W skrócie: luki są w samym PHP, a nie w WordPressie, więc aktualizacja WordPressa czy wtyczek ich nie usuwa. Jedynym pełnym rozwiązaniem jest PHP w wersji 8.5.12, 8.4.27, 8.3.36 lub 8.2.35 (albo poprawiony pakiet od dostawcy). Na hostingu współdzielonym najczęściej zrobi to firma hostingowa – warto jednak sprawdzić to dziś i w razie wątpliwości napisać do supportu.
Co się stało?
Zespół PHP opublikował poprawki dwóch luk oznaczonych jako CVE-2026-109618 i CVE-2026-109619, obie z oceną zagrożenia 9.2 na 10 (krytyczna). W uproszczeniu: odpowiednio przygotowane żądanie wysłane do serwera może doprowadzić do wykonania na nim cudzego kodu. Do ataku nie jest potrzebne logowanie na stronie.
Według firm zajmujących się bezpieczeństwem WordPressa luki są już wykorzystywane w atakach, a w internecie pojawiły się publiczne przykłady ataków. Dlatego tej aktualizacji nie warto odkładać.
Czy to dotyczy mojej strony?
Najprawdopodobniej tak, jeśli strona działa na PHP. Dotyczy to m.in.:
- stron i sklepów na WordPressie i WooCommerce,
- sklepów na PrestaShop i innych systemów napisanych w PHP,
- formularzy kontaktowych i skryptów PHP na zwykłych stronach.
Podatne są praktycznie wszystkie używane dziś wersje PHP. Największe ryzyko dotyczy serwerów z konfiguracją mod_php (Apache), ale pozostałe sposoby uruchamiania PHP (PHP-FPM, LiteSpeed i inne) również wymagają aktualizacji.
Co zrobić krok po kroku
- Sprawdź wersję PHP w panelu hostingu. W DirectAdmin szukaj opcji „Wybór wersji PHP” lub „PHP Selector”, w cPanel – „MultiPHP Manager”. Panel często pokazuje tylko główną wersję (np. 8.3), a nie numer poprawki – dlatego warto upewnić się u hostingu.
- Napisz do hostingu. Zapytaj, czy poprawione wersje PHP są już wgrane. Przykładowa wiadomość jest poniżej.
- Jeśli masz PHP 8.1 lub starsze – przejdź na nowszą wersję. Te wersje nie mają już oficjalnych wydań z poprawką. Zmiana na PHP 8.3 lub 8.4 to zwykle jedno kliknięcie w panelu, ale najpierw zrób kopię zapasową i sprawdź po zmianie, czy strona działa poprawnie.
- Nie instaluj „wtyczek naprawiających” ani kodu z forów. Specjaliści wprost przed tym ostrzegają – takie dodatki nie są sprawdzone i mogą zepsuć stronę albo same być pułapką.
- Przy okazji zaktualizuj WordPressa i wtyczki. We wrześniu 2026 poprawiono też krytyczną lukę w samym WordPressie (CVE-2026-87902, poprawka w wersji 7.1.2), a w październiku aktywnie atakowana jest luka we wtyczce Bricksforge.
- Zwróć uwagę na niepokojące objawy. Nagłe błędy 500, nieznane pliki, nowe konta administratorów albo dziwne przekierowania to sygnał, żeby od razu skontaktować się z hostingiem i zmienić hasła do panelu, WordPressa i bazy danych.
Przykładowa wiadomość do hostingu
„Dzień dobry, w związku z krytycznymi lukami w PHP (CVE-2026-109618 i CVE-2026-109619) proszę o informację, czy na serwerze obsługującym moją domenę [adres strony] zainstalowano już poprawione wersje PHP (8.2.35 / 8.3.36 / 8.4.27 / 8.5.12). Z jakiej wersji PHP korzysta obecnie moja strona? Pozdrawiam.”
Masz własny serwer lub VPS?
Wtedy aktualizacja jest po Twojej stronie: zainstaluj poprawione pakiety PHP od dostawcy systemu i zrestartuj usługi PHP. Jeśli nie da się tego zrobić od razu, zespół PHP podaje tymczasowe środki ograniczające ryzyko (m.in. ustawienia memory_limit, niższe post_max_size i wyłączenie session.upload_progress.enabled). To jednak tylko częściowa ochrona, która nie zastępuje aktualizacji.
Dlaczego warto mieć opiekę nad stroną
Takie sytuacje zdarzają się kilka razy w roku: krytyczna luka, pilna aktualizacja, kilka godzin na reakcję. Właściciel firmy zwykle dowiaduje się o tym dopiero wtedy, gdy strona przestaje działać. W ramach opieki nad stroną śledzę takie komunikaty, sprawdzam wersje i aktualizuję stronę, zanim problem dotknie Twojej firmy.
Jeśli nie wiesz, czy Twoja strona jest bezpieczna, napisz – sprawdzę to.
Aktualizacje artykułu
- 21.10.2026 – pierwsza wersja artykułu, stan informacji na dzień wydania poprawek.