21 października 2026 r. projekt PHP opublikował ważne poprawki dla dwóch krytycznych luk. Jeśli PHP działa na którymś z Państwa serwerów dedykowanych Bare Metal lub VPS, wyjaśniamy krok po kroku, jak sprawdzić narażenie i zabezpieczyć się.
Ten wpis jest skierowany do naszych klientów korzystających z serwerów dedykowanych i VPS. Klienci Web Cloud oraz hostingu współdzielonego automatycznie otrzymają zaktualizowany komponent PHP.
Najważniejsze informacje w skrócie
| Element | Szczegóły |
|---|---|
| Luki | CVE-2026-109618 i CVE-2026-109619 |
| Ryzyko | Zdalne przejęcie kontroli nad serwerem, bez danych logowania |
| Waga | Krytyka (CVSS 9,2 z 10) |
| Podatne wersje | Wszystkie wersje PHP starsze niż PHP 7.4 |
| Wersje z poprawkami | 8.2.35, 8.3.36, 8.4.27 i 8.5.12. |
| Nasza rekomendacja | Niezwłocznie zaktualizować PHP, a następnie zrestartować usługi PHP |
Co się dzieje – w prostych słowach
Obie luki dotyczą rdzenia PHP, a nie konkretnego CMS-a czy frameworka. Związane są ze sposobem, w jaki PHP zarządza pamięcią między dwoma żądaniami:
- CVE-2026-109618: celowo zbyt duże żądanie (na przykład wysłanie formularza) powoduje, że PHP wyczerpuje pamięć i pozostawia dane w niespójnym stanie.
- CVE-2026-109619: informacje z poprzedniego żądania pozostają w pamięci, choć powinny zostać usunięte, i są ponownie wykorzystywane przez kolejne żądanie.
W obu przypadkach atakujący może uruchomić własny kod na Państwa serwerze z uprawnieniami serwera WWW. Nie potrzebuje do tego ani konta, ani hasła: wystarczy połączenie z Państwa stroną. Badacze wykazali możliwość wykorzystania luk, m.in. w przypadku Apache (mod_php) i PHP-FPM, dwóch najpopularniejszych konfiguracji.
Czy problem Państwa dotyczy? Sprawdź w dwie minuty
Problem dotyczy Państwa w szczególności wtedy, gdy PHP obsługuje stronę lub aplikację na którymś z serwerów Bare Metal (Kimsufi, So you Start, Rise, Advance, Scale, High Grade) albo na VPS OVHcloud.
Prosimy połączyć się przez SSH i wpisać:
php -v
Następnie porównać wynik z tą tabelą:
| Twoja wersja | Co należy zrobić |
|---|---|
| 8.5.x | Zaktualizować do 8.5.12 |
| 8.4.x | Zaktualizować do 8.4.27 |
| 8.3.x | Zaktualizować do 8.3.36 |
| 8.2.x | Zaktualizować do 8.2.35 |
| Od 8.1.x do 7.4 | Zaktualizować do wersji CVE-2026-109618-109619. Uwaga: wersje 7.4, 8.0 i 8.1 wymagają ponownej kompilacji |
| Starsza niż 7.4 | Projekt PHP nie opublikuje poprawki: zalecamy zaplanowanie migracji do wspieranej wersji (równolegle nasze zespoły analizują inne możliwości) |
Warto wiedzieć: wersja wyświetlana w wierszu poleceń może różnić się od wersji używanej przez stronę, zwłaszcza gdy zainstalowano kilka wersji PHP. W razie wątpliwości prosimy sprawdzić także wersję w konfiguracji serwera WWW lub panelu administracyjnego (Plesk, cPanel…).
Aktualizacja krok po kroku
Aktualizacja nie powinna zająć więcej niż około piętnastu minut na serwer. Zalecamy, aby w pierwszej kolejności zająć się serwerami dostępnymi z internetu.
Wykonaj kopię zapasową. Na VPS wystarczy snapshot utworzony w Panelu klienta OVHcloud. Na serwerze Bare Metal należy zabezpieczyć co najmniej pliki konfiguracyjne i dane.
Zaktualizuj pakiety PHP za pomocą menedżera pakietów swojej dystrybucji:
- Debian / Ubuntu:
sudo apt update && sudo apt upgrade - AlmaLinux / Rocky Linux:
sudo dnf upgrade - PHP skompilowane ze źródeł: pobierz wersję z poprawkami ze strony php.net
- Kontenery Docker: przebuduj obrazy na bazie aktualnego obrazu PHP, a następnie wdróż je ponownie
Zrestartuj usługi PHP. To najczęściej pomijany krok: bez restartu stara wersja nadal działa w pamięci.
- PHP-FPM:
sudo systemctl restart php8.x-fpm(Debian/Ubuntu, zastępując x swoją wersją) lubsudo systemctl restart php-fpm - Apache:
sudo systemctl restart apache2lubsudo systemctl restart httpd
Sprawdź poleceniem php -v, czy działa już wersja z poprawkami i czy strona funkcjonuje normalnie.
Jeśli Państwa dystrybucja nie udostępnia jeszcze wersji z poprawkami, prosimy regularnie to sprawdzać: niektóre repozytoria publikują aktualizacje z kilkugodzinnym opóźnieniem. W międzyczasie należy zastosować opisane poniżej środki tymczasowe.
Nie mogą Państwo od razu przeprowadzić aktualizacji?
Projekt PHP stawia sprawę jasno: tylko aktualizacja w pełni chroni serwer. Poniższe ustawienia, pochodzące z oficjalnych komunikatów bezpieczeństwa, zmniejszają ryzyko w okresie przejściowym. Należy je dodać w pliku php.ini, a następnie zrestartować PHP-FPM lub Apache.
- Wyłącz śledzenie postępu przesyłania plików:
session.upload_progress.enabled = 0. Ta funkcja jest rzadko używana, a PHP zaleca pozostawienie jej wyłączonej także po aktualizacji. - Tylko w PHP 8.5:
fatal_error_backtraces = 0. - Jeśli aplikacja nie korzysta z formularzy z przesyłaniem plików, zablokuj ten typ żądań (multipart) na poziomie serwera WWW lub proxy.
PHP wspomina również o zniesieniu limitu pamięci (memory_limit = -1). Zalecamy ostrożność: jedno żądanie mogłoby wtedy zużyć całą pamięć serwera.
Nadal korzystają Państwo z PHP 8.1 lub starszego? Te wersje nie otrzymają poprawki. Prosimy zastosować te środki jeszcze dziś i jak najszybciej zaplanować migrację do PHP 8.4 lub 8.5.
Jesteśmy tu, aby pomóc
Na serwerze Bare Metal lub VPS zachowują Państwo pełną kontrolę nad swoim systemem: w żaden sposób nie ingerujemy w Państwa instancje bez Państwa zgody. Dlatego zależy nam na tym, aby przekazać Państwu wszystko, co potrzebne, by działać szybko i spokojnie.
Z naszej strony aktualizujemy obrazy systemów operacyjnych dostępne do instalacji i powiadamiamy klientów, których instancje wydają się narażone. Uzupełnimy ten artykuł, jeśli pojawią się nowe informacje.
Mają Państwo pytanie lub wątpliwości dotyczące swojej konfiguracji? Nasze zespoły wsparcia są do Państwa dyspozycji, a nasi partnerzy mogą pomóc w aktualizacji lub migracji wersji PHP.
Dowiedz się więcej