Krótka odpowiedź: 21 października 2026 r. ujawniono dwie krytyczne luki w PHP (CVE-2026-109618 i CVE-2026-109619, nazwane PHP2Shell). Jeśli Twoja strona działa na WordPressie, Joomli, WooCommerce albo innym systemie opartym na PHP, poproś hosting o potwierdzenie, że PHP zaktualizowano co najmniej do wersji 8.2.35, 8.3.36, 8.4.27 lub 8.5.12.
W ostatnich dniach świat cyberbezpieczeństwa postawiono w stan podwyższonej gotowości. W PHP, technologii, na której działają miliony stron internetowych, odkryto dwie krytyczne luki. Zagrożenie okazało się na tyle poważne, że część instytucji publicznych w Polsce tymczasowo wyłączyła swoje serwisy.
Problem może dotyczyć również zwykłych stron firmowych, sklepów internetowych i witryn na WordPressie. Poniżej wyjaśniam bez technicznego żargonu, co się wydarzyło, czy dane Twoich klientów mogą być zagrożone i jak sprawdzić, czy Twoja strona jest zabezpieczona.
Dlaczego w Polsce wyłączono strony internetowe?
21 października 2026 roku CERT Polska opublikował ostrzeżenie o dwóch krytycznych podatnościach w PHP, oznaczonych jako CVE-2026-109618 oraz CVE-2026-109619. Odkrywcy nazwali problem PHP2Shell.
Obie luki oceniono na 9,2 punktu w skali CVSS 4.0, która służy do oceny powagi podatności i kończy się na 10.
Najbardziej niepokojące jest to, że w określonych warunkach atakujący może zdalnie wykonywać polecenia na podatnym serwerze, bez znajomości loginu czy hasła.
Następnego dnia, 22 października, Ministerstwo Cyfryzacji poinformowało o prewencyjnym wyłączeniu stron Biuletynu Informacji Publicznej działających w systemie SSDIP. Decyzję podjęto, żeby wdrożyć zabezpieczenia. Nie oznacza to, że wyłączone strony zostały zaatakowane ani że doszło do wycieku danych.
Podobne środki ostrożności podjęto za granicą. Holenderskie Narodowe Centrum Cyberbezpieczeństwa (NCSC) tymczasowo wyłączyło własną witrynę.
Kolejne analizy wskazały, że wykorzystanie luk jest trudniejsze, niż początkowo zakładano, a holenderskie NCSC obniżyło ocenę ryzyka masowych ataków. CERT Polska odnotował jednak już pierwsze próby takich ataków. Podstawowe zalecenie ekspertów się nie zmieniło: podatne instalacje PHP trzeba jak najszybciej zaktualizować.
Cała sytuacja pokazuje, że nawet bardzo popularne technologie mogą latami zawierać poważne błędy, których nikt nie zauważył.
Czym jest PHP i dlaczego problem może dotyczyć Twojej firmy?
Jeśli nie zajmujesz się tworzeniem stron, nazwa PHP może niewiele Ci mówić. Najprościej wyobrazić sobie stronę internetową jako restaurację.
To, co widzi klient, czyli wygląd strony, zdjęcia, przyciski i formularze, to sala restauracyjna. PHP to część zaplecza, w której realizuje się zamówienia i przetwarza informacje. Może odpowiadać między innymi za:
- logowanie użytkowników,
- przetwarzanie formularzy kontaktowych,
- działanie koszyka w sklepie internetowym,
- komunikację z bazą danych,
- wyświetlanie dynamicznej zawartości strony.
Na PHP działają popularne systemy zarządzania treścią, takie jak WordPress i Joomla, a także sklepy WooCommerce. Problem nie ogranicza się więc do dużych portali czy systemów instytucji publicznych. Może dotyczyć również niewielkiej strony lokalnej firmy, sklepu internetowego czy strony usługowej.
Nie znaczy to, że każda witryna na PHP została zhakowana albo pozostaje podatna. Liczy się zainstalowana wersja PHP, wdrożone poprawki i konfiguracja serwera.
Co haker może zrobić, wykorzystując lukę?
Wyobraź sobie, że prowadzisz sklep internetowy. Na stronie są informacje o klientach, historia zamówień i adresy dostawy. Do zarządzania nimi zwykle potrzebne są uprawnienia, ale niektóre podatności pozwalają ominąć część zabezpieczeń.
W przypadku PHP2Shell zagrożenie polega na tym, że osoba nieuprawniona może wykonać polecenia na podatnym serwerze. W zależności od konfiguracji i uprawnień skuteczny atak może prowadzić do:
- dostępu do poufnych informacji,
- zmiany zawartości strony,
- umieszczenia na niej złośliwego oprogramowania,
- wykorzystania serwera do kolejnych ataków,
- zakłócenia działania serwisu lub sklepu.
Nie każdy atak kończy się przejęciem całego serwera i nie każdy oznacza wyciek danych klientów. Możliwe skutki są jednak na tyle poważne, że nie warto ignorować takich ostrzeżeń, zwłaszcza jeśli strona przyjmuje zamówienia, przechowuje dane klientów albo jest ważnym źródłem nowych zleceń.
Czy WordPress jest zagrożony?
WordPress to jeden z najpopularniejszych systemów do budowy stron. Wiele firm korzysta z niego, nawet o tym nie wiedząc, bo konfiguracją zajmowała się agencja albo programista.
WordPress działa na PHP, więc luki w PHP mają znaczenie także dla stron na WordPressie.
Dlatego dbanie o stronę to nie tylko zmiany wyglądu i nowe treści, ale też kontrola technologii, na których działa. Jeśli rozważasz zmianę technologii, porównałem obie drogi w tekście Next.js czy WordPress na stronę firmową.
Jak sprawdzić, czy Twoja strona jest bezpieczna?
Nie musisz być programistą, żeby wykonać kilka podstawowych kroków.
1. Sprawdź, czy strona korzysta z PHP
Jeśli używasz WordPressa, Joomli lub WooCommerce, PHP na pewno jest częścią Twojej strony. W innych przypadkach zapytaj wykonawcę strony albo dostawcę hostingu.
2. Sprawdź wersję PHP
Wersję PHP zwykle znajdziesz w panelu hostingu. W WordPressie wejdź w Narzędzia → Stan witryny → Informacje → Serwer.
21 października 2026 roku wydano wersje z poprawkami obu luk:
| Linia PHP | Wersja z poprawkami |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Jeśli strona działa na starszej wersji, sprawdź z hostingiem, czy wdrożono poprawki. Niektórzy dostawcy łatają własne pakiety bez zmiany numeru wersji, więc sam numer nie zawsze przesądza o bezpieczeństwie. Starsze, niewspierane wersje PHP (np. 7.4, 8.0, 8.1) nie dostają regularnych aktualizacji, więc warto zaplanować przejście na wspieraną wersję.
3. Napisz do dostawcy hostingu
To najprostszy sposób weryfikacji. Możesz wysłać taką wiadomość:
Przy hostingu zarządzanym dostawca mógł już wdrożyć zabezpieczenia.
4. Zaktualizuj WordPressa i wtyczki
Nawet po zabezpieczeniu PHP strona może mieć inne luki. Sprawdź, czy:
- WordPress jest aktualny,
- wszystkie używane wtyczki dostają aktualizacje,
- niepotrzebne wtyczki zostały usunięte,
- motyw strony jest aktualny,
- dostęp do panelu administratora jest dobrze chroniony.
Przed większymi aktualizacjami zrób kopię zapasową i sprawdź, czy da się ją przywrócić.
5. Rozważ audyt bezpieczeństwa
Aktualizacje są konieczne, ale nie rozwiązują wszystkiego. Strona może działać na najnowszym oprogramowaniu i mimo to mieć niebezpieczną konfigurację, źle zabezpieczone formularze albo błędy w przechowywaniu danych. Dlatego warto co jakiś czas zlecić przegląd bezpieczeństwa.
Strona może ujawniać dane, nawet jeśli PHP jest aktualne
Luki w PHP to tylko jeden rodzaj zagrożenia. Innym, często niedocenianym problemem są pliki, które przez pomyłkę są dostępne publicznie.
Przy budowie strony programista korzysta z plików konfiguracyjnych. Niektóre zawierają hasła do baz danych, klucze do zewnętrznych usług albo informacje o infrastrukturze. Przykładem jest plik .env, który nigdy nie powinien być dostępny dla osób z zewnątrz.
Przy błędnej konfiguracji serwera taki plik da się po prostu pobrać, nawet jeśli na stronie nie ma do niego żadnego linku. Odwiedzający nie wiedzą o jego istnieniu, ale automatyczne skanery sprawdzają takie adresy masowo. To samo dotyczy przypadkowo udostępnionych kopii zapasowych i plików projektu.
To inny problem niż PHP2Shell, ale dobrze pokazuje, że bezpieczeństwo strony to więcej niż aktualizacje. Dobry audyt sprawdza zarówno aktualność technologii, jak i to, jak zabezpieczona jest cała aplikacja.
5 rzeczy, które chronią stronę internetową
Nie da się wyeliminować wszystkich zagrożeń, ale kilka podstawowych działań wyraźnie zmniejsza ryzyko.
- Regularnie aktualizuj oprogramowanie. Nie tylko WordPressa, ale też PHP, wtyczki, motywy i resztę systemu.
- Rób kopie zapasowe. Trzymaj je w bezpiecznym miejscu, niedostępnym publicznie, i regularnie sprawdzaj, czy da się z nich odtworzyć stronę.
- Zabezpiecz konta administratorów. Unikalne hasła, logowanie dwuskładnikowe tam, gdzie się da, i osobne konto dla każdej osoby.
- Ogranicz dostęp do wrażliwych danych. Pliki konfiguracyjne i kopie baz danych nie mogą być publiczne, a każdy powinien mieć tylko te uprawnienia, których naprawdę potrzebuje.
- Regularnie sprawdzaj bezpieczeństwo. Nowe luki pojawiają się cały czas, a każda aktualizacja czy zmiana konfiguracji może coś zmienić. Wcześnie wykryty problem zwykle kosztuje dużo mniej.
Czy małe firmy też powinny się obawiać?
Wielu przedsiębiorców zakłada, że ich firma jest za mała, żeby zainteresowali się nią cyberprzestępcy. To niebezpieczne przekonanie.
Wiele ataków nie jest wymierzonych w konkretną firmę. Automatyczne programy przeszukują internet w poszukiwaniu stron z podatną technologią albo błędną konfiguracją. Dla takiego programu nie ma znaczenia, czy strona należy do korporacji, czy do lokalnego salonu kosmetycznego.
Dla małej firmy skutki bywają szczególnie dotkliwe. Niedziałający sklep to utracone zamówienia, zainfekowana strona odstrasza klientów, a wyciek danych osobowych oznacza dodatkowe obowiązki prawne i utratę zaufania. Bezpieczeństwo strony to element odpowiedzialnego prowadzenia firmy, a nie tylko sprawa programistów.
Nie czekaj na pierwszy incydent
Październikowe luki w PHP pokazują, jak szybko zmienia się sytuacja. Technologia, która kilka dni wcześniej działała bez zastrzeżeń, nagle wymaga pilnej aktualizacji.
Nie trzeba panikować. Warto natomiast sprawdzić, czy oprogramowanie jest aktualne i kto odpowiada za jego bezpieczeństwo. Jeśli prowadzisz stronę firmową, sklep albo aplikację z danymi klientów, upewnij się, że aktualizacje, kopie zapasowe i przeglądy bezpieczeństwa są stałą częścią jej utrzymania. Na tym polega opieka techniczna nad stroną.
Strona nie musi przestać działać, żeby mieć poważny problem z bezpieczeństwem.
Chcesz sprawdzić stan techniczny swojej strony?
Buduję i rozwijam strony oraz aplikacje internetowe dla firm. Jeśli nie masz pewności, czy Twoja strona wymaga aktualizacji, zmian albo dodatkowych zabezpieczeń, napisz do mnie. Pomogę ustalić, co warto zrobić, żeby działała bezpiecznie i bez przerw.
Źródła
- CERT Polska: krytyczne podatności PHP2Shell, 21 października 2026
- Ministerstwo Cyfryzacji: komunikat o lukach w PHP, 22 października 2026
- PHP.net: oficjalne komunikaty o wydaniach bezpieczeństwa
- NCSC Holandia: aktualizacja oceny zagrożenia, 23 października 2026
Stan informacji na 24 października 2026 roku.
Web developer z Warszawy. Buduję aplikacje webowe, systemy CRM i strony dla firm — od projektu po wdrożenie, bez podwykonawców.
