Krytyczna aktualizacja PHP: co oznacza dla Twojej strony i sklepu?

21 października 2026 roku twórcy PHP wydali krytyczną aktualizację bezpieczeństwa. PHP to język, na którym działa większość stron internetowych i sklepów, w tym WordPress, PrestaShop i Concrete CMS. Aktualizacja łata dwie poważne luki obecne w wersjach PHP od 5.4 do 8.5. Dostały one ocenę 9,2 na 10 w skali zagrożenia, bo pozwalają przejąć serwer strony bez znajomości jakiegokolwiek hasła. Pierwsze próby ataków odnotowano już 17 października, cztery dni przed oficjalnym ogłoszeniem.

Jeśli masz stronę lub sklep, ta informacja dotyczy także Ciebie. Nie dlatego, że z Twoją stroną dzieje się coś złego, ale dlatego, że bezpieczeństwo w internecie nie jest stanem, który osiąga się raz na zawsze.

Co się stało i dlaczego dotyczy tak wielu stron?

PHP to silnik, na którym jeździ Twoja strona. Klient go nie widzi, widzi tylko wygląd, ofertę i koszyk. Ale to właśnie PHP przyjmuje zamówienia, wysyła formularze i pobiera produkty z bazy. Według W3Techs PHP obsługuje ok. 70% stron, których język serwera da się rozpoznać.

W tym silniku znaleziono dwie luki. Obie pozwalają osobie z zewnątrz uruchomić na serwerze własne polecenia. Nie trzeba do tego znać hasła ani mieć konta w panelu. Specjaliści od bezpieczeństwa nazwali je PHP2Shell. Ta nazwa może pojawić się na przykład w mailu od firmy hostingowej, ale dla właściciela strony liczy się jedno: czy jego strona działa już na wersji PHP z poprawką.

Które wersje PHP dostały poprawkę?

Źródło: php.net, Supported Versions.

Dlaczego tej aktualizacji nie warto odkładać?

Większość luk wymaga od atakującego jakiegoś "wejścia": konta, hasła albo konkretnego modułu. Tutaj wystarczy, że strona działa na PHP w starszej wersji. Do tego dochodzą trzy fakty:

• Ataki zaczęły się przed ogłoszeniem. Amazon zarejestrował pierwszą próbę 17 października, cztery dni przed publikacją poprawek.
• Luki są wykorzystywane naprawdę. Amerykańska agencja CISA dopisała je do listy luk aktywnie używanych przez przestępców.
• W sieci krąży mnóstwo "narzędzi do ataku". Część działa, część to podróbki, ale sam ich wysyp pokazuje, jak duże jest zainteresowanie.

Nie wiesz, na jakiej wersji PHP działa Twoja strona lub sklep? Sprawdzimy to za Ciebie.

Napisz do nas

Co może stracić firma, gdy ktoś przejmie serwer?

Przejęty serwer rzadko wygląda jak w filmach. Strona często działa dalej, a właściciel przez tygodnie niczego nie zauważa. W tym czasie atakujący może:

• pobrać dane klientów: imiona, adresy, telefony, historię zamówień (a to już sprawa dla RODO),
• podmienić formularz płatności albo numer konta na fakturach,
• wysyłać spam z Twojej domeny, przez co Twoje maile zaczną trafiać do folderu SPAM u klientów,
• dodać ukryte strony z linkami, przez które Google oznaczy witrynę jako niebezpieczną,
• zaszyfrować pliki i zażądać okupu.

Każdy z tych scenariuszy kosztuje więcej niż regularna opieka. O tym, jak takie włamania wyglądają w praktyce, pisaliśmy we wpisie Ataki na sklepy PrestaShop 2026. Co widzimy z frontu?, a o podszywaniu się pod firmową domenę w artykule Prawdziwe dane, podszyta domena.

Czy wystarczy raz zaktualizować PHP?

Nie. Ta aktualizacja to tylko jedna z wielu, które co roku pojawiają się w oprogramowaniu stron. Strona internetowa przypomina samochód: jednorazowy przegląd nie wystarczy na całe życie auta. Bezpieczeństwo to kilka elementów, których trzeba pilnować jednocześnie: wersja PHP, system CMS, moduły i wtyczki, certyfikat SSL, logowanie do panelu i kopie zapasowe.

Kilka pytań, które warto sobie zadać

• Czy wiesz, na jakiej wersji PHP działa Twoja strona i do kiedy dostaje ona poprawki? (PHP 8.2 dostaje je tylko do końca 2026 roku. Więcej w artykule o przejściu na nowszą wersję PHP.)
• Kiedy ostatnio aktualizowany był system Twojej strony lub sklepu i jego moduły?
• Kto u Ciebie pilnuje certyfikatu SSL, który od 2026 roku trzeba wymieniać częściej? (Krótsza ważność certyfikatów SSL)
• Czy logowanie do panelu jest chronione drugim składnikiem? (Zabezpieczenie 2FA)
• Czy ktoś widzi, kiedy na stronę wchodzi nietypowy ruch, np. boty? (Boty a sklep PrestaShop)

Jeśli na któreś pytanie odpowiedź brzmi "nie wiem", to dobry moment, żeby to sprawdzić. Aktualizacje PHP i systemu najlepiej powierzyć specjalistom: nowa wersja PHP potrafi wymagać dostosowania modułów, a zmiany trzeba najpierw przetestować, żeby sklep działał bez przerwy w sprzedaży.

Dlaczego warto powierzyć bezpieczeństwo strony Silnet Media?

• Ponad 26 lat doświadczenia w tworzeniu i utrzymaniu stron oraz sklepów internetowych.
• Ponad 1000 realizacji, w tym sklepy na PrestaShop i strony na Concrete CMS.
• Ponad 400 opinii w Google ze średnią 4,9.
• Opieka techniczna, w której aktualizacje, SSL i bezpieczeństwo są naszym zadaniem, nie Twoim.

Chcesz mieć pewność, że Twoja strona lub sklep jest na bieżąco zabezpieczony?

Porozmawiajmy o opiece technicznej

Najczęściej zadawane pytania o aktualizację PHP

Źródła: W3Techs, Usage statistics of server-side programming languages (sierpień 2026); W3Techs, Usage statistics of PHP (sierpień 2026); watchTowr, PHP2Shell FAQ (październik 2026); Amazon Threat Intelligence, PHP2Shell exploitation in MadPot (październik 2026); The Hacker News, CISA Confirms Active Exploitation of Two PHP2Shell Flaws (październik 2026); php.net, Supported Versions.