Hosting wysyła ostrzeżenie o PHP, a w wiadomościach pojawiają się informacje o wyłączanych stronach. Czy wystarczy zaktualizować WordPressa? Czy trzeba zmienić hosting albo od razu wyłączyć sklep? Najpierw trzeba ustalić, z jakiego środowiska korzysta aplikacja i czy dostawca wdrożył właściwą poprawkę.
Ten poradnik rozdziela trzy sprawy: pilne zabezpieczenie PHP, zgodność strony z wybraną wersją oraz ewentualne ślady włamania. To różne zadania. Nie każda niedostępna strona została zhakowana, a sam komunikat o podatności nie potwierdza infekcji.
Co potwierdzono 21 października 2026
Stan informacji: 21 października 2026. Projekt PHP opublikował poprawki dla dwóch krytycznych luk: CVE-2026-109618 i CVE-2026-109619. Podatności mogą umożliwić zdalne wykonanie kodu bez uwierzytelnienia. Oficjalny komunikat obejmuje instalacje PHP obsługujące żądania internetowe, a nie tylko jeden CMS.
Wydania wskazane w komunikacie to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. To informacja o tym konkretnym zdarzeniu, nie trwała lista wersji zalecanych dla każdej aplikacji. Przy późniejszej aktualizacji sprawdź bieżące poprawki dla swojego środowiska. Źródło: oficjalny komunikat bezpieczeństwa PHP.
Nie kopiuj przypadkowych zmian konfiguracji z komentarzy w internecie. PHP zaznacza, że środki ograniczające niektóre ścieżki ataku nie zastępują aktualizacji. Zmiany parametrów bez znajomości aplikacji mogą dodatkowo pogorszyć jej działanie.
Czy aktualizacja WordPressa usuwa lukę w PHP
Nie. WordPress, WooCommerce i PrestaShop są aplikacjami, a PHP jest środowiskiem, które wykonuje ich kod na serwerze. Aktualizacja wtyczek nie instaluje automatycznie poprawki PHP u dostawcy hostingu. Tak samo nowa wersja PHP nie aktualizuje modułów sklepu.
W praktyce potrzebne mogą być dwa działania: potwierdzenie zabezpieczenia środowiska i sprawdzenie, czy aplikacja pozostaje z nim zgodna. Właściciel strony nie musi sam administrować serwerem, ale powinien wiedzieć, kto odpowiada za każdą z tych warstw.
Jeśli potrzebujesz wykonania tych prac, zobacz aktualizację PHP dla stron, sklepów, VPS i serwerów dedykowanych. Dalsze sekcje pomogą przygotować konkretne zgłoszenie zamiast ogólnego pytania „czy moja strona jest bezpieczna?”.
Hosting współdzielony - o co zapytać dostawcę
Przekaż nazwę domeny i poproś hosting o potwierdzenie statusu poprawek. Warto zapytać:
- Czy środowisko obsługujące tę domenę ma poprawki dla obu wskazanych podatności?
- Czy potwierdzenie dotyczy działającej usługi, a nie tylko dostępnego pakietu?
- Czy wersja wybrana w panelu korzysta z poprawek dostawcy?
- Czy trzeba coś zmienić po stronie aplikacji lub ponownie uruchomić usługę?
- Czy dostawca stwierdził oznaki wykorzystania podatności na tym koncie?
Nie oceniaj sytuacji wyłącznie po krótkim numerze „PHP 8.x”. Dystrybucja lub dostawca utrzymania może udostępniać poprawkę w swoim pakiecie bez zmiany głównego numeru gałęzi. Dokumentacja PHP zaleca weryfikację pakietów u dostawcy. Potrzebne jest jego potwierdzenie, nie domysł na podstawie samej etykiety w panelu.
Nie przełączaj na ślepo starego sklepu na najwyższą dostępną gałąź. Pilna poprawka w używanej wersji i migracja aplikacji na nową gałąź PHP to odrębne decyzje. Odpowiednia ścieżka zależy od dostępności poprawki i wymagań oprogramowania.
VPS i serwer dedykowany - co musi sprawdzić administrator
Na serwerze zarządzanym samodzielnie odpowiedzialność nie kończy się na odczytaniu wersji PHP w terminalu. Trzeba przypisać domeny i aplikacje do faktycznie używanych usług oraz uwzględnić inne uruchomienia PHP, np. harmonogram i kolejki.
Przed zmianą administrator powinien rozpoznać źródło pakietów, zainstalowane rozszerzenia, konfigurację i aplikacje korzystające ze wspólnej usługi. Po wdrożeniu weryfikuje aktywne procesy, wykonuje wymagane restarty i kontroluje działanie aplikacji. Komenda sprawdzająca wersję konsolową nie jest samodzielnym dowodem, że ta sama wersja obsługuje stronę.
VPS i serwer dedykowany to różne rodzaje infrastruktury, ale w obu przypadkach ktoś musi odpowiadać za aktualizacje środowiska. Sam zakup „własnego serwera” nie zastępuje administratora. Jeśli usługę utrzymuje dostawca, ustal z nim zakres odpowiedzialności i potwierdzenie wykonanych prac.
Przed zmianami potrzebna jest kopia oraz sprawdzony sposób odtworzenia. Nie traktuj automatycznie migawki całej maszyny jako zamiennika kopii i planu odzyskania bieżących danych sklepu. Przywrócenie starego stanu może cofnąć również zamówienia zapisane po utworzeniu kopii.
Strona nie działa po aktualizacji PHP - co zrobić
Biała strona, błąd 500 lub „błąd krytyczny” WordPressa nie wskazują jeszcze konkretnej przyczyny. Zapisz czas wystąpienia awarii, ostatnią zmianę, poprzednią i nową wersję środowiska oraz funkcje, które przestały działać. Przekaż te informacje wykonawcy lub hostingowi bez publikowania haseł i logów zawierających dane użytkowników.
Do sprawdzenia są m.in. brakujące rozszerzenia, niezgodny motyw lub moduł, starszy kod i konfiguracja serwera. Nie maskuj problemu samym wyłączeniem komunikatów błędów. Dostępne logi pomagają rozróżnić przyczyny i zaplanować naprawę.
Powrót do starego PHP może przywrócić funkcję, ale nie jest wystarczającym rozwiązaniem, jeśli wracasz do podatnego środowiska. Decyzję awaryjną trzeba połączyć z oceną ekspozycji, ograniczeniem ryzyka i planem poprawki. Jeśli nie ma możliwości niezwłocznego zabezpieczenia, sposób ograniczenia dostępu ustal z administratorem, zamiast pozostawiać problem bez nadzoru.
Co przetestować w WordPressie, WooCommerce i PrestaShop
Odbiór zmiany powinien obejmować funkcje używane przez firmę, a nie tylko widok strony głównej:
- w WordPressie: logowanie, edycję, formularze i kluczowe podstrony;
- w sklepie: produkty, warianty, wyszukiwanie, koszyk i checkout;
- płatności i dostawy w uzgodnionym trybie testowym;
- zapis zamówienia i powiadomienia, bez przypadkowych transakcji produkcyjnych;
- integracje, importy i zaplanowane zadania;
- nowe błędy w logach po wykonaniu tych czynności.
Wersję PHP dobiera się do konkretnej wersji sklepu, modułów i zależności. Nie istnieje jedna odpowiedź „najwyższa zawsze najlepsza” dla wszystkich starych instalacji. Dla aplikacji Laravel lub autorskiego systemu testy muszą uwzględnić również zależności projektu i procesy w tle.
Czy poprawka PHP usuwa malware
Nie. Zamknięcie podatności i usunięcie skutków jej ewentualnego wykorzystania to osobne działania. Jeżeli hosting raportuje złośliwe pliki, nieznane dostępy albo podejrzane zmiany, potrzebna jest analiza incydentu. Nie należy jednak zakładać infekcji bez takich ustaleń.
Przy potwierdzonych objawach zobacz odwirusowanie WordPress i usuwanie malware. Jeśli konto zawiera kilka aplikacji, pomocne będzie też wyjaśnienie, dlaczego czyszczenie jednej strony na koncie hostingowym może nie wystarczyć.
Jak przygotować zgłoszenie aktualizacji PHP
Podaj adres strony, rodzaj środowiska: hosting, VPS albo serwer dedykowany, nazwę aplikacji, komunikat dostawcy i informację, czy strona obecnie działa. Jeśli znasz wersję PHP oraz datę ostatniej kopii, dopisz je. Haseł i kluczy nie przesyłaj w zwykłej wiadomości.
Na tej podstawie można ustalić, czy potrzebna jest kontrola poprawki u hostingu, aktualizacja serwera, dostosowanie kodu czy diagnoza awarii. Zleć aktualizację PHP i testy zgodności lub opisz problem w formularzu kontaktowym.
Na przyszłość sprawdzaj również oficjalny harmonogram wsparcia wersji PHP. Jednorazowa poprawka nie zastępuje planu utrzymania. Regularne aktualizacje i kontrole można ująć w opiece technicznej strony lub sklepu.