W silniku PHP, na którym opiera się większość stron internetowych w sieci, wykryto dwie krytyczne podatności oznaczona numerami CVE-2026-109618 oraz CVE-2026-109619. Obie zostały wycenione przez zespół twórców na 9,2 w skali CVSS (a przez część badaczy nawet na 10/10), co oznacza najwyższy poziom zagrożenia.1 Luki pozwalają na potencjalne zdalne wykonanie złośliwego kodu na serwerze bez konieczności logowania. Szczegóły techniczne wyciekły do sieci jeszcze przed publikacją poprawek.
Oficjalne łatki opublikowano dziś, 21 października, na godzinę 16:00 czasu polskiego. Warto pamiętać, że oficjalne poprawki trafią wyłącznie do czterech aktywnie wspieranych gałęzi języka: 8.2, 8.3, 8.4 oraz 8.5. Serwisy działające na starszych, niewspieranych wersjach (np. PHP 7.x, 8.0 czy 8.1) mogą pozostać bez oficjalnego wsparcia ze strony twórców technologii.
Moment publikacji łatek przynosi dodatkowe ryzyko: upublicznienie kodu poprawek wprost wskazuje cyberprzestępcom, jakie luki znajdowały się w systemie. Witryny, które nie zostaną szybko zaktualizowane do bezpiecznych wersji, stają się bezpośrednim celem ataku.2
Reakcja hostingodawców – prewencyjne blokady parametrów
W reakcji na tę sytuację część dostawców usług hostingowych zdecydowała się działać odgórnie, jeszcze zanim łatki zostaną udostępnione i wdrożone. Aby chronić serwery oraz przechowywane na nich dane przed próbami ataku, (m.in. LH.pl) prewencyjnie wprowadzili oni czasowe obostrzenia w konfiguracji PHP.
Należy jednak pamiętać, że nie wszyscy hostingodawcy przyjęli tę samą strategię – część dostawców utrzymuje dotychczasowe ustawienia, pozostawiając zabezpieczenie infrastruktury po stronie standardowych systemów ochronnych lub oczekując na wydanie oficjalnych poprawek.
Tam, gdzie obostrzenia wprowadzono, polegają one na natychmiastowym, tymczasowym zmniejszeniu parametrów operacyjnych (m.in. limitów pamięci, maksymalnego rozmiaru wgrywanych plików czy liczby zmiennych). Modyfikacje te mają charakter przejściowy i są nakładane z poziomu infrastruktury serwerowej.
Czasowe utrudnienia w panelach administracyjnych stron
Opisane ograniczenia hostingowe nie wpływają na ciągłość wyświetlania samych witryn dla odwiedzających, jednak wywołują tymczasowe niedogodności w ich panelach zarządzania:
- Problemy z wgrywaniem mediów – przesyłanie grafik o dużej rozdzielczości, plików PDF czy materiałów wideo może kończyć się błędem.
- Przerwy w procesach importu/eksportu – operacje na obszernych plikach (np. bazach produktów w formatach CSV/XLS) mogą być automatycznie przerywane przez serwer.
- Niezapisywanie rozbudowanych formularzy – wprowadzanie wielu zmian jednocześnie (np. modyfikacja obszernego menu nawigacyjnego) może skutkować pominięciem części danych lub błędem zapisu.
Weryfikacja i aktualizacja PHP – uwaga na potencjalne problemy techniczne
Po opublikowaniu poprawek niezbędne jest zweryfikowanie wersji PHP na serwerze i, jeśli to możliwe, jej podniesienie do bezpiecznej gałęzi (8.2, 8.3, 8.4 lub 8.5). Należy jednak pamiętać, że zmiana wersji PHP na nowszą może wywołać błędy w funkcjonowaniu strony, jeśli jej elementy nie są na to przygotowane.
Dlaczego strona może przestać działać po zmianie PHP?
Sama nowa wersja PHP nie jest błędem – problem tkwi w kodzie strony, który nie nadąża za zmianami:
- Niekompatybilne wtyczki lub motywy – rozszerzenia pisane kilka lat temu mogą używać funkcji wycofanych w nowszych wersjach PHP. W efekcie strona zaczyna zgłaszać błędy krytyczne.
- Nieaktualny WordPress – starsze wersje systemu CMS (np. poniżej 5.0) nie współpracują z PHP 8.x.
- Modyfikacje w kodzie – niestandardowe dopiski w pliku functions.php lub motywie potomnym, tworzone „pod starszą wersję”, mogą całkowicie uszkodzić wyświetlanie witryny.
Jak bezpiecznie przeprowadzić aktualizację krok po kroku?
Aby uniknąć paraliżu serwisu podczas przechodzenia na nowsze PHP, warto zastosować poniższe zasady:
- Zrób pełną kopię zapasową (Backup) – posiadanie kopii plików i bazy danych (zarówno w panelu hostingu, jak i lokalnie na dysku) daje gwarancję szybkiego przywrócenia strony w razie awarii.
- Zaktualizuj WordPressa, wtyczki i motyw – przed zmianą wersji PHP upewnij się, że wszystkie elementy systemu są zaktualizowane do najnowszych wersji kompatybilnych z PHP 8.x.
- Przetestuj zmianę w środowisku stagingowym – najbezpieczniej jest wykonać kopię strony na subdomenie testowej i tam zmienić wersję PHP, by wyłapać ewentualne błędy bez ryzyka dla działającego serwisu.
Co zrobić, jeśli po aktualizacji PHP strona ulegnie awarii?
Jeśli po zmianie wersji na stronie pojawi się błąd krytyczny:
- Użyj linku awaryjnego z maila – WordPress przy błędzie krytycznym wysyła wiadomość z linkiem do trybu odzyskiwania, pozwalającym wyłączyć wadliwą wtyczkę lub motyw.
- Tymczasowo obniż wersję PHP – w panelu hostingu możesz na chwilę cofnąć wersję PHP do poprzedniej, by przywrócić działanie strony, wykonać niezbędne aktualizacje wtyczek i spróbować ponownego podniesienia PHP.
- Dezaktywuj wtyczki przez FTP – zmieniając nazwę folderu danej wtyczki w katalogu /wp-content/plugins/ przez menedżer plików lub klienta FTP, wymusisz jej wyłączenie.
- Włącz tryb debugowania – modyfikując plik wp-config.php (ustawiając define(’WP_DEBUG’, true);), uaktywnisz zapisywanie szczegółowych błędów w pliku wp-content/debug.log, co ułatwi precyzyjne zlokalizowanie źródła problemu.3
Gdy środowiska PHP zostaną zaktualizowane do bezpiecznych wersji, firmy hostingowe, które wprowadziły blokady, zaczną stopniowo przywracać domyślne parametry pracy serwerów.
- 1 Paweł Czajkowski, Internet ma poważny problem. Dwie luki w PHP oceniono na 9,2/10, [21.10.2026].
- 2 Security Advisory 2026-018, Critical Vulnerabilities in PHP, , dostęp: [21.10.2026].
- 3 Jakub Nadolny, Problemy ze stroną po aktualizacji wersji PHP – Przyczyny i rozwiązanie problemu, , dostęp: [21.10.2026].