Krytyczne podatności w PHP załatane

Dwie krytyczne luki bezpieczeństwa w PHP, jednym z najczęściej wykorzystywanych języków do tworzenia stron internetowych, zostały zabezpieczone. Podatności CVE-2026-109618 i CVE-2026-109619 mogły umożliwić atakującym zdalne wykonanie kodu na podatnym serwerze. Problem dotyczył również środowisk korzystających ze starszych wersji PHP, dla jakich nie przewidziano oficjalnych aktualizacji.

W cyber_Folks zakończyliśmy wdrażanie poprawek zabezpieczających przed obiema podatnościami. Nasz zespół administratorów zadbał także o środowiska działające na PHP 5.x i 7.x.

Z tego artykułu dowiesz się:

Dwie krytyczne luki w PHP. Na czym polegało zagrożenie?

W październiku 2026 roku ujawniono informacje o dwóch poważnych podatnościach w PHP, oznaczonych jako CVE-2026-109618 oraz CVE-2026-109619. Zespół odpowiedzialny za rozwój języka ocenił ich poziom zagrożenia na 9,2 w dziesięciostopniowej skali CVSS 4.0.

Obie podatności zostały powiązane z możliwością zdalnego wykonania kodu (RCE, ang. Remote Code Execution). Oznacza to, że w określonych warunkach atakujący mógłby doprowadzić do uruchomienia własnych instrukcji na podatnym serwerze. W zależności od konfiguracji środowiska i uprawnień procesu mogłoby to skutkować nieautoryzowanym dostępem do danych, ingerencją w działanie aplikacji lub przejęciem kontroli nad jej wybranymi elementami.

Potencjalny zasięg zagrożenia był duży, ponieważ PHP stanowi podstawę działania wielu popularnych systemów CMS i platform e-commerce, takich jak WordPress, WooCommerce czy PrestaShop, a także aplikacji tworzonych na indywidualne zamówienie. W przeciwieństwie do luk występujących w konkretnych wtyczkach czy modułach podatności w samym interpreterze PHP mogą wpływać na różne aplikacje korzystające z podatnej wersji języka. Rzeczywiste ryzyko wykorzystania luk zależy jednak od konfiguracji serwera, sposobu przetwarzania żądań i warunków niezbędnych do przeprowadzenia ataku.

Po ujawnieniu podatności priorytetem było szybkie wdrożenie poprawek, zarówno dla aktualnie wspieranych wersji PHP, jak i starszych wydań, jakie nie otrzymują już oficjalnych aktualizacji bezpieczeństwa.

Starsze wersje PHP bez oficjalnych poprawek bezpieczeństwa

Każda wersja PHP ma określony cykl życia. Początkowo otrzymuje regularne aktualizacje i poprawki błędów, następnie przez ograniczony czas poprawki krytycznych podatności. Po zakończeniu wsparcia producent nie publikuje już dla niej nowych aktualizacji bezpieczeństwa.

W chwili ujawnienia zagrożenia oficjalnym wsparciem były objęte wersje PHP 8.2, 8.3, 8.4 i 8.5. Starsze wersje, w tym PHP 5.x i 7.x, osiągnęły już koniec swojego cyklu życia. Użytkownicy nie mogli liczyć na standardowe poprawki przygotowane przez zespół rozwijający PHP.

Dlaczego to ważne? Starsze wersje PHP nadal bywają niezbędne do działania aplikacji, powstałych wiele lat temu. Niektóre systemy korzystają z rozwiązań niezgodnych z nowszymi wydaniami języka, a ich aktualizacja wymaga zmian w kodzie, wtyczkach lub integracjach. Przejście na nową wersję PHP nie zawsze jest więc możliwe natychmiast.

W cyber_Folks umożliwiamy korzystanie ze starszych środowisk dzięki usłudze Legacy PHP. W przypadku tak poważnych podatności oznacza to jednak dodatkową odpowiedzialność techniczną. Samo utrzymywanie zgodności ze starszym oprogramowaniem nie wystarcza. Trzeba również zadbać o jego zabezpieczenie.

Bezpiecznie w cyber_Folks

Na bieżąco śledzimy informacje o nowych zagrożeniach i reagujemy na pojawiające się sytuacje. Dlatego po udostępnieniu poprawek przez twórców PHP, niezwłocznie przystąpiliśmy do ich wdrażania. Zadbaliśmy przy tym o to, by zabezpieczyć Twoje usługi bez zakłócania ich codziennego działania.

Znacznie większym wyzwaniem okazały się starsze wersje języka.

PHP 5.x i 7.x nie otrzymały oficjalnych łatek producenta, dlatego nasi administratorzy wykonali dodatkową pracę, wykraczającą poza standardowy proces aktualizacji.

Przeanalizowaliśmy zmiany usuwające podatności, dostosowaliśmy poprawki do starszych wersji PHP i sprawdziliśmy ich działania w tych środowiskach. Następnie zabezpieczenia wdrożyliśmy na serwery.

Takie działania są bardziej złożone niż instalacja gotowej aktualizacji. Kod starszych wersji PHP różni się od obecnie rozwijanych wydań, dlatego rozwiązania przygotowane dla PHP 8 nie muszą współpracować z PHP 5 czy PHP 7. Każda zmiana musi uwzględniać te różnice i zostać sprawdzona pod kątem skuteczności oraz zgodności z obsługiwanym środowiskiem.

Zabezpieczenia przed CVE-2026-109618 i CVE-2026-109619 wdrożyliśmy również w starszych środowiskach PHP, mimo braku oficjalnych aktualizacji dla tych wersji. Klienci korzystający z obsługiwanych przez nas środowisk nie zostali pozostawieni bez ochrony przed tymi konkretnymi zagrożeniami.

Czy muszę coś zrobić, jeśli korzystam z hostingu cyber_Folks?

Poprawki dotyczące podatności CVE-2026-109618 i CVE-2026-109619 zostały wdrożone po naszej stronie w objętych działaniami środowiskach hostingowych. Nie musisz samodzielnie instalować tych łatek na zarządzanych przez nas serwerach.

Warto jednak sprawdzić, czy Twoja strona lub sklep korzysta z aktualnej wersji PHP. Starsze wydania, mimo zastosowania zabezpieczeń dotyczących opisanych luk, pozostają poza oficjalnym cyklem wsparcia. Korzystanie z nich może oznaczać większe ryzyko wystąpienia kolejnych podatności w przyszłości.

Jeśli Twoja aplikacja wymaga PHP 5.x lub 7.x, zaplanuj jej aktualizację do nowszego środowiska. Przed zmianą wersji PHP należy sprawdzić zgodność kodu strony, wtyczek, motywu oraz wykorzystywanych integracji. Szczególnie w przypadku rozbudowanych sklepów i starszych aplikacji warto najpierw przeprowadzić testy.