21 października 2026 r. twórcy PHP opublikowali poprawki dwóch krytycznych podatności, które mogły pozwolić atakującemu na uruchomienie własnego kodu na serwerze. Na hostingu home.pl poprawki są już zainstalowane we wszystkich wersjach PHP. Na tej stronie znajdziesz listę wersji z poprawkami, sposoby sprawdzenia wersji PHP i zalecenia dla użytkowników serwerów VPS i dedykowanych.
SPIS TREŚCI
- Co się stało?
- Wersje PHP z poprawkami
- Co zrobiliśmy w home.pl
- Czy musisz coś zrobić?
- Jak sprawdzić wersję PHP?
- Starsze wersje PHP
- Uważaj na phishing
- Najczęstsze pytania
Co się stało?
W jądrze języka PHP wykryto dwie podatności oznaczone jako CVE-2026-109618 i CVE-2026-109619. Obie otrzymały ocenę 9.2 w skali CVSS, czyli zostały uznane za krytyczne.
CVSS to międzynarodowy standard oceny powagi podatności w oprogramowaniu. Ocenia się w nim m.in., czy atak można przeprowadzić zdalnie, jak trudno go wykonać i jakie mogą być jego skutki. Wynik podaje się w skali od 0 do 10. Oceny od 9.0 wzwyż oznaczają poziom krytyczny, czyli najwyższą kategorię zagrożenia.
Atakujący mógł je wykorzystać bez logowania, aby uruchomić własny kod na serwerze. Podatności dotyczą instalacji PHP, które obsługują strony WWW, niezależnie od dostawcy hostingu.
Wersje PHP z poprawkami
Podatności usuwają poniższe wersje PHP. W ostatniej kolumnie znajdziesz datę, do której twórcy PHP będą wydawać poprawki bezpieczeństwa dla danej wersji.
| Wersja PHP | Wersja z poprawkami | Poprawki bezpieczeństwa do |
|---|---|---|
| 8.5 | 8.5.12 | 31 grudnia 2029 |
| 8.4 | 8.4.27 | 31 grudnia 2028 |
| 8.3 | 8.3.36 | 31 grudnia 2027 |
| 8.2 | 8.2.35 | 31 grudnia 2026 |
| 8.1 i starsze | brak oficjalnych poprawek | wsparcie zakończone |
Wersje 8.1 i starsze nie otrzymują już aktualizacji od twórców PHP. Na hostingu home.pl poprawki dla nich przygotowaliśmy i wdrożyliśmy we własnym zakresie. Więcej informacji znajdziesz w sekcji Starsze wersje PHP.
PHP 8.6 jest jeszcze w fazie testów i twórcy nie zalecają używania jej na działających stronach.
Co zrobiliśmy w home.pl
Jeszcze przed publikacją poprawek wprowadziliśmy dodatkowe zabezpieczenia: specjalną konfigurację PHP oraz reguły zapory sieciowej, które blokują podejrzane zapytania i ograniczają ryzyko. Od razu po wydaniu poprawek przez twórców PHP zaczęliśmy je wdrażać. 22 października zakończyliśmy prace we wszystkich usługach, które korzystają z PHP, także w starszych wersjach PHP nieobjętych wsparciem twórców.
Czy musisz coś zrobić?
Masz hosting w home.pl? Nie musisz nic robić.
Masz serwer VPS lub dedykowany? Zaktualizuj PHP samodzielnie.
Na takim serwerze oprogramowaniem, w tym PHP, zarządzasz sam, dlatego nie zainstalujemy poprawek za Ciebie. Trwale usunąć podatności może tylko aktualizacja PHP.
- Sprawdź, której wersji PHP używasz, np. poleceniem php -v. Jeśli na serwerze działa kilka wersji PHP, sprawdź każdą z nich.
- Zaktualizuj PHP do wersji z poprawkami podanej w tabeli. Użyj pakietów swojej dystrybucji systemu lub panelu do zarządzania serwerem, np. Plesk.
- Uruchom ponownie PHP-FPM lub serwer WWW, aby nowa wersja zaczęła działać.
- Sprawdź ponownie wersję PHP i upewnij się, że numer zgadza się z tabelą.
Jak sprawdzić wersję PHP?
- W Panelu klienta: Usługi WWW > nazwa hostingu > Serwer WWW. Widać tu wersję domyślną dla całego hostingu, ale poszczególne strony mogą korzystać z innej. Zobacz instrukcję.
- Za pomocą phpinfo: pokazuje, z której wersji PHP korzysta konkretna strona. Zobacz instrukcję.
- W WordPressie: Narzędzia > Zdrowie witryny > Informacje > Serwer.
- Na serwerze VPS lub dedykowanym: poleceniem php -v.
Starsze wersje PHP
Strony działające na PHP 8.1 i starszym, korzystające z usługi Wsparcie starszych wersji PHP także otrzymały poprawki bezpieczeństwa.
Niezależnie od tej aktualizacji zalecamy korzystanie z wersji PHP wspieranej przez twórców. Wspierane wersje jako pierwsze otrzymują poprawki bezpieczeństwa.
Wsparcie dla PHP 8.2 kończy się 31 grudnia 2026. Jeśli planujesz zmianę wersji, wybierz PHP 8.3 lub nowszą.
Uważaj na phishing
Najczęstsze pytania
Czytaj więcej
- Aktualizacja zabezpieczeń PHP w home.pl zakończona
- Prace związane z bezpieczeństwem: możliwe krótkotrwałe przerwy w działaniu usług opartych na PHP
- Krytyczne podatności w PHP. Aktualizacja ważna dla bezpieczeństwa stron, sklepów i aplikacji
- Dlaczego powinienem aktualizować wersję interpretera PHP?
