PHP2Shell: krytyczna luka w PHP. Czy Twoja firmowa strona jest bezpieczna?

20 października 2026 roku do sieci wyciekły szczegóły dwóch krytycznych luk w PHP. To język, na którym działa ogromna część stron firmowych, w tym każdy WordPress i każdy sklep na WooCommerce. Badacze nazwali problem PHP2Shell. Twórcy PHP ocenili obie luki na 9,2 w 10-stopniowej skali CVSS, a poprawki wydali dzień później.

Jeśli Twoja firmowa strona stoi na WordPressie albo innym systemie w PHP, ten tekst jest dla Ciebie. Wyjaśniamy bez żargonu, co się stało, co realnie grozi firmie i dlaczego takie sytuacje będą się powtarzać. Na końcu znajdziesz konkretne kroki do zrobienia jeszcze dziś.

Najważniejsze wnioski

• PHP2Shell to dwie luki w samym silniku PHP (CVE-2026-109618 i CVE-2026-109619), ocenione na 9,2/10. Pozwalają przejąć serwer bez logowania.
• Poprawki są w wersjach 8.5.12, 8.4.27, 8.3.36 i 8.2.35. PHP 8.1 i starsze nie dostają już oficjalnych łatek.
• Takie luki wracają regularnie. W 2025 roku w samym ekosystemie WordPressa zgłoszono 11 334 nowe podatności (Patchstack).
• Strona bez stałej opieki i comiesięcznych aktualizacji jest tylko kwestią czasu.

Co to jest PHP2Shell i dlaczego to poważna sprawa?

PHP2Shell to dwie luki w samym silniku PHP, a nie w jednej wtyczce czy motywie. Według firmy Sansec dotyczą domyślnej konfiguracji serwerów z PHP 5.4 i nowszym. Atakujący wysyła odpowiednio spreparowane zapytanie i może uruchomić na serwerze własny kod. Nie potrzebuje do tego żadnego hasła.

Jedna z luk ma też drugą, cichszą stronę. Pozwala wyciągać fragmenty pamięci serwera, a w niej mogą być hasła, tokeny sesji zalogowanych użytkowników i klucze do zewnętrznych usług. Dla Ciebie oznacza to, że ktoś może zalogować się do panelu strony jako Ty, bez łamania hasła.

Najważniejsze: tej luki nie da się naprawić w kodzie strony. Nie pomoże nowa wtyczka zabezpieczająca ani zmiana hasła do panelu. Trzeba zaktualizować samo PHP na serwerze, a to zwykle leży po stronie hostingu albo osoby, która opiekuje się stroną.

Szczegóły wyciekły 20 października, zanim poprawki były gotowe. Twórcy PHP wydali je 21 października (Help Net Security). Przez co najmniej dobę każdy serwer z PHP był więc podatny, a informacja o luce już krążyła.

Co realnie grozi Twojej firmie, gdy strona zostanie przejęta?

Przejęta strona rzadko wygląda na zhakowaną. Atakującym zależy, żeby jak najdłużej nikt niczego nie zauważył. W praktyce małe i średnie firmy najczęściej mierzą się z kilkoma scenariuszami:

• Wyciek danych z formularzy i zamówień. Imiona, e-maile, telefony, adresy dostaw. Wtedy masz 72 godziny na zgłoszenie naruszenia do UODO i często obowiązek poinformowania klientów. RODO przewiduje za zaniedbania kary finansowe.
• Czerwony ekran w Google. Gdy Google wykryje złośliwy kod, Chrome pokazuje odwiedzającym ostrzeżenie „Strona niebezpieczna”. Klient, który to zobaczy, nie wróci. Do tego spadasz w wynikach wyszukiwania.
• Przekierowania i spam. Część odwiedzających trafia na strony z oszustwami, a w Google pojawiają się setki podstron z reklamami leków czy kasyn podpisane Twoją domeną.
• Problemy z pocztą. Serwer zaczyna rozsyłać spam. Jeśli firmowa poczta działa na tym samym hostingu, Twoje maile do kontrahentów lądują w ich folderze SPAM.
• Przestój i sprzątanie. Strona trafia do wyłączenia, trzeba szukać czystej kopii, przeglądać pliki i tłumaczyć się klientom. To dni, nie godziny.

Dlatego zawsze powtarzamy, że kopia zapasowa to podstawa. Bez niej odtworzenie strony po ataku bywa droższe niż zbudowanie nowej. Więcej piszemy o tym na stronie o backupie danych dla firm z Częstochowy, a o tym, jak wygląda najgorszy scenariusz, w artykule o ransomware w małej firmie.

Czy ktoś już wykorzystuje PHP2Shell do ataków?

Źródła się różnią i uczciwie trzeba to powiedzieć. Firma watchTowr zgłosiła ataki w sieci, a pułapki na hakerów prowadzone przez Amazon zarejestrowały próby wykorzystania luki. Huntress do popołudnia 21 października nie widział ataków u swoich klientów.

Brytyjskie centrum cyberbezpieczeństwa NCSC poszło najdalej. Zaleca odłączenie od internetu systemów, których nie da się od razu zaktualizować. To nie jest rada, którą instytucje państwowe dają przy byle problemie.

Nie wiadomo jeszcze, na jaką skalę będą ataki. Wiadomo za to, jak to zwykle wygląda: od publikacji szczegółów do pierwszych masowych skanów mijają godziny albo dni. Automaty sprawdzają po kolei wszystkie serwery w internecie i nie wybierają, czy jesteś dużą korporacją, czy biurem rachunkowym z trzema pracownikami.

Czy to jednorazowy wypadek? Niestety nie

Krytyczne luki pojawiają się regularnie, w każdej technologii. Kilka przykładów z ostatnich dwóch lat:

• Czerwiec 2024, PHP (CVE-2024-4577). Luka w PHP na serwerach Windows. Ataki ruszyły dwa dni po wydaniu poprawek, a grupa ransomware TellYouThePass szyfrowała niezałatane serwery (Help Net Security).
• Grudzień 2025, React i Next.js (React2Shell). Ocena 10/10. Podatna była nawet standardowa, świeżo utworzona aplikacja. Pierwsze udane włamania badacze Wiz zauważyli w ciągu około dwóch dni od ujawnienia.
• Cały 2025 rok, WordPress. Według raportu Patchstack zgłoszono 11 334 nowe podatności we wtyczkach, motywach i rdzeniu WordPressa. To o 42% więcej niż rok wcześniej, a 91% z nich dotyczyło wtyczek.

Zwróć uwagę na drugi punkt. Next.js to technologia, na której sami budujemy strony dla klientów. Nie piszemy więc z pozycji „u nas luk nie ma”. Mają je wszyscy. Różnica polega na tym, czy ktoś je łata w ciągu dni, czy strona czeka miesiącami, aż ktoś przypadkiem zajrzy do panelu.

Pytanie nie brzmi więc, czy będzie następna taka luka. Brzmi: kto u Ciebie ją załata i jak szybko?

Dlaczego „zrobiona strona” to dopiero połowa sprawy?

Typowa historia wygląda tak: strona powstała kilka lat temu, zrobił ją grafik, znajomy albo agencja, z którą kontakt się urwał. Hosting jest opłacany, strona działa, więc nikt do niej nie zagląda. W tym czasie PHP na serwerze zestarzało się o kilka wersji, a wtyczki nie były aktualizowane od lat.

Kiedy wychodzi luka taka jak PHP2Shell, ktoś powinien to zauważyć, sprawdzić wersję, zaktualizować i upewnić się, że strona dalej działa. Kto to robi w Twojej firmie? Jeśli odpowiedź brzmi „nikt” albo „chyba hosting”, to dokładnie tu jest problem.

Część hostingów aktualizuje PHP sama, część zostawia to klientowi. Wiele z nich dalej pozwala uruchamiać strony na wersjach, których nikt już nie łata, bo stara strona po aktualizacji mogłaby przestać działać. Wtedy strona „działa”, ale jest otwarta na ataki.

Tak samo traktujemy komputery w biurze. Kto czytał nasz tekst o tym, że Windows 10 bez wsparcia to setki niezałatanych luk, zna ten mechanizm. Ze stroną jest identycznie, tylko że stoi w internecie 24 godziny na dobę.

Jedyne rozsądne rozwiązanie: stała opieka nad stroną z comiesięcznymi aktualizacjami

Bezpieczeństwo strony to nie jednorazowy zakup, tylko praca, którą trzeba wykonywać co miesiąc. Dlatego każdą stronę, którą prowadzimy, obejmujemy stałą opieką. W abonamencie od 150 zł netto miesięcznie dostajesz:

• Comiesięczne aktualizacje serwera, systemu strony i wszystkich dodatków.
• Codzienne kopie zapasowe, z których da się odtworzyć stronę, gdy coś pójdzie nie tak.
• Hosting i certyfikat SSL, o które nie musisz się martwić.
• Wsparcie i drobne poprawki treści, gdy chcesz zmienić godziny otwarcia albo cennik.
• Szybką reakcję przy lukach krytycznych. Przy problemie takim jak PHP2Shell nie czekamy do końca miesiąca, tylko sprawdzamy i łatamy strony od razu.

Ty nie musisz śledzić portali o bezpieczeństwie ani wiedzieć, co znaczy CVE. Masz jedną osobę kontaktową, która odpowiada za stronę, tak jak za resztę firmowego IT. Szerzej opisujemy to na stronie o bezpieczeństwie IT w Częstochowie.

Sprawdzimy, czy Twoja strona jest podatna na PHP2Shell

Nie wiesz, na jakiej wersji PHP działa Twoja strona? To normalne, większość właścicieli firm tego nie wie. Możesz to sprawdzić sam albo zlecić nam.

Co możesz zrobić sam, jeszcze dziś:

1. Zaloguj się do panelu hostingu i znajdź ustawienia PHP dla swojej domeny.
2. Sprawdź wersję. Bezpieczne są 8.5.12, 8.4.27, 8.3.36, 8.2.35 i nowsze w danej gałęzi.
3. Jeśli widzisz 8.1, 8.0, 7.x lub starszą, Twoja strona działa na wersji bez oficjalnych poprawek.
4. Napisz do hostingu z pytaniem, czy załatał PHP2Shell (CVE-2026-109618 i CVE-2026-109619).

Co sprawdzimy my: wersję PHP i to, czy hosting wgrał poprawkę, aktualność systemu strony i wtyczek, kopie zapasowe oraz to, czy strona nie nosi już śladów włamania. Dostaniesz krótką odpowiedź bez żargonu: jest dobrze albo trzeba to i to poprawić.

Napisz albo zadzwoń do nas, a sprawdzimy Twoją stronę. Jeśli szukasz firmy, która zajmie się stroną razem z resztą IT, zobacz, jak działają nasze usługi informatyczne Częstochowa i okolice.

Stara strona na starym PHP? To może być dobry moment na nową

Czasem odpowiedź po sprawdzeniu jest niewygodna. Strona działa na PHP 7.4 albo 8.0, motyw nie był rozwijany od lat, a po aktualizacji PHP połowa podstron przestaje działać. Łatanie takiej strony to często sporo godzin pracy i kolejne ryzyko przy następnej luce.

W takiej sytuacji warto policzyć, czy nie taniej wyjdzie nowa strona. Taka, która jest szybka na telefonie, ma aktualne treści i od pierwszego dnia działa w ramach stałej opieki z comiesięcznymi aktualizacjami. Robimy strony internetowe dla firm z Częstochowy z opieką w pakiecie, a przykłady możesz zobaczyć w naszych realizacjach.

Jeśli chcesz najpierw poznać budżet, przeczytaj, ile kosztuje strona internetowa dla firmy w 2026 roku. Możesz też od razu poprosić o wycenę, a przy okazji sprawdzimy obecną stronę.

Podsumowanie

• PHP2Shell to dwie krytyczne luki w samym PHP. Dotyczą większości stron na WordPressie i innych systemach w PHP.
• Naprawa wymaga aktualizacji PHP na serwerze. Nie zrobisz tego wtyczką.
• Takie luki wracają co kilka miesięcy, w PHP, w WordPressie i w nowszych technologiach.
• Jedyną skuteczną ochroną jest stała opieka nad stroną z comiesięcznymi aktualizacjami i szybką reakcją, gdy pojawia się zagrożenie.
• Jeśli strona jest stara i działa na nieobsługiwanym PHP, nowa strona z opieką bywa tańsza niż ciągłe łatanie starej.

Nie czekaj, aż klient zadzwoni z pytaniem, dlaczego przeglądarka ostrzega przed Twoją stroną. Skontaktuj się z nami, a nasz informatyk z Częstochowy sprawdzi Twoją stronę i powie, co dalej.