PHP2Shell: dwie krytyczne podatności w PHP – zaktualizuj teraz
Opublikowano 21.10.2026 · Poziom zagrożenia : Krytyczny · Zaktualizowano 27.10.2026
Co się dzieje: 21 października 2026 r. PHP naprawiło dwie krytyczne podatności, CVE-2026-109618 i CVE-2026-109619, określane jako „PHP2Shell”. Oba mogą umożliwić zdalne wykonywanie kodu na serwerze bez logowania. Pierwsza dotyczy obsługi wyczerpania pamięci, a druga – wewnętrznych danych, które późniejsze żądanie może wykorzystać po zwolnieniu pamięci.
Jak poważny jest problem: krytyczny. Przykładowy kod atakujący jest publiczny, a CERT-FR odnotował próby ataku (27 października 2026 r.). Obie podatności znajdują się na amerykańskiej liście CISA podatności aktywnie wykorzystywanych.
Kogo dotyczy problem: wszystkie witryny działające na PHP – m.in. WordPress, Joomla, Drupal i liczne sklepy internetowe – korzystające z PHP 5.x, 7.x, 8.0, 8.1 lub 8.2 przed 8.2.35, 8.3 przed 8.3.36, 8.4 przed 8.4.27 i 8.5 przed 8.5.12. PHP 5, 7, 8.0 i 8.1 nie otrzymują już poprawek.
Co należy zrobić: zaktualizować PHP do wersji 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 albo nowszej. Zapytaj dostawcę, której wersji PHP używa Twoja witryna. Jeśli działa na wersji, która nie otrzymuje już poprawek, należy przenieść ją na wersję utrzymywaną. Dostępne są tymczasowe środki zaradcze, ale według PHP nie zapewniają one bezpieczeństwa instalacji; gwarantuje to tylko aktualizacja.
Zobacz także CVE-2026-115560, nową podatność w tym samym obszarze, która nie została jeszcze naprawiona. Nie masz pewności, co do stanu Twojej strony? Napis do nas, a powiemy Ci, co należy zrobić.