Facebook 
LinkedIn 
W silniku PHP – technologii, na której opiera się większość stron w internecie (w tym niemal każdy WordPress) – odkryto dwie krytyczne luki bezpieczeństwa o oznaczeniach CVE-2026-109618 i CVE-2026-109619.
Sprawa jest poważna, ponieważ szczegóły techniczne błędów przedwcześnie wyciekły do sieci, zanim twórcy oprogramowania zdążyli wydać łatki naprawcze. W oficjalnej skali zagrożenia błędy oceniono na 9,2 na 10 punktów (niektórzy eksperci mówią wręcz o pełnej dziesiątce). Mówiąc najprościej – błąd pozwala cyberprzestępcom przejąć kontrolę nad serwerem i wykonać na nim złośliwy kod z zewnątrz, bez podawania jakichkolwiek haseł czy loginów.
Kiedy błędy mają zostać naprawione?
Oficjalne poprawki bezpieczeństwa opublikowane zostały dzisiaj (21 października) o godzinie 16:00 czasu polskiego. Nieoficjalnie mówi się, że podatne mogą być niemal wszystkie wersje począwszy od archaicznego PHP 5. Łatki otrzymają jednak tylko aktywnie wspierane wydania: PHP 8.2, 8.3, 8.4 oraz 8.5. Jeśli strona działa na starszym środowisku (np. PHP 7.x czy 8.0/8.1), może w ogóle nie dostać oficjalnego zabezpieczenia.
Hostingi wprowadzają ograniczenia prewencyjne
Zanim poprawki trafią na serwery i zostaną zainstalowane, firmy hostingowe nie czekają z założonymi rękami. Aby zablokować potencjalnym włamywaczom drogę do ataku, część operatorów (w Polsce m.in. LH.pl) prewencyjnie i tymczasowo zaostrzyła ustawienia PHP dla wszystkich klientów.
Hostingodawcy drastycznie obcięli limity pamięci operacyjnej (do 128 MB), maksymalną wagę przesyłanych plików (do 8 MB) oraz liczbę zmiennych w formularzach (do 1000) oraz całkowicie wyłączyli moduł śledzenia postępu przesyłania sesji. Co najważniejsze – te odgórne ograniczenia działają jak nadrzędna blokada i unieważniają wszelkie wyższe wartości, które właściciele stron ustawiali wcześniej samodzielnie w panelach czy plikach konfiguracyjnych.
Jak to wygląda w praktyce dla zwykłego użytkownika?
Jeśli administrujesz stroną lub sklepem internetowym, u części dostawców możesz dziś zauważyć nietypowe zachowanie serwisu. Nie musi to oznaczać awarii z Twojej winy, lecz skutek wprowadzonych zabezpieczeń. W zależności od tego, czy i jak restrykcyjnie zareagował Twój hosting, możesz spotkać się z następującymi problemami:
- Trudności z wgrywaniem większych plików – jeśli Twój hosting obniżył limit przesyłania (np. do 8 MB), próba dodania na stronę wideo, ciężkiego dokumentu PDF, dużej grafiki czy wtyczki w archiwum ZIP może zakończyć się odrzuceniem pliku przez serwer.
- Ryzyko „obcięcia” menu w WordPressie – przy zaostrzonym limicie zmiennych w formularzach zapisanie rozbudowanego, wielopoziomowego menu może sprawić, że część ostatnich pozycji bez ostrzeżenia zniknie.
- Błędy przy importach i kopiach zapasowych – cięższe operacje – takie jak wgrywanie bazy produktów z pliku CSV, masowa regeneracja miniaturek zdjęć czy przywracanie kopii zapasowej przez wtyczkę – mogą zostać przerwane komunikatem o wyczerpaniu pamięci (memory exhausted).
Choć takie ograniczenia mogą wyglądać jak nagła usterka, w rzeczywistości bywają celową kwarantanną – hostingodawcy, którzy zdecydowali się na ten krok, wolą chwilowo utrudnić część operacji, niż ryzykować, że strony ich klientów padną ofiarą zautomatyzowanych ataków.
Bezpłatna konsultacja
Masz pytanie? Napisz do nas. Bez zobowiązań, odpowiadamy w 24h.
Co robić w tej sytuacji?
Przede wszystkim zachowaj spokój i powstrzymaj się od nerwowego naprawiania strony:
- Najpierw sprawdź limity na hostingu – jeśli nagle przestało działać wgrywanie plików, zapis ustawień czy import danych, wina rzadko leży po stronie wtyczek lub motywu. Zanim zaczniesz szukać problemów w samej witrynie, sprawdź w panelu serwera aktualne limity – to one najpewniej blokują te operacje.
- Nie podnoś limitów na siłę – wpisywanie wyższych wartości w plikach .htaccess, .user.ini czy php.ini nic nie da. Pamiętaj, że to celowe zabezpieczenie wprowadzone przez hosting, a nie błąd serwera – próby omijania tej blokady wystawiają witrynę na ryzyko włamania.
- Odłóż większe prace na później – jeśli planujesz import produktów, wgrywanie nowych motywów czy duże porządki w mediach, poczekaj, aż hostingi wgrają oficjalne łatki i przywrócą standardowe limity.
- Sprawdzaj zapisane zmiany – jeżeli koniecznie musisz edytować ustawienia strony lub układ menu, po kliknięciu „Zapisz” zawsze odśwież stronę i sprawdź, czy nic nie zostało ucięte.
Sytuacja powinna zacząć wracać do normy w ciągu kilku godzin od popołudniowej publikacji łatek, gdy administratorzy zakończą testy i wdrożenia na serwerach. Dzisiejszy incydent dobitnie jednak pokazuje, że trzymanie witryny na przestarzałym PHP to już nie tylko kwestia wolniejszego działania strony, ale realne ryzyko paraliżu biznesu w kryzysowych momentach.
Masz starsze PHP? Aktualizuj, ale z głową
Jeśli Twoja strona działa na wersji niższej niż 8.2 (sprawdzisz to w panelu hostingu lub w WordPressie: Narzędzia → Stan witryny), warto zaplanować migrację. Starsze gałęzie nie dostaną łatki i pozostaną podatne na ataki.
Uważaj jednak – nie zmieniaj wersji „na ślepo”. Skok ze starego PHP na nowsze może wywołać błąd krytyczny lub „biały ekran”, jeśli używane wtyczki albo motyw nie są dostosowane do nowego silnika.
Jak bezpiecznie przeprowadzić aktualizację?
- Zawsze zaczynaj od kopii zapasowej – zapisz kopię plików i bazy danych na dysku lub upewnij się, że Twój hosting wykonał świeży backup, z którego można przywrócić stronę jednym kliknięciem.
- Zaktualizuj WordPressa, motyw i wtyczki – zanim podniesiesz wersję PHP, zaktualizuj wszystkie elementy strony do najnowszych wydań dostarczonych przez ich twórców.
Jeśli masz taką możliwość, sprawdź działanie strony na kopii testowej (tzw. stagingu). Jeżeli zmieniasz wersję na działającej witrynie i strona przestanie odpowiadać, w panelu hostingu możesz natychmiast cofnąć PHP do poprzedniej wersji – przywróci to działanie serwisu i da czas na znalezienie problematycznej wtyczki.
