Czy Twoja strona na WordPressie jest bezpieczna? Luki w PHP z października 2026

Jeśli masz stronę na WordPressie, w tym tygodniu pewnie widziałeś nagłówki o PHP. Wyjaśniamy prostym językiem, co się stało, i podpowiadamy, jaką wiadomość wysłać dziś do hostingu. Artykuł powstał 22 października 2026 i będziemy go aktualizować, gdy sytuacja się zmieni.

Aktualizacja, 23 października: Obraz sytuacji jest niejednoznaczny. Sansec ocenia teraz, że masowe ataki są mniej prawdopodobne, bo publicznie dostępne exploity nie działają na standardowej konfiguracji PHP. Amazon informuje jednak, że atakujący próbowali wykorzystać luki już 17 października, zanim zostały ujawnione, a firma VulnCheck stworzyła exploit działający na typowym serwerze produkcyjnym. Nasze zalecenie się nie zmienia: upewnij się, że PHP na Twoim serwerze zostało zaktualizowane.

Co się stało 21 października

PHP to język programowania, na którym działa WordPress, WooCommerce i wiele innych systemów stron internetowych. Jest zainstalowany na serwerze hostingowym, a nie w samym WordPressie, więc działa pod wszystkim, co robi Twoja strona.

21 października zespół PHP wydał poprawki dwóch krytycznych luk, CVE-2026-109618 i CVE-2026-109619, nazwanych przez badaczy PHP2Shell. Według oficjalnego komunikatu bezpieczeństwa PHP obie mogą pozwolić atakującemu uruchomić własny kod na serwerze bez logowania. Jeden z pokazanych ataków wymaga jednego zapytania i działa, zanim WordPress w ogóle się uruchomi. Ktoś, kto dojdzie tak daleko, może zmienić Twoją stronę, wykraść dane albo wysyłać spam z Twojego serwera.

Szczegóły wyciekły dzień przed planowaną publikacją. Firma Sansec informuje, że ataki zaczęły się, zanim poprawki były dostępne, a komunikat CERT-EU zaleca natychmiastową aktualizację.

Czy to dotyczy Twojej strony?

Odpowiedź zależy od tego, na czym zbudowana jest Twoja strona.

To dotyczy dużej części internetu. 21 października około 69% serwerów PHP dostępnych z internetu, które pokazują swoją wersję, działało na starych wersjach, które nigdy nie dostaną oficjalnej poprawki, według OX Security. Te wersje nie dostają już regularnych poprawek od zespołu PHP.

Co zrobić dzisiaj

Aktualizacja WordPressa, motywu czy wtyczek tego nie naprawi. Luki są w samym PHP, więc rozwiązaniem jest aktualizacja PHP na serwerze. W przypadku większości stron małych firm to zadanie firmy hostingowej albo osoby, która opiekuje się Twoją stroną.

Wyślij im tę wiadomość:

Dzień dobry, 21 października zespół PHP wydał pilne poprawki bezpieczeństwa (CVE-2026-109618 i CVE-2026-109619). Czy mogą Państwo potwierdzić, jaka wersja PHP działa na naszej stronie i czy jest to już 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo wersja z tą poprawką? Jeśli korzystamy z PHP 8.1 lub starszego, jaki jest plan przejścia na wspieraną wersję?

Co oznacza odpowiedź:

• Wersja z poprawką. Ta sprawa jest zamknięta.

• PHP 8.1 lub starsze. Zespół PHP nie aktualizuje już tych wersji. Niektóre firmy hostingowe dodają poprawkę same, więc zapytaj, a przejście na wspieraną wersję i tak zaplanuj.

• PHP 8.2. Przestanie dostawać poprawki bezpieczeństwa 31 grudnia 2026, więc zaplanuj kolejną aktualizację już teraz.

Sprawdź też stare i zapomniane strony, np. kopię testową, dawny landing page albo stronę, z której już nie korzystasz, a która wciąż działa na tym samym koncie hostingowym. Każda z nich może dać atakującemu dostęp do całego konta. Jeśli nikt jej nie potrzebuje, poproś hosting o jej wyłączenie.

Na dłuższą metę

Aktualizacje bezpieczeństwa to normalna część utrzymania WordPressa. Większość jest drobna. Ta nie była i pokazała, jak wiele zależy od tego, czy ktoś pilnuje serwera za Ciebie.

Platformy hostowane, takie jak Framer i Webflow, zdejmują z Ciebie to zadanie, bo same prowadzą i aktualizują swoje serwery. Nie są dobrym wyborem dla każdej firmy. Jeśli jednak aktualizacje WordPressa to zadanie, którego nikt w Twoim zespole nie pilnuje, warto je rozważyć. Nasze przewodniki o przenosinach z WordPressa na Framera i z WordPressa na Webflow pokazują, z czym wiąże się taka zmiana.