PHP2Shell (CVE-2026-109618 i CVE-2026-109619) pozwala atakującemu uruchomić kod na Twoim serwerze bez logowania, a ataki już trwają. Sprawdzimy Twoją stronę, jasno powiemy, jak wygląda sytuacja, i wycenimy naprawę.
Audyt tylko za 29 € + VAT, płatność jednorazowa
Chcesz sprawdzić cały serwer? Pełny audyt bezpieczeństwa za 199 € + VAT
PHP2Shell to nazwa dwóch krytycznych błędów w samym silniku PHP, ujawnionych 20 października 2026 r. i załatanych 21 października 2026 r. Ponieważ tkwią one w PHP, a nie w WordPressie, wtyczce czy Twoim kodzie, zagrożona jest każda strona działająca na podatnej wersji PHP, niezależnie od aplikacji.
Atak to specjalnie spreparowane żądanie HTTP. PHP przetwarza je zanim uruchomi się jakikolwiek kod Twojej aplikacji, więc hasła, CAPTCHA i wtyczki bezpieczeństwa go nie zatrzymają. Badacze potwierdzili zdalne wykonanie kodu bez uwierzytelnienia na stronach WordPress, Drupal, Joomla i Magento. Pierwsze próby wykorzystania odnotowano 17 października, jeszcze przed publicznym ogłoszeniem, a od tego czasu ataków przybywa.
Gdy PHP zabraknie pamięci podczas odczytu żądania POST, zostaje niedokończony wpis. Przy sprzątaniu po żądaniu jest on traktowany jako poprawny, a jego zawartość kontroluje atakujący, co można wykorzystać do uruchomienia własnego kodu.
Dane pozostałe po jednym żądaniu mogą wskazywać na już zwolnioną pamięć, której używa późniejsze żądanie w tym samym procesie PHP. Prowadzi to do wycieku zawartości pamięci i może umożliwić wykonanie kodu. Błąd jest osiągalny przez funkcję postępu przesyłania sesji, domyślnie włączoną.
Zagrożona jest każda instalacja PHP obsługująca żądania WWW: PHP-FPM, Apache mod_php, php-cgi, LiteSpeed i FrankenPHP. Porównaj wersję PHP, która faktycznie obsługuje Twoją stronę, z tabelą.
| Gałąź PHP | Status | Bezpieczna wersja |
|---|---|---|
| PHP 8.5 | Podatna przed 8.5.12 | 8.5.12 lub nowsza |
| PHP 8.4 | Podatna przed 8.4.27 | 8.4.27 lub nowsza |
| PHP 8.3 | Podatna przed 8.3.36 | 8.3.36 lub nowsza |
| PHP 8.2 | Podatna przed 8.2.35 | 8.2.35 lub nowsza |
| PHP 7.4 – 8.1 | Podatna, brak oficjalnego wydania (tylko poprawki źródłowe) | Aktualizacja do 8.2+ lub pakiet załatany przez dostawcę |
| PHP 5.4 – 7.3 | Podatna, koniec wsparcia, poprawki nie będzie | Wymagana aktualizacja |
Sam numer wersji może wprowadzać w błąd. Dystrybucje Linuksa często dodają poprawkę bez zmiany numeru, PHP widoczne w wierszu poleceń może różnić się od tego, które obsługuje stronę, a na hostingu współdzielonym może działać kilka wersji jednocześnie. Audyt sprawdza to w Twoim konkretnym środowisku.
Twoją stronę ręcznie sprawdza inżynier, a nie automatyczny skaner, a Ty otrzymujesz pisemny raport zrozumiałym językiem.
Wpisz domenę strony i zapłać za wybrany audyt (29 € lub 199 € + VAT) kartą, przelewem online, PayPal lub kryptowalutą.
Inżynier odezwie się w ciągu 2 godzin roboczych (pon.–pt. 9:00–18:00 czasu wileńskiego) i ustali dostęp.
Otrzymasz wnioski zrozumiałym językiem i przybliżoną cenę naprawy. Ty decydujesz, czy ją zlecić.
Dla każdej strony, niezależnie od tego, gdzie jest hostowana. Nie musisz być naszym klientem hostingowym.
Ukierunkowana kontrola pod kątem CVE-2026-109618 i CVE-2026-109619.
Wszystko z audytu PHP2Shell, a do tego cały serwer i kod Twojej strony.
Każdy serwer jest inny, więc cena naprawy ustalana jest indywidualnie. Po audycie otrzymasz przybliżoną cenę, a prace rozpoczniemy dopiero za Twoją zgodą.
Na Twoim hostingu nie możesz sam zmienić PHP? Powiemy dokładnie, o co poprosić dostawcę, lub pomożemy w przeprowadzce.
Jedynym pełnym rozwiązaniem jest aktualizacja PHP. Dopóki nie możesz jej wykonać, zespół PHP zaleca środki tymczasowe:
memory_limit=-1 na poziomie serwera, tak aby aplikacje nie mogły go zmienić, i ogranicz rozmiar żądań na serwerze WWW lub proxy. To blokuje znaną ścieżkę wykorzystania CVE-2026-109618.session.upload_progress.enabled=0, a w PHP 8.5 także fatal_error_backtraces=0 (CVE-2026-109619).WAF, np. Cloudflare, pomaga przeciwko znanym wzorcom ataków, ale tylko dla ruchu, który przez niego przechodzi. To rozwiązanie tymczasowe, a nie poprawka. Jeśli nie masz pewności, czy ustawienia zadziałały lub czy ktoś nie włamał się wcześniej, właśnie to sprawdza audyt.