Krytyczne luki w PHP (CVE-2026-109618 i CVE-2026-109619): co musi sprawdzić właściciel WordPressa

Dwie krytyczne luki w PHP: łatka zapowiedziana na dziś, część hostingów zabezpieczyła serwery już wczoraj

20 października zespół bezpieczeństwa PHP opublikował na php.net zapowiedź awaryjnego wydania. Chodzi o dwie krytyczne podatności, obie ocenione na 9,2 w skali CVSS v4.0. Szczegóły wyciekły przed planowanym ujawnieniem, więc sprawa szybko stała się publiczna. CERT Polska w komunikacie z 21 października podaje identyfikatory CVE-2026-109618 i CVE-2026-109619 i opisuje je jako luki pozwalające na zdalne wykonanie kodu. Te same numery podaje CERT-EU.

Zespół PHP zaplanował wydanie poprawek na środę 21 października, na 14:00 UTC, czyli 16:00 czasu polskiego. W chwili pisania tego tekstu poprawionych wersji nie było jeszcze na php.net. Numerów nowych wersji nie podaję, bo nie zostały oficjalnie ogłoszone. W sieci krążą przewidywania, ale to nie jest komunikat PHP.

Co wiadomo, a co jeszcze nie

PHP zapowiada, że pełne szczegóły, lista podatnych wersji i wersje z poprawką pojawią się razem z wydaniem. CERT Polska pisze, że podatne są wszystkie wersje od 5.0 w górę, CERT-EU ostrożniej, że luki „mogą” dotyczyć wszystkich wersji od PHP 5. Nie znalazłem potwierdzonej informacji, których trybów uruchamiania PHP (PHP-FPM, moduł Apache, CGI) to dotyczy. To jeszcze niejasne. Niejasny jest też stan ataków: Patchstack pisze o zgłoszeniach prób wykorzystania od partnerów hostingowych, inne źródła mówią, że ataków w praktyce jeszcze nie potwierdzono. Bezpieczniej założyć, że ataki ruszą najpóźniej po publikacji szczegółów.

Ważna rzecz dla właścicieli starszych stron: według doniesień poprawki dostaną tylko wspierane gałęzie, czyli PHP 8.2 i nowsze. Wersja 8.1 i starsze nie są już wspierane przez twórców PHP i oficjalnej łatki najpewniej nie dostaną.

Dlaczego tu tak bardzo liczy się hosting

Luka siedzi w samym interpreterze PHP, nie w WordPressie ani we wtyczce. Aktualizacja WordPressa nic tu nie zmieni. Na hostingu współdzielonym PHP aktualizuje dostawca, centralnie dla wszystkich klientów. To, jak szybko zareaguje, decyduje o tym, jak długo Twoja strona jest odsłonięta.

Do czasu wydania łatek zostają półśrodki. CERT Polska zaleca inwentaryzację usług korzystających z PHP, przygotowanie się do natychmiastowej aktualizacji, a tam, gdzie to możliwe bez szkody dla działania, czasowe wyłączenie usług PHP dostępnych z internetu. Patchstack wymienia też zmiany w konfiguracji, m.in. wyłączenie session.upload_progress.enabled i włączenie session.use_strict_mode, ale sam zaznacza, że to ograniczenie ryzyka, a nie poprawka.

Część polskich dostawców publicznie opisała swoją reakcję. LH.pl podało w komunikacie, że rekomendacja CERT Polska dotarła do nich o 22:36, a o 23:00 zabezpieczenia działały na całym hostingu współdzielonym, bez udziału klientów. Firma zapowiada wdrożenie poprawionych wersji PHP zaraz po ich wydaniu, przy czym wspierane wersje dostaną je najpierw, a użytkownicy starych wersji poczekają dłużej. To deklaracja dostawcy, której sam nie mierzyłem, ale dobrze pokazuje, czego warto oczekiwać od swojego hostingu w takiej sytuacji.

Co sprawdzić u siebie

Najpierw wersja PHP. W panelu WordPressa wejdź w Narzędzia, potem Zdrowie witryny, zakładka Informacje, sekcja Serwer. Jeśli widzisz 8.1 lub starszą, Twoja strona może zostać bez łatki. Przełącz ją w panelu hostingu na wspieraną gałąź (8.2 lub nowszą), najlepiej najpierw na kopii albo po zrobieniu pełnej kopii zapasowej, bo starsze wtyczki potrafią się wtedy wysypać.

Potem komunikacja. Sprawdź skrzynkę i stronę statusu swojego dostawcy. Jeśli do dziś nie napisał nic o tych lukach, zapytaj wsparcie wprost, kiedy wdroży poprawione PHP. Brak odpowiedzi w takim dniu też jest informacją o hostingu.

Jeśli masz własny VPS lub serwer dedykowany, nikt tego za Ciebie nie zrobi. Po wydaniu poprawek zaktualizuj PHP sam, z oficjalnych źródeł albo repozytoriów swojej dystrybucji, i nie instaluj nieoficjalnych „łatek” z forów.

Szybkość reakcji na incydent to jedna z rzeczy, które trudno ocenić przed zakupem. Na stronie głównej pokazuję ranking oparty na codziennych pomiarach, a w opisie jak testujemy znajdziesz, co dokładnie sprawdzam. O dalszym rozwoju tej sprawy napiszę na blogu, gdy PHP opublikuje szczegóły.