Masz stronę na WordPressie lub sklep WooCommerce? Poproś dostawcę hostingu o potwierdzenie aktualizacji PHP. CERT Polska ostrzega przed lukami CVE-2026-109618 i CVE-2026-109619, znanymi jako php2shell. Poprawione wydania są już dostępne. Aktualizacji wymaga PHP na serwerze, także gdy sam WordPress jest aktualny.
Co jest zagrożone?
PHP odpowiada za działanie wielu stron, sklepów i aplikacji firmowych. Błędy w obsłudze pamięci mogą umożliwić zdalne wykonanie kodu bez logowania. Zespół PHP wskazuje na ryzyko dla instalacji obsługujących ruch WWW, w tym PHP-FPM, Apache z mod_php oraz LiteSpeed. Najwyżej ocenia zagrożenie w przypadku mod_php.
Wersje z poprawkami
21 października 2026 r. projekt PHP wydał aktualizacje usuwające obie luki:
| Linia PHP | Wydanie z poprawkami |
|---|---|
| 8.2 | 8.2.35 |
| 8.3 | 8.3.36 |
| 8.4 | 8.4.27 |
| 8.5 | 8.5.12 |
Dostawcy dystrybucji Linux mogą wprowadzać poprawki do własnych pakietów bez zmiany głównego numeru wersji. Dlatego poproś o potwierdzenie usunięcia obu wskazanych CVE. Dla PHP 8.1 i starszych sprawdź dostępność poprawionego pakietu u dostawcy albo zaplanuj przejście na wspieraną linię.
Co zlecić opiekunowi strony?
Nasze zalecenie dla firmy: wskaż administratorowi wszystkie strony i sklepy na hostingu, również subdomeny oraz środowiska testowe. Ustal termin wdrożenia poprawki. Przed zmianą zadbaj o aktualną kopię zapasową, a po niej sprawdź formularze, logowanie i składanie zamówień.
Jeśli aktualizacja nie jest jeszcze dostępna u dostawcy, administrator powinien sprawdzić bieżące zalecenia CERT i zespołu PHP. Tymczasowe ustawienia konfiguracji ograniczają tylko niektóre sposoby ataku i nie zastępują poprawki. Nie zmieniaj ich na własną rękę bez oceny wpływu na działanie strony. Ślady wykorzystania luk można zgłosić przez formularz CERT Polska.
Źródła i licencja
CERT Polska / NASK, komunikaty z 21.10.2026: 195/2026, wcześniejsze ostrzeżenie oraz 196/2026, zalecenia dotyczące php2shell i wydanych poprawek. Wersje i zakres ryzyka sprawdzono także w biuletynie zespołu PHP z 21.10.2026.
Opracowanie: Domenafirmy. Połączono i skrócono komunikaty, uwzględniono wydane poprawki oraz dodano zalecenia redakcyjne dla firm. Komunikaty CERT i niniejsze opracowanie: CC BY-SA 4.0. Okładka została wygenerowana dla Domenafirmy jako ilustracja koncepcyjna; nie jest materiałem CERT ani projektu PHP.