Internet stanął przed jednym z najpoważniejszych wyzwań związanych z cyberbezpieczeństwem ostatnich lat. W popularnym języku programowania PHP wykryto dwie krytyczne podatności, które mogą umożliwić cyberprzestępcom przejęcie kontroli nad serwerami bez konieczności znajomości hasła. Zagrożenie jest na tyle poważne, że niektóre instytucje państwowe oraz duże organizacje zdecydowały się tymczasowo wyłączyć swoje strony internetowe. Problem może dotyczyć również milionów witryn opartych na WordPressie.
Informacje o krytycznych lukach w zabezpieczeniach PHP obiegły świat 21 października 2026 roku. O sprawie poinformowała między innymi brytyjska stacja BBC, wskazując na działania podejmowane przez administracje rządowe oraz organizacje odpowiedzialne za bezpieczeństwo cyfrowe.
Problemy dotyczą dwóch podatności oznaczonych jako CVE-2026-109618 oraz CVE-2026-109619. Obie otrzymały ocenę 9,2 w dziesięciostopniowej skali CVSS 4.0, co oznacza zagrożenie o krytycznym poziomie.
Co szczególnie niepokojące, nie są to błędy występujące w pojedynczej wtyczce, motywie czy systemie zarządzania treścią. Podatności znajdują się w samym mechanizmie PHP, który stanowi podstawę działania ogromnej części współczesnego internetu.
Spis treści
Rządy i duże organizacje zdecydowały się wyłączyć strony internetowe
Skala zagrożenia spowodowała podjęcie nietypowych działań prewencyjnych.
Według doniesień BBC fiński rząd zdecydował o czasowym wyłączeniu publicznych usług internetowych. Podobne środki ostrożności podjęła holenderska agencja ds. cyberbezpieczeństwa. Problemy dotknęły również strony związane z administracją Edynburga, a także niektóre serwisy BBC.
Nie oznacza to automatycznie, że witryny zostały zaatakowane. Ich wyłączenie było przede wszystkim działaniem zapobiegawczym, mającym ograniczyć ryzyko wykorzystania podatności przez cyberprzestępców.
To istotna różnica. Niedostępność strony internetowej nie musi oznaczać włamania. W przypadku tak poważnego zagrożenia administratorzy mogą świadomie zdecydować o przerwaniu dostępu do usług do czasu wdrożenia odpowiednich poprawek.
Na czym polegają wykryte luki bezpieczeństwa?
Obie podatności umożliwiają potencjalnie zdalne wykonanie kodu na zagrożonym serwerze. W branży cyberbezpieczeństwa mechanizm ten określa się skrótem RCE (Remote Code Execution).
Mówiąc prościej, odpowiednio przygotowane żądanie wysłane do serwera może doprowadzić do wykonania działań, których właściciel strony nigdy nie autoryzował.
W zależności od konfiguracji serwera, zastosowanych zabezpieczeń oraz uprawnień procesu PHP atakujący mógłby między innymi uzyskać dostęp do plików witryny, wykraść poufne informacje, zmodyfikować stronę lub zainstalować złośliwe oprogramowanie.
Pierwsza podatność, CVE-2026-109618, związana jest z nieprawidłową obsługą pamięci podczas przekroczenia jej limitu. Druga, CVE-2026-109619, dotyczy wykorzystywania przez PHP wewnętrznego stanu, który może pozostać po zwolnieniu powiązanej pamięci.
Co ważne, w niektórych konfiguracjach skuteczny atak nie wymaga zalogowania się do aplikacji. Twórcy PHP wskazują, że szczególnie niebezpieczna jest konfiguracja Apache z modułem mod_php, w której wykazano możliwość wyzwolenia ataku jeszcze przed rozpoczęciem wykonywania kodu aplikacji.
Sztuczna inteligencja pomogła odkryć zagrożenie
Jednym z najbardziej interesujących elementów całej sprawy jest sposób wykrycia luk.
Badacze firmy Wiz wykorzystali zaawansowane modele sztucznej inteligencji do analizy kodu PHP i opracowania metod wykorzystania odnalezionych błędów.
Według informacji opublikowanych przez Wiz niektóre problemy tkwiły w oprogramowaniu od wielu lat. Dopiero połączenie zaawansowanych narzędzi analitycznych z możliwościami AI pozwoliło wykazać, jak niebezpieczne mogą być w praktyce.
Firma poinformowała, że pierwszą z podatności odkryto 19 sierpnia 2026 roku. W kolejnych dniach badacze potwierdzili możliwość wykorzystania problemu między innymi w aplikacjach Drupal i WordPress. Następnie poinformowano zespół odpowiedzialny za rozwój PHP, umożliwiając przygotowanie poprawek przed publicznym ujawnieniem szczegółów.
To pokazuje, jak bardzo sztuczna inteligencja zmienia rynek cyberbezpieczeństwa. Technologie AI pomagają specjalistom odnajdywać błędy, które przez wiele lat pozostawały niewykryte. Jednocześnie podobne możliwości mogą w przyszłości wykorzystywać osoby przygotowujące cyberataki.
WordPress również jest zagrożony. Aktualizacja wtyczek nie wystarczy
Dla właścicieli stron opartych na WordPressie jest to szczególnie ważna informacja.
WordPress wykorzystuje PHP do obsługi swojego działania. Oznacza to, że nawet aktualna wersja WordPressa, najnowszy motyw i wszystkie zaktualizowane wtyczki nie zapewniają ochrony przed opisanymi lukami, jeżeli środowisko serwerowe korzysta z podatnej wersji PHP.
Nie jest to bowiem błąd WordPressa, lecz technologii, na której WordPress działa.
Oficjalny zespół WordPressa opublikował 21 października specjalny komunikat dotyczący zagrożenia. Wskazano w nim konieczność aktualizacji PHP oraz podkreślono, że z powodu tych konkretnych podatności nie jest planowana osobna aktualizacja samego WordPressa.
W praktyce oznacza to, że odpowiedzialność za wyeliminowanie zagrożenia spoczywa przede wszystkim na administratorach serwerów oraz dostawcach usług hostingowych. Właściciel strony powinien natomiast sprawdzić, czy korzysta z bezpiecznej wersji PHP i czy jego hosting wdrożył odpowiednie poprawki.
Które wersje PHP są bezpieczne?
21 października 2026 roku udostępniono poprawki bezpieczeństwa dla czterech wspieranych gałęzi PHP.
| Wersja PHP | Pierwsza wersja z poprawką |
|---|---|
| PHP 8.5 | 8.5.12 |
| PHP 8.4 | 8.4.27 |
| PHP 8.3 | 8.3.36 |
| PHP 8.2 | 8.2.35 |
Starsze wydania w tych gałęziach są podatne, jeśli nie otrzymały odpowiedniej poprawki dostawcy systemu. Jeszcze bardziej skomplikowana jest sytuacja użytkowników PHP 8.1 i wcześniejszych wersji, które nie otrzymują już standardowych aktualizacji bezpieczeństwa od projektu PHP.
Niektóre firmy hostingowe i dostawcy systemów Linux mogą zapewniać poprawki wsteczne, czyli zabezpieczenia wdrażane bez zmiany głównego numeru wersji PHP. Dlatego sama informacja o numerze wersji nie zawsze wystarcza do oceny bezpieczeństwa serwera.
Czy hosting powinien odpowiadać za bezpieczeństwo PHP?
W tym miejscu warto zwrócić uwagę na problem, który często umyka właścicielom stron internetowych.
Większość przedsiębiorców korzystających ze współdzielonych usług hostingowych nie ma możliwości samodzielnego instalowania poprawek w interpretorze PHP. Za zarządzanie środowiskiem serwerowym odpowiada dostawca hostingu.
Oczywiście właściciel strony może często zmienić wersję PHP w panelu klienta. Nie oznacza to jednak, że ma wpływ na sposób jej kompilacji, aktualizowania czy zabezpieczania.
Dlatego w przypadku tak poważnego zagrożenia kluczowe znaczenie ma reakcja firm hostingowych.
Moim zdaniem klient nie powinien być zmuszony do samodzielnego analizowania szczegółów technicznych podatności, aby ustalić, czy jego strona jest bezpieczna. To dostawca usług powinien jasno poinformować, czy zagrożenie dotyczy jego infrastruktury, jakie działania zostały podjęte i czy konieczna jest jakakolwiek reakcja po stronie klienta.
Szczególnie ważna jest przejrzystość komunikacji. Ogólnikowe zapewnienia o stosowaniu zaawansowanych zabezpieczeń nie zastępują informacji o rzeczywistym wdrożeniu poprawek.
Trzeba przy tym odróżnić hosting zarządzany od serwera VPS lub dedykowanego administrowanego samodzielnie. W tym drugim przypadku obowiązek aktualizacji PHP może spoczywać bezpośrednio na właścicielu lub administratorze serwera.
Co powinien zrobić właściciel strony internetowej?
Najważniejszym działaniem jest sprawdzenie wersji PHP oraz potwierdzenie, że dostawca hostingu wdrożył poprawki usuwające opisane luki bezpieczeństwa.
Właściciele witryn WordPress mogą sprawdzić podstawowe informacje o środowisku serwerowym bezpośrednio w panelu administracyjnym.
W tym celu należy przejść do sekcji Narzędzia → Stan witryny → Informacje → Serwer, gdzie wyświetlana jest między innymi wersja PHP.
Warto jednak pamiętać, że numer wersji widoczny w panelu nie zawsze potwierdza status poprawek bezpieczeństwa. W przypadku wątpliwości konieczny jest kontakt z firmą hostingową.
Dobrym rozwiązaniem jest również wykonanie aktualnej kopii zapasowej strony, sprawdzenie działania formularzy, sklepu internetowego i pozostałych istotnych funkcjonalności po zmianie środowiska PHP.
Nie należy natomiast zakładać, że zainstalowanie kolejnej wtyczki zabezpieczającej WordPressa rozwiąże problem. Nawet zaawansowany firewall aplikacyjny nie zastąpi poprawki usuwającej błąd w samym interpreterze PHP.
Twórcy PHP podkreślają, że działania ograniczające ryzyko nie dają pełnej ochrony. Właściwym rozwiązaniem jest wdrożenie poprawionej wersji oprogramowania.
Czy zagrożenie oznacza, że wszystkie strony internetowe mogą zostać przejęte?
Nie. I warto to wyraźnie podkreślić.
Fakt wykrycia krytycznej podatności w popularnej technologii nie oznacza automatycznie, że wszystkie wykorzystujące ją strony zostały zaatakowane lub że każda konfiguracja umożliwia identyczny sposób wykorzystania luki.
Ryzyko zależy od wielu czynników, w tym zastosowanej wersji PHP, sposobu konfiguracji serwera, mechanizmów izolacji poszczególnych kont oraz wdrożonych poprawek.
Nie zmienia to jednak powagi sytuacji. CERT-EU potwierdził, że pojawiły się już demonstracyjne metody wykorzystania podatności, a szczegóły techniczne zostały upublicznione. Zwiększa to prawdopodobieństwo prób atakowania serwerów, które nie zostały jeszcze zabezpieczone.
Prawdziwy test dla firm hostingowych dopiero się zaczyna
Cała sytuacja po raz kolejny pokazuje, jak silnie bezpieczeństwo stron internetowych zależy od infrastruktury, której przeciętny użytkownik nawet nie widzi.
Można mieć świetnie przygotowaną stronę, regularnie aktualizować WordPressa, stosować silne hasła i uwierzytelnianie dwuskładnikowe, a mimo to pozostawać narażonym na atak wynikający z błędów w oprogramowaniu serwera.
Nie oznacza to, że dotychczasowe zabezpieczenia są bezwartościowe. Wręcz przeciwnie – wszystkie te elementy nadal mają ogromne znaczenie. Trzeba jednak rozumieć, że bezpieczeństwo strony internetowej to nie tylko WordPress, wtyczki i hasło administratora.
To również PHP, serwer WWW, system operacyjny, konfiguracja usług i jakość obsługi technicznej.
Właśnie dlatego przy wyborze hostingu warto zwracać uwagę nie tylko na cenę, pojemność dysku czy deklarowaną szybkość działania, ale również na sposób reagowania na poważne incydenty bezpieczeństwa.
W mojej ocenie najbliższe dni pokażą, którzy dostawcy usług hostingowych potrafią szybko i odpowiedzialnie zarządzać zagrożeniami, a którzy ograniczają się jedynie do marketingowych deklaracji.
Jedno jest pewne: krytyczne luki w PHP nie są problemem, który można rozwiązać samą aktualizacją WordPressa. W tym przypadku kluczowe znaczenie ma bezpieczeństwo środowiska serwerowego.
Potrzebujesz prostej strony internetowej, a może opieki nad już istniejącą?
Pomagam w tworzeniu czytelnych stron WordPress oraz dbam o ich bezpieczeństwo, aktualizacje i sprawne działanie. Bez zbędnych komplikacji, za to z realnym wsparciem i doradztwem dopasowanym do Twoich potrzeb. Skontaktuj się i zobacz, co da się zrobić.
