Krytyczne luki w PHP - poprawka 21 października o 16:00. Co zrobić?

Krytyczne luki w PHP zostaną załatane w środę 21 października 2026 o 16:00 czasu polskiego (14:00 UTC). Zespół bezpieczeństwa PHP z wyprzedzeniem ostrzegł o dwóch podatnościach ocenionych na 9,2 w skali CVSS 4.0 i zaapelował do wszystkich użytkowników, by już teraz przygotowali się do aktualizacji. To dotyczy ogromnej części internetu - na PHP działa m.in. WordPress, a więc większość blogów, sklepów i stron firmowych.

Aktualizacja 21.10.2026, 16:00: poprawki są już dostępne - PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. PHP potwierdził, że chodzi o dwie luki pozwalające zdalnie wykonać kod (RCE):

• CVE-2026-109618: przy braku pamięci PHP może przerwać obsługę żądania w chwili, gdy wewnętrzne dane są zainicjowane tylko częściowo, a sprzątanie po żądaniu potraktuje je jako poprawne.
• CVE-2026-109619: stan należący do jednego żądania może przetrwać po zwolnieniu pamięci i zostać użyty przez kolejne żądanie obsługiwane przez ten sam proces.

Zespół PHP pisze wprost, że nie ma pełnych obejść i jedynym bezpiecznym wyjściem jest aktualizacja. Dystrybucje Linuksa dostały poprawki wcześniej - Debian 13 udostępnił PHP 8.4.27 jeszcze przed oficjalną publikacją. PHP 8.1 i starsze nie dostaną poprawek, a PHP 8.2 traci wsparcie 31 grudnia 2026.

Jeśli nie możesz zaktualizować od razu, PHP podaje tymczasowe ustawienia w php.ini (nie w .user.ini ani przez ini_set()), które jednak nie czynią instalacji bezpieczną: memory_limit = -1, post_max_size = 8M (32M przy wgrywaniu plików), session.upload_progress.enabled = 0, a w PHP 8.5 dodatkowo fatal_error_backtraces = 0. Po zmianie trzeba zrestartować wszystkie procesy PHP.

Co wiadomo o lukach

• Ocena: obie luki mają po 9,2 punktu w skali CVSS 4.0, czyli poziom krytyczny.
• Termin poprawki: 21 października 2026, godz. 16:00 czasu polskiego. Zespół PHP zastrzega, że wyda ją wcześniej, jeśli szczegóły wyciekną albo pojawią się dowody, że luki są już wykorzystywane.
• Szczegóły: opis luk, lista podatnych wersji i numery poprawionych wydań zostaną opublikowane dopiero razem z łatką.
• Nieoficjalnie: według branżowych serwisów chodzi o luki pozwalające zdalnie wykonać kod w samym rdzeniu PHP (CVE-2026-109618 i CVE-2026-109619), a ich istnienie potwierdziła firma badawcza watchTowr. PHP tych informacji oficjalnie nie potwierdził.
• Wersje: poprawki mają objąć wspierane gałęzie PHP 8. Starsze wersje, w tym PHP 7 i 8.1, nie są już wspierane i łatki nie dostaną.

Na razie nie ma publicznego kodu ataku ani dowodów, że luki są wykorzystywane. To zwykle zmienia się szybko po ujawnieniu szczegółów - dlatego liczy się czas od wydania poprawki do jej zainstalowania.

Co zrobić, jeśli masz stronę na PHP

• Sprawdź wersję PHP: w panelu hostingu albo w WordPressie (Narzędzia → Zdrowie witryny → Informacje → Serwer). Jeśli masz PHP 7 lub 8.1 i starsze, poprawki nie dostaniesz - czas na przesiadkę na nowszą wersję.
• Hosting współdzielony: aktualizację zrobi firma hostingowa. Warto sprawdzić jej komunikaty i ewentualnie zapytać, kiedy wgra poprawkę.
• Własny serwer lub VPS: po 16:00 śledź aktualizacje swojej dystrybucji (Debian, Ubuntu i inne zwykle publikują poprawione pakiety w ciągu doby) i zainstaluj je od razu, bez czekania na automatyczną aktualizację w nocy. Po instalacji zrestartuj PHP-FPM.
• Zrób kopię zapasową przed ujawnieniem szczegółów: czysta kopia sprzed ewentualnego ataku ułatwia przywrócenie strony.
• Po aktualizacji sprawdź pliki: zwłaszcza katalogi na wgrywane pliki (np. wp-content/uploads) - nie powinno tam być żadnych plików .php.

Zdjęcie główne to ilustracja wygenerowana przez AI (Gemini).

Na podstawie: php.net - komunikat i wydania z 21.10, php.net, Help Net Security, Qualys, Threat Landscape.