21.10.2026

Krytyczne luki w PHP: jak zabezpieczyć stronę WordPress?

Serwer PHP z tarczą ostrzegawczą — bezpieczeństwo strony i aktualizacje

Krytyczne luki w PHP skłoniły europejskie instytucje do czasowego wyłączania serwisów. Co to oznacza dla firmowej strony, sklepu internetowego i WordPressa? 21 października 2026 r. opublikowano poprawki dla dwóch podatności: CVE-2026-109618 oraz CVE-2026-109619. Właściciel witryny powinien teraz uzyskać od hostingu potwierdzenie, że zabezpieczono środowisko obsługujące jego domenę. Wspólny komunikat europejskich instytucji zaleca pilne działanie, ze szczególnym uwzględnieniem usług dostępnych z internetu.

Stan informacji: 21 października 2026 r. Artykuł dotyczy podatności oprogramowania PHP, a nie komunikatu WordPressa „W witrynie wystąpił błąd krytyczny”.

Co wiadomo o krytycznych lukach w PHP?

Obie podatności mogą umożliwić zdalne wykonanie kodu bez uwierzytelnienia. Oznacza to możliwość uruchomienia przez napastnika kodu na podatnym serwerze bez wcześniejszego zalogowania. CERT-EU wskazuje dla obu luk ocenę 9,2 w skali CVSS. Rzeczywista możliwość wykorzystania zależy jednak od środowiska i konfiguracji.

CVE-2026-109618 wiąże się z nieprawidłową obsługą sytuacji, w której zabraknie pamięci. PHP może wówczas przetwarzać wewnętrzne dane żądania, które nie zostały prawidłowo przygotowane.
CVE-2026-109619 dotyczy pozostawionego stanu wewnętrznego po zwolnieniu pamięci wcześniejszego żądania. Kolejne żądanie obsługiwane przez ten sam proces może odwołać się do nieaktualnych danych.

Problem wykracza poza konkretny CMS. Zespół PHP wymienia instalacje obsługujące ruch WWW, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Najwyższe ryzyko przypisuje mod_php; w takim środowisku pokazano atak uruchamiany przed wykonaniem kodu aplikacji.

Dlaczego instytucje w Europie wyłączyły strony?

Część przerw była działaniem zapobiegawczym. Holenderski rząd poinformował o czasowym wyłączeniu wybranych serwisów w związku z lukami w PHP. Sam fakt niedostępności strony nie przesądza więc o włamaniu ani wycieku.

Europejski Urząd Patentowy również potwierdził prewencyjne wyłączenie części portali, a następnie poinformował o instalacji poprawek i stopniowym przywracaniu usług. To przykład reakcji polegającej na ograniczeniu ekspozycji do czasu aktualizacji.

Aktualizacja PHP: które wersje zawierają poprawki?

Zespół PHP opublikował następujące wydania naprawiające obie podatności:

PHP 8.2 — 8.2.35;
PHP 8.3 — 8.3.36;
PHP 8.4 — 8.4.27;
PHP 8.5 — 8.5.12.

Są to wersje zawierające poprawki według komunikatu z 21 października. Dostawcy systemów mogą udostępniać także pakiety z poprawką przeniesioną do starszej wersji, czyli backportem. Dlatego poproś hosting o potwierdzenie usunięcia obu konkretnych CVE, zamiast opierać się wyłącznie na numerze widocznym w panelu. PHP 8.1 i starsze nie otrzymują już standardowych aktualizacji projektu PHP; dostępność poprawek dostawcy trzeba sprawdzić osobno.

Masz WordPressa? Sprawdź PHP na hostingu

WordPress korzysta z PHP, a jego panel pozwala odczytać wersję środowiska. Przejdź do Narzędzia → Stan witryny → Informacja → Serwer i znajdź pozycję dotyczącą PHP. Ten ekran pokazuje konfigurację; nie służy do aktualizacji serwera.

Aktualizacja WordPressa, motywu czy wtyczki jest odrębną czynnością od aktualizacji PHP. Sam poprawny wygląd witryny również nie potwierdza załatania podatności. Dla właściciela firmy najpraktyczniejszym krokiem jest zgłoszenie do administratora lub hostingu z prośbą o weryfikację konkretnej domeny.

Co zrobić teraz? Lista dla właściciela strony

Ustal zakres. Spisz domeny, subdomeny, sklepy i pozostałe aplikacje korzystające z PHP. ENISA zwraca uwagę także na produkty, które używają PHP w tle.
Skontaktuj się z hostingiem. Zapytaj o CVE-2026-109618 i CVE-2026-109619 oraz potwierdzenie wdrożenia poprawek dla Twoich usług.
Uzgodnij aktualizację i odbiór. Przed zmianą przygotuj kopię plików i bazy oraz sposób odtworzenia. Po zmianie sprawdź formularze, logowanie i najważniejsze procesy biznesowe. To proponowana lista odbioru, którą warto przekazać wykonawcy.
Gdy poprawki nie można wdrożyć od razu, oceń ograniczenie dostępu. CERT-EU zaleca rozważenie izolacji publicznie dostępnych aplikacji do czasu zastosowania i sprawdzenia poprawki. Decyzję uzgodnij z administratorem.

Najczęstsze pytania o luki w PHP

Czy wtyczka bezpieczeństwa WordPress zastąpi aktualizację PHP?

Nie należy traktować jej jako zamiennika poprawki środowiska. Zespół PHP podkreśla, że działania tymczasowe ograniczają wybrane ścieżki ataku, a pełne usunięcie podatności wymaga aktualizacji.

Czy brak ostrzeżenia w panelu oznacza, że strona jest zabezpieczona?

Nie jest to wystarczający dowód. Poproś dostawcę o potwierdzenie poprawek dla obu CVE w środowisku obsługującym Twoją domenę. To praktyczny sposób realizacji zalecanej przez ENISA współpracy z dostawcami usług.

Czy trzeba wyłączyć każdą stronę korzystającą z PHP?

Zalecenie CERT-EU dotyczy rozważenia izolacji usług wtedy, gdy nie można szybko zastosować poprawki. Decyzja zależy od aktualnego zabezpieczenia środowiska i oceny administratora; nie jest automatycznym nakazem wyłączenia wszystkich stron.

Potrzebujesz pomocy przy firmowej stronie?

Nie musisz samodzielnie administrować serwerem. Przy zlecaniu prac określ domenę, używany CMS i oczekiwany wynik: potwierdzenie poprawek, kopię przed zmianą oraz sprawdzenie działania strony. Nie wpisuj haseł ani kluczy dostępowych do publicznego ogłoszenia.

W AltanaCrew możesz przejrzeć kategorię IT i internet lub dodać zlecenie dotyczące aktualizacji strony. Zakres prac i kompetencje konkretnego wykonawcy ustal przed rozpoczęciem współpracy.