Krytyczne luki bezpieczeństwa w PHP

2026-10-21

Poważne zagrożenie dla stron internetowych

21 października 2026 r.

Administratorzy serwerów i właściciele stron internetowych otrzymali poważne ostrzeżenie dotyczące bezpieczeństwa języka programowania PHP. Wykryto dwie krytyczne podatności, które mogą umożliwić cyberprzestępcom zdalne wykonanie złośliwego kodu na podatnych serwerach.

Problem może dotyczyć wielu popularnych platform internetowych, w tym WordPress, Joomla, Drupal oraz Magento.

Dwie krytyczne podatności w PHP

Zidentyfikowane luki bezpieczeństwa oznaczono jako CVE-2026-109618 oraz CVE-2026-109619. Według ostrzeżenia CERT-EU obie otrzymały ocenę 9,2/10 w skali CVSS, co wskazuje na bardzo wysoki poziom zagrożenia.

Największym niebezpieczeństwem jest możliwość zdalnego wykonania kodu (Remote Code Execution – RCE), potencjalnie bez konieczności wcześniejszego uwierzytelnienia.

Skuteczny atak może doprowadzić do:

  • przejęcia kontroli nad podatną aplikacją lub serwerem;

  • kradzieży danych użytkowników i informacji z baz danych;

  • modyfikacji lub usunięcia zawartości stron internetowych;

  • instalacji złośliwego oprogramowania;

  • wykorzystania zaatakowanego serwera do kolejnych cyberataków.

Zakres możliwych skutków zależy od konfiguracji serwera oraz uprawnień, z jakimi uruchamiany jest PHP.

Kto jest zagrożony?

PHP jest jednym z najczęściej wykorzystywanych języków programowania w aplikacjach internetowych. Wstępne ostrzeżenia wskazują na potencjalne zagrożenie obejmujące wersje PHP od 5 wzwyż, jednak dokładną listę podatnych wydań należy potwierdzić w oficjalnych komunikatach.

Szczególną ostrożność powinni zachować administratorzy hostingów, sklepów internetowych, firmowych witryn WWW oraz systemów zarządzania treścią (CMS).

Aktualizacja samego WordPressa lub innego CMS-a nie oznacza automatycznie aktualizacji PHP, ponieważ jest ono niezależnym składnikiem środowiska serwerowego.

Jak zabezpieczyć serwer?

Administratorzy powinni niezwłocznie podjąć następujące działania:

  1. Sprawdzić wersję PHP – ustalić, jakie wersje działają na serwerze i które aplikacje z nich korzystają.

  2. Zainstalować poprawki bezpieczeństwa – zastosować oficjalne aktualizacje PHP niezwłocznie po ich udostępnieniu.

  3. Zaktualizować aplikacje internetowe – zweryfikować dostępność poprawek dla CMS-ów, sklepów i pozostałego oprogramowania.

  4. Przeanalizować logi serwera – sprawdzić, czy nie wystąpiły nietypowe żądania, nieautoryzowane operacje lub zmiany plików.

  5. Ograniczyć dostęp do zagrożonych usług – jeżeli aktualizacja nie jest możliwa, rozważyć czasowe odizolowanie podatnych aplikacji od Internetu.

Niektóre tymczasowe rozwiązania konfiguracyjne mogą ograniczać ryzyko, ale nie zastępują instalacji oficjalnych poprawek bezpieczeństwa.

Aktualizacje i oficjalne komunikaty

Zespół PHP zaplanował publikację poprawek na 21 października 2026 r. Administratorzy powinni zweryfikować dostępność naprawionych wersji i jak najszybciej wdrożyć odpowiednie aktualizacje.

Wiarygodne informacje o zagrożeniu można znaleźć w oficjalnych źródłach:

Podsumowanie

Wykryte podatności stanowią poważne zagrożenie dla bezpieczeństwa infrastruktury internetowej. Możliwość zdalnego wykonania kodu oznacza ryzyko utraty poufnych danych, naruszenia integralności witryn oraz przejęcia kontroli nad podatnymi usługami.

Zalecamy wszystkim administratorom pilną weryfikację wersji PHP oraz wdrożenie aktualizacji bezpieczeństwa. W przypadku systemów firmowych i sklepów internetowych działania te powinny być traktowane priorytetowo.

Źródła: CERT-EU, NCSC, PHP.net. Stan informacji: 21.10.2026 r.