Aktualizacja: 21 października 2026, godz. 22:00
Zaktualizowaliśmy wszystkie wersje PHP dostępne na naszych serwerach: 5.6, 7.0, 7.1, 7.2, 7.3, 7.4, 8.0, 8.1, 8.2, 8.3, 8.4 i 8.5. Dla wersji 8.2-8.5 wdrożyliśmy oficjalne poprawki producenta, a dla wersji 5.6, 7.0, 7.1, 7.2, 7.3, 7.4, 8.0 i 8.1, które nie są już wspierane przez producenta wdrożyliśmy backporty poprawek. Dodatkowo na wszystkich wersjach PHP pozostają włączone środki ograniczające ryzyko: session.upload_progress.enabled = Off oraz session.use_strict_mode = 1.

Aktualizacja: 21 października 2026, godz. 16:30
Rozpoczęliśmy wdrażanie poprawek dla wszystkich wersji PHP. Dla wersji niewspieranych przez producenta wdrażamy backporty.

Aktualizacja: 21 października 2026, godz. 10:30
Zespół bezpieczeństwa PHP poinformował o dwóch krytycznych podatnościach: CVE-2026-109618 oraz CVE-2026-109619. Obie zostały ocenione na 9.2 w skali CVSS v4.0. Według dostępnych informacji mogą umożliwiać zdalne wykonanie kodu na serwerze. Oficjalny komunikat.

Co wiemy

• Poprawki zostały wydane 21 października 2026 r. PHP opublikował wersje 8.5.12, 8.4.27, 8.3.36 i 8.2.35, które usuwają obie podatności.
• Charakter luk. Podatności mogą pozwolić na zdalne wykonanie kodu na serwerze WWW bez logowania. CVE-2026-109618 to wykonanie kodu przez uszkodzenie pamięci przy jej wyczerpaniu (PHP może zostać przerwany w trakcie częściowej inicjalizacji danych żądania, a późniejsze czyszczenie traktuje je jako poprawne). CVE-2026-109619 dotyczy błędu przestarzałego stanu globalnego.
• Które wersje są podatne. Zgodnie z advisory na GitHubie podatne są gałęzie 8.2, 8.3, 8.4 i 8.5 w wersjach niższych niż 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Dla starszych gałęzi PHP nie publikuje listy wersji podatnych. Wersje 8.1 i starsze nie są już wspierane i nie otrzymały oficjalnych poprawek.
• Ryzyko zależy od sposobu uruchamiania PHP. PHP potwierdza działający atak na mod_php przez HTTP. Analiza kodu wskazuje, że PHP-FPM jest również podatny, ale pełnego exploita dla FPM nie zademonstrowano.

Co zrobiliśmy po naszej stronie

• PHP 8.2, 8.3, 8.4 i 8.5: zaktualizowaliśmy do wersji naprawczych producenta.
• PHP 5.6, 7.0, 7.1, 7.2, 7.3, 7.4, 8.0 i 8.1: producent nie wydaje dla nich oficjalnych poprawek, dlatego wdrożyliśmy backporty poprawek z wersji wspieranych.
• Wszystkie wersje: zapobiegawczo wyłączyliśmy śledzenie postępu wysyłania plików (session.upload_progress.enabled = Off) i włączyliśmy tryb ścisły sesji (session.use_strict_mode = 1). Traktujemy to jako dodatkowe ograniczenie ryzyka, a nie zamiennik poprawki.

Czy wpłynie to na działanie stron?

Wpływ powinien być niewielki. Po wyłączeniu session.upload_progress.enabled przesyłanie plików nadal działa, ale może zniknąć wskaźnik postępu przy wysyłaniu dużych plików. Tryb ścisły sesji może w rzadkich przypadkach wpłynąć na aplikacje, które same ustawiają identyfikator sesji. Jeśli zauważą Państwo problemy z logowaniem, koszykiem lub innym działaniem serwisu po aktualizacji, prosimy o kontakt z pomocą techniczną.

Zalecenia dla klientów

Jeśli serwis działa na wersji PHP starszej niż 8.2, zalecamy zmianę na 8.2 lub nowszą. Backporty ograniczają ryzyko, ale nie zastępują regularnych, oficjalnych poprawek producenta, a starsze wersje są narażone na kolejne, nieznane jeszcze luki.

Zalecamy też, niezależnie od wersji PHP, sprawdzić, czy aplikacje (CMS, sklep, wtyczki) mają aktualne wersje, i zachować świeżą kopię zapasową.

Wersję PHP można zmienić w panelu DirectAdmin, sposób jest opisany w artykule. Jeśli wymagana wersja PHP nie jest dostępna, prosimy o kontakt z naszą pomocą techniczną pod adresem https://panel.statnet.pl.

Cloudlinux: Dlaczego numer wersji PHP może się nie zmienić?

Na serwerach z CloudLinux numer wersji PHP wyświetlany przez php -v lub narzędzia diagnostyczne nie musi odpowiadać wersji naprawczej producenta, mimo że poprawka jest wdrożona.

CloudLinux nie wydaje nowych wersji PHP, tylko backportuje poprawki bezpieczeństwa do wersji, którą już dostarcza. Zamiast przejścia z wersji 8.4.26 na 8.4.27 pakiet otrzymuje kolejny numer wydania, np. 8.4.26-5.el8. Końcówka -5 oznacza kolejną aktualizację pakietu CloudLinux, która zawiera już poprawki CVE-2026-109618 i CVE-2026-109619. Numer zależy od wersji PHP i pakietu, więc nie należy porównywać go między różnymi wersjami. Wszystkie wersje PHP na Cloudlinux otrzymały łatki bezpieczeństwa.