PHP załatało dwie krytyczne luki pozwalające przejąć serwer bez logowania. Zagrożone są miliony stron na świecie. W Megaserwerze aktualizacje wdrożyliśmy tego samego dnia — nie musisz nic robić.
21 października 2026 roku zespół PHP opublikował poprawki dwóch krytycznych luk bezpieczeństwa: CVE-2026-109618 i CVE-2026-109619. Obie otrzymały ocenę 9,2 w 10-stopniowej skali CVSS. Serwery Megaserwera zaktualizowaliśmy jeszcze tego samego dnia — jeśli Twoja strona działa u nas, nie musisz nic robić.
Dlaczego to poważna sprawa
PHP to język, na którym działa większość stron internetowych na świecie — w tym każda strona na WordPressie, większość sklepów internetowych i ogromna część serwisów firmowych. Obie luki pozwalają atakującemu wykonać własny kod na serwerze bez logowania i bez żadnej interakcji ze strony właściciela. W praktyce oznacza to możliwość przejęcia strony, wykradzenia danych z bazy albo użycia serwera do dalszych ataków.
Problem dotyczy samego interpretera PHP, a nie konkretnej aplikacji, więc zagrożone są miliony stron — niezależnie od tego, czy to WordPress, sklep, czy własny skrypt. Narażone są typowe konfiguracje serwerów: PHP-FPM, moduł Apache (mod_php), CGI, LiteSpeed i FrankenPHP. Przed publikacją poprawek europejski CERT wydał ostrzeżenie dla instytucji w całej Unii, a zespół PHP zapowiedział wydanie z wyprzedzeniem, żeby administratorzy mogli się przygotować.
Co zrobiliśmy w Megaserwerze
- Zaktualizowaliśmy PHP do poprawionych wersji (8.3.36 i 8.4.27) jeszcze tego samego dnia, w którym ukazały się poprawki.
- Wyłączyliśmy starsze wersje PHP, które nie otrzymały poprawek. Strony korzystające z nich przenieśliśmy na wersje wspierane i sprawdziliśmy, czy działają poprawnie.
- Zrestartowaliśmy wszystkie procesy PHP, żeby żadna strona nie działała dalej na starym, podatnym kodzie pozostającym w pamięci.
- Sprawdziliśmy serwer skanerem złośliwego oprogramowania, żeby upewnić się, że nikt nie wykorzystał luk przed aktualizacją.
Czy muszę coś zrobić?
Jeśli Twoja strona działa na hostingu w Megaserwerze — nie. Aktualizacja PHP odbyła się po naszej stronie.
Warto jednak pamiętać, że aktualny PHP nie chroni przed lukami w samej aplikacji. Jeśli korzystasz z WordPressa, regularnie aktualizuj jego rdzeń, motyw i wtyczki, a nieużywane wtyczki po prostu usuń. Stary motyw albo porzucona wtyczka to dziś najczęstsza droga, którą atakujący dostają się na strony.
Jeśli masz strony również gdzie indziej — na własnym serwerze VPS albo u innego dostawcy — upewnij się, że PHP zostało tam zaktualizowane do wersji 8.2.35, 8.3.36, 8.4.27 lub 8.5.12 (lub nowszej). Wersje PHP starsze niż 8.2 nie otrzymały poprawek i nie powinny już obsługiwać stron dostępnych z internetu.
Masz pytania dotyczące swojej usługi? Napisz do nas przez centrum pomocy albo — jako klient — załóż zgłoszenie w systemie ticketów.