Krytyczna luka w PHP. Co oznacza dla Twojej strony WordPress i jak się zabezpieczyć?

PHP to jeden z fundamentów działania WordPressa. Dlatego poważna luka w tym języku programowania może stanowić zagrożenie dla tysięcy stron internetowych. 21 października 2026 roku opublikowano poprawki usuwające dwie krytyczne podatności PHP, które w określonych warunkach mogą umożliwić atakującemu wykonanie własnego kodu na serwerze. Co to oznacza w praktyce i co powinien zrobić właściciel strony?

Na czym polega najnowsza luka bezpieczeństwa PHP?

21 października 2026 roku zespół PHP udostępnił aktualizacje bezpieczeństwa, które usuwają dwie krytyczne podatności oznaczone jako CVE-2026-109618 oraz CVE-2026-109619. Obie otrzymały ocenę 9,2 w skali CVSS 4.0, co oznacza bardzo wysoki poziom zagrożenia.

Największy problem polega na tym, że w określonych warunkach atakujący może wykorzystać błąd bez logowania się do serwisu i doprowadzić do zdalnego wykonania kodu (RCE).

Mówiąc prościej: zamiast jedynie przeglądać stronę, osoba atakująca może próbować zmusić serwer do wykonania własnych poleceń. W zależności od uprawnień procesu PHP może to otworzyć drogę do naruszenia bezpieczeństwa plików strony, danych lub innych zasobów dostępnych z poziomu serwera.

Co dokładnie jest nie tak z PHP?

Obie podatności dotyczą sposobu, w jaki PHP zarządza pamięcią i wewnętrznym stanem podczas obsługi żądań.

• CVE-2026-109618 dotyczy błędu związanego z wyczerpaniem pamięci. W określonej sytuacji PHP może pozostawić nieprawidłowo przygotowane dane wewnętrzne, które zostaną później potraktowane jako poprawne.
• CVE-2026-109619 wiąże się z pozostawieniem wewnętrznego stanu po zwolnieniu pamięci, z której wcześniej korzystał proces.

Nie trzeba znać szczegółów programowania, żeby zrozumieć ryzyko. PHP powinno prawidłowo zarządzać pamięcią i danymi podczas obsługi każdego żądania. Jeśli w tym mechanizmie pojawia się błąd, odpowiednio przygotowane żądanie może doprowadzić do nieprawidłowego działania programu, a w określonych warunkach nawet do wykonania kodu przez atakującego.

Ważne jest również to, że zagrożenie nie ogranicza się do jednego systemu CMS. Podatne mogą być różne aplikacje działające na PHP, w tym WordPress, Joomla czy Drupal.

Które wersje PHP są podatne?

Zgodnie z oficjalnym komunikatem projektu PHP poprawki zostały wydane dla następujących gałęzi:

Wersja PHP	Wersja z poprawką
PHP 8.5	8.5.12
PHP 8.4	8.4.27
PHP 8.3	8.3.36
PHP 8.2	8.2.35

Jeżeli serwer korzysta z wcześniejszej wersji jednej z tych gałęzi, należy jak najszybciej sprawdzić możliwość aktualizacji. Wersje PHP 8.1 i starsze nie otrzymują już standardowych aktualizacji bezpieczeństwa, dlatego wymagają migracji do wspieranej wersji.

Uwaga: sama aktualizacja WordPressa, motywu lub wtyczek nie usuwa tej podatności. Konieczne jest zaktualizowanie PHP na serwerze do wersji zawierającej poprawkę.

Źródło: oficjalny komunikat projektu PHP — https://www.php.net/archive/2026.php

Czy strony WordPress są zagrożone?

Tak. WordPress korzysta z PHP do obsługi treści, użytkowników, formularzy, wtyczek i wielu innych elementów witryny. Jeśli działa na podatnej wersji PHP, może być narażony na zagrożenia wynikające z opisanych błędów.

Warto jednak podkreślić, że nie jest to luka charakterystyczna wyłącznie dla WordPressa. Problem znajduje się w środowisku PHP, na którym działa strona. Dlatego nawet poprawnie skonfigurowany WordPress może wymagać pilnej aktualizacji po stronie serwera.

Co może się stać, jeśli strona nie zostanie zaktualizowana?

W przypadku skutecznego wykorzystania podatności konsekwencje zależą między innymi od konfiguracji hostingu oraz uprawnień procesu PHP. Potencjalne skutki obejmują:

• nieautoryzowane wykonywanie kodu na serwerze;
• dostęp do plików, do których proces PHP ma uprawnienia;
• próbę przejęcia strony lub umieszczenia na niej złośliwego kodu;
• zagrożenie dla danych przechowywanych przez aplikację;
• ryzyko dla innych witryn, jeśli współdzielą środowisko o niewystarczającej izolacji.

Nie oznacza to, że każda strona korzystająca ze starszego PHP została zaatakowana. Oznacza natomiast, że pozostawienie podatnego środowiska zwiększa ryzyko i nie powinno być ignorowane.

Jak sprawdzić wersję PHP w WordPressie?

Sprawdzenie wersji PHP nie wymaga zaawansowanej wiedzy technicznej. Można to zrobić bezpośrednio w panelu WordPressa.

1. Zaloguj się do panelu administracyjnego WordPress.
2. Przejdź do Narzędzia → Stan witryny.
3. Otwórz zakładkę Informacje.
4. Rozwiń sekcję Serwer.
5. Odszukaj informację o wersji PHP.

Możesz również sprawdzić wersję PHP w panelu swojego hostingu. W zależności od dostawcy opcja ta może znajdować się w ustawieniach domeny, konfiguracji PHP lub ustawieniach zaawansowanych.

Jeśli korzystasz z hostingu zarządzanego, warto skontaktować się z jego administratorem i zapytać, czy środowisko zostało już zaktualizowane do wersji zawierającej poprawki.

Jak zabezpieczyć WordPressa przed skutkami luki PHP?

Najważniejszym działaniem jest aktualizacja PHP. Pozostałe zabezpieczenia również mają znaczenie, ale nie zastępują poprawki usuwającej podatność.

1. Zaktualizuj PHP do bezpiecznej wersji

Sprawdź, z której gałęzi PHP korzysta Twoja strona, a następnie zaktualizuj ją do wersji z poprawką lub nowszej, wspieranej wersji.

Przed zmianą wykonaj kopię zapasową plików i bazy danych oraz sprawdź zgodność witryny z docelową wersją PHP. Jeśli nie masz pewności, jak przeprowadzić aktualizację, poproś o pomoc hostingodawcę lub administratora.

2. Aktualizuj WordPressa, motywy i wtyczki

Aktualna wersja PHP nie zwalnia z obowiązku dbania o sam WordPress. Regularnie instaluj poprawki bezpieczeństwa systemu, motywów i wtyczek.

Usuń także nieużywane rozszerzenia. Każda dodatkowa wtyczka może zwiększać powierzchnię ataku, szczególnie jeśli jest nieaktualna lub pochodzi z niezaufanego źródła.

3. Wykonuj kopie zapasowe

Regularny backup pozwala przywrócić stronę po awarii lub incydencie bezpieczeństwa. Kopie powinny obejmować zarówno pliki, jak i bazę danych.

Ważne, aby przynajmniej część kopii była przechowywana poza środowiskiem, na którym działa strona. Warto również co jakiś czas sprawdzić, czy przywracanie backupu rzeczywiście działa.

4. Zadbaj o uprawnienia i izolację na hostingu

Jeśli na jednym serwerze działa kilka witryn, istotne jest odpowiednie oddzielenie ich plików i uprawnień. Dzięki temu problem dotyczący jednej aplikacji nie musi automatycznie oznaczać problemów z pozostałymi.

Zapytaj hostingodawcę, w jaki sposób izoluje procesy PHP i czy każda witryna działa z odpowiednimi uprawnieniami.

5. Monitoruj stronę po aktualizacji

Po wdrożeniu poprawki sprawdź, czy WordPress działa prawidłowo. Warto przejrzeć logi serwera, zwrócić uwagę na nietypowe błędy i sprawdzić, czy nie pojawiły się podejrzane pliki lub nieznane konta administratorów.

Jeżeli istnieją przesłanki, że strona mogła zostać zaatakowana, sama aktualizacja PHP nie wystarczy. Potrzebna może być dodatkowa analiza bezpieczeństwa i usunięcie ewentualnych skutków włamania.

Czy wtyczka bezpieczeństwa WordPress wystarczy?

Nie. Wtyczki bezpieczeństwa mogą pomagać w monitorowaniu strony, wykrywaniu podejrzanych zmian, ograniczaniu prób logowania i blokowaniu części ataków. Nie są jednak zamiennikiem aktualizacji samego interpretera PHP.

W przypadku opisanych podatności błąd może zostać wywołany podczas obsługi żądania na poziomie PHP, zanim kod WordPressa zacznie wykonywać swoje typowe zadania. Z tego powodu nie należy zakładać, że firewall aplikacyjny lub wtyczka zabezpieczająca całkowicie rozwiąże problem.

Zespół PHP wskazuje, że nie ma kompletnego rozwiązania zastępczego dla aktualizacji. W pierwszej kolejności trzeba więc wdrożyć poprawkę po stronie serwera.

Co zrobić, jeśli nie możesz od razu zaktualizować PHP?

Jeżeli zarządzasz własnym serwerem i nie możesz szybko zainstalować poprawki, potraktuj sytuację jako pilną. Skontaktuj się z administratorem lub hostingodawcą i ustal najbezpieczniejszy sposób postępowania.

W przypadku systemów wystawionych bezpośrednio do internetu, których nie można od razu zabezpieczyć, zalecenia instytucji zajmujących się cyberbezpieczeństwem wskazują na konieczność rozważenia czasowego odizolowania takich usług od sieci publicznej do momentu wdrożenia poprawki.

Nie należy traktować wyłączenia niektórych wtyczek, zmiany adresu logowania ani instalacji dodatkowego rozszerzenia WordPress jako pełnego zabezpieczenia przed tym problemem.

Podsumowanie: aktualizacja PHP to podstawa bezpieczeństwa WordPressa

Najnowsze krytyczne podatności PHP pokazują, że bezpieczeństwo strony internetowej zależy nie tylko od aktualnego WordPressa i jego wtyczek, lecz także od środowiska, w którym działa witryna.

Jeśli prowadzisz stronę firmową, sklep internetowy lub blog oparty na WordPressie, sprawdź wersję PHP i upewnij się, że została zaktualizowana do wydania zawierającego poprawki. Następnie zadbaj o aktualizacje CMS-a, kopie zapasowe i monitoring.

Najważniejsza zasada jest prosta: aktualny WordPress na podatnej wersji PHP nadal może być zagrożony. Dlatego warto sprawdzić nie tylko panel administracyjny strony, ale również konfigurację hostingu.

Źródła

• Oficjalny komunikat PHP o podatnościach i poprawkach: https://www.php.net/archive/2026.php
• Fundacja PHP — szczegóły dotyczące wydania bezpieczeństwa: https://thephp.foundation/blog/2026/10/21/todays-php-security-release-and-how-were-strengthening-php-security/
• WordPress.org — komunikat dotyczący krytycznej aktualizacji PHP: https://wordpress.org/news/2026/10/critical-php-security-release/
• Oficjalne wymagania WordPressa: https://pl.wordpress.org/about/requirements/