczekiwane błędy aplikacji, nietypowe żądania HTTP i nieautoryzowane zmiany w plikach.
W przypadku serwerów VPS i dedykowanych warto dodatkowo zweryfikować uruchomione wersje PHP-FPM, konfigurację kontenerów oraz dostępność odpowiednich pakietów bezpieczeństwa.
Samo zaktualizowanie PHP dla konsoli CLI nie daje gwarancji, że serwer WWW korzysta już z poprawionej wersji.
Czy firewall i wtyczki bezpieczeństwa WordPress wystarczą?
Rozwiązania takie jak Web Application Firewall (WAF), Cloudflare czy dodatkowe mechanizmy zabezpieczeń WordPressa mogą ograniczać część zagrożeń internetowych.
Nie należy jednak traktować ich jako pełnego zamiennika aktualizacji środowiska PHP.
Jeżeli podatność występuje bezpośrednio w interpreterze języka, standardowe aktualizacje motywów i wtyczek nie usuwają jej przyczyny.
CERT-EU zaleca przygotowanie do natychmiastowego wdrożenia poprawek. W przypadku systemów, których nie można szybko zaktualizować, organizacje powinny rozważyć czasowe odizolowanie aplikacji dostępnych publicznie od internetu.
Dlaczego aktualizacja PHP jest tak istotna dla bezpieczeństwa stron?
Problemy bezpieczeństwa PHP przypominają, że utrzymanie strony internetowej nie ogranicza się do aktualizowania CMS-a.
Środowisko hostingowe składa się z wielu elementów: systemu operacyjnego, serwera WWW, interpretera PHP, bazy danych i samej aplikacji.
Nawet poprawnie zabezpieczona witryna może być narażona na zagrożenia wynikające z błędów w niższych warstwach infrastruktury.
Dlatego regularny audyt techniczny WordPressa powinien uwzględniać nie tylko aktualność wtyczek, ale również wspierane wersje PHP, konfigurację serwera, kopie zapasowe oraz monitoring bezpieczeństwa.
Podsumowanie – krytyczne luki w PHP wymagają szybkiej reakcji
Dwie krytyczne podatności PHP ocenione na 9,2 w skali CVSS v4.0 stanowią poważny sygnał ostrzegawczy dla administratorów stron internetowych.
Na obecnym etapie najważniejsze jest przygotowanie infrastruktury do instalacji poprawek, ustalenie wersji PHP wykorzystywanych przez poszczególne aplikacje oraz śledzenie oficjalnych komunikatów bezpieczeństwa.
Aktualizacja planowana na 21 października 2026 r. o godzinie 16:00 czasu polskiego powinna zostać potraktowana priorytetowo.
W Stevedesign zajmujemy się tworzeniem, optymalizacją i technicznym utrzymaniem stron WordPress oraz sklepów WooCommerce. Regularne aktualizacje środowiska serwerowego to jeden z kluczowych elementów zapewnienia stabilności i bezpieczeństwa witryny.
Źródła informacji:
- PHP.net – oficjalny komunikat zespołu PHP Security
- CERT-EU – Critical Vulnerabilities in PHP
- BleepingComputer – ostrzeżenie o podatnościach PHP
- CloudLinux – informacje o przygotowaniu pakietów
Artykuł przedstawia stan wiedzy z 21 października 2026 r. sprzed planowanej publikacji poprawek. Informacje o podatnych wersjach i sposobie wykorzystania luk wymagają weryfikacji po udostępnieniu oficjalnych aktualizacji.