WordPress działa na PHP, a od wersji PHP zależy, czy strona nadal dostaje poprawki bezpieczeństwa. W październiku 2026 roku w PHP wykryto dwie krytyczne luki, które dało się załatać tylko aktualizacją PHP. Aktualizacja WordPressa nie pomagała. Z tego poradnika dowiesz się, jak sprawdzić wersję PHP w kilka minut, która wersja jest bezpieczna i jak przeprowadzić aktualizację tak, żeby strona dalej działała.
PHP2Shell: dlaczego wersja PHP ma teraz znaczenie
21 października 2026 r. projekt PHP opublikował poprawki dwóch krytycznych luk (CVE-2026-109618 i CVE-2026-109619), nazwanych PHP2Shell. Obie mają ocenę 9,2/10 (CVSS 4.0). W najgorszym razie atakujący może bez logowania uruchamiać na serwerze własne polecenia. W instalacjach Apache z mod_php atak może się zacząć, zanim w ogóle zostanie uruchomiony kod WordPressa.
Luki dotyczą wszystkich wersji każdej gałęzi PHP sprzed wydania z poprawką: 8.2.35, 8.3.36, 8.4.27 i 8.5.12. PHP 8.1 i starsze wersje nie dostają już aktualizacji od projektu PHP. 23 października projekt PHP poinformował jeszcze o trzeciej luce (CVE-2026-115560), której wykorzystanie wymaga rzadkiego połączenia ustawień i kodu aplikacji. Zostanie ona załatana w kolejnym zwykłym wydaniu.
Według fińskiego Narodowego Centrum Cyberbezpieczeństwa (NCSC-FI) 21 października nie było informacji o aktywnym wykorzystywaniu tych luk, ale działający przykładowy kod już istniał, więc sytuacja może się szybko zmienić.
Poprawki bezpieczeństwa PHP ukazują się kilka razy w roku, ale dostają je tylko wspierane gałęzie. Każda gałąź jest poprawiana przez około cztery lata, a luki znalezione później pozostają otwarte. Dlatego wersję PHP warto sprawdzać regularnie, a nie tylko wtedy, gdy o jakiejś luce piszą media.
Jak sprawdzić wersję PHP
W panelu administracyjnym WordPressa
- Zaloguj się do WordPressa jako administrator.
- W menu po lewej wybierz Narzędzia → Stan witryny (w angielskim WordPressie: Tools → Site Health).
- Otwórz kartę Informacja (Info), a w niej sekcję Serwer (Server).
- W wierszu Wersja PHP widać dokładny numer wersji, na przykład 8.3.36.
Spójrz na cały numer. Gałąź (8.3) mówi, czy wersja ma jeszcze wsparcie, a ostatnia liczba (36), czy zainstalowano najnowszą poprawkę. Jeśli wersja jest przestarzała, WordPress pokazuje też w kokpicie ostrzeżenie Wymagana jest aktualizacja języka PHP. Nie czekaj jednak na ostrzeżenie, tylko sam sprawdź numer.
W panelu hostingu
W większości firm hostingowych wersję PHP widać w panelu i można ją tam zmienić. W cPanelu opcja nazywa się zwykle MultiPHP Manager lub Select PHP Version, a w Plesku znajdziesz ją w ustawieniach PHP danej domeny. Jeśli jej nie widzisz, zapytaj dostawcę hostingu, jakiej wersji PHP używa Twoja strona i czy zainstalowano poprawkę z października 2026 roku.
Na serwerze (dla administratorów)
Na własnym serwerze polecenie php -v pokazuje wersję PHP używaną w wierszu poleceń. Strona nie musi działać na tym samym PHP, bo serwer WWW może używać innej wersji przez PHP-FPM lub moduł Apache. Najpewniejszą informację znajdziesz w widoku Stan witryny w WordPressie.
Dystrybucje Linuksa, takie jak Debian, Ubuntu i Red Hat, często przenoszą poprawki do własnych pakietów bez zmiany numeru wersji. Numer może więc wyglądać na stary, chociaż poprawka jest zainstalowana. Sprawdź wtedy w dzienniku zmian pakietu, czy są w nim wymienione identyfikatory CVE.
Która wersja PHP jest bezpieczna?
Bezpieczna wersja spełnia dwa warunki: jej gałąź nadal dostaje poprawki bezpieczeństwa, a na serwerze jest najnowsze wydanie z poprawkami tej gałęzi. W październiku 2026 roku sytuacja wygląda tak:
| Gałąź PHP | Koniec wsparcia bezpieczeństwa | PHP2Shell poprawiony w wersji |
|---|---|---|
| 8.5 | 31.12.2029 | 8.5.12 |
| 8.4 | 31.12.2028 | 8.4.27 |
| 8.3 | 31.12.2027 | 8.3.36 |
| 8.2 | 31.12.2026 | 8.2.35 |
| 8.1 i starsze | zakończone (8.1: 31.12.2025, 7.4: 28.11.2022) | brak oficjalnego wydania |
WordPress zaleca PHP 8.3 lub nowszy. Nadal działa na PHP 7.4, ale wordpress.org ostrzega, że przestarzała wersja może narazić stronę na problemy z bezpieczeństwem. Wsparcie PHP 8.2 kończy się z końcem 2026 roku, więc jeśli Twoja strona go używa, zaplanuj przejście na 8.3 lub 8.4 już teraz.
Dla wersji 7.4, 8.0 i 8.1 zespół bezpieczeństwa PHP opublikował poprawkę PHP2Shell tylko w postaci kodu źródłowego, dla osób, które same kompilują PHP. Niektóre dystrybucje Linuksa i dostawcy hostingu przygotowują własne poprawione pakiety dla starszych wersji. Trwałym rozwiązaniem jest jednak przejście na wspieraną wersję.
Jak zaktualizować PHP
Na hostingu
Na hostingu poprawki w obrębie tej samej gałęzi (na przykład 8.3.35 → 8.3.36) instaluje zwykle dostawca. Zmianę gałęzi (na przykład 8.1 → 8.3) najczęściej robisz sam w panelu hostingu. Zrób to tak:
- Zrób kopię zapasową plików i bazy danych. Wiele firm hostingowych pozwala ją wykonać w panelu.
- Zaktualizuj WordPressa, motywy i wtyczki. Przestarzała wtyczka lub motyw to częsta przyczyna tego, że strona przestaje działać po aktualizacji PHP.
- Najpierw przetestuj na kopii, jeśli hosting ma środowisko testowe (staging).
- Zmień wersję PHP w panelu hostingu.
- Przejrzyj witrynę: stronę główną, formularze, kasę sklepu internetowego i panel administracyjny. W widoku Stan witryny upewnij się, że działa już nowa wersja.
Jeśli coś przestanie działać, wróć na chwilę do poprzedniej wersji, napraw lub wymień problematyczną wtyczkę i spróbuj ponownie. Nie zostawaj przy starej wersji.
Na własnym serwerze
- Zainstaluj zaktualizowane pakiety PHP z dystrybucji (na przykład
apt upgradelubdnf upgrade) albo skompiluj poprawioną wersję. - Uruchom ponownie PHP-FPM, Apache i inne procesy, które wykonują PHP, na przykład zadania w tle. Dopiero wtedy poprawka zacznie działać.
- Jeśli strona działa w kontenerze, zbuduj nowy obraz z poprawionym PHP i wdróż go.
- Na koniec sprawdź wersję w widoku Stan witryny.
Jeśli nie możesz od razu zaktualizować
Według projektu PHP jedyną pełną poprawką jest aktualizacja. Jeśli się opóźnia, administrator serwera może zmniejszyć ryzyko ustawieniami zalecanymi w komunikatach PHP. Na hostingu o ustawieniach decyduje zwykle dostawca.
session.upload_progress.enabled=0blokuje potwierdzone metody ataku na luki CVE-2026-109619 i CVE-2026-115560. Według projektu PHP warto zostawić to ustawienie wyłączone także po aktualizacji, jeśli funkcja nie jest potrzebna.- W PHP 8.5
fatal_error_backtraces=0usuwa kolejną potwierdzoną metodę ataku.
Żadne z tych ustawień nie chroni przed luką CVE-2026-109618. Ustawienia pozwalają zyskać na czasie, ale nie zastępują aktualizacji.
Najczęściej zadawane pytania
Czy WordPress aktualizuje PHP automatycznie?
Nie. WordPress aktualizuje sam siebie, ale PHP to oprogramowanie serwera, które aktualizuje dostawca hostingu lub administrator serwera. Dlatego aktualizacja WordPressa nie usuwa luk PHP2Shell.
Jaką wersję PHP wybrać dla WordPressa?
WordPress zaleca PHP 8.3 lub nowszy. W październiku 2026 roku dobrym wyborem są 8.3 i 8.4, o ile zainstalowano najnowszą poprawkę, a wtyczki obsługują daną wersję.
Czy aktualizacja PHP może zepsuć stronę?
Wydanie z poprawkami w tej samej gałęzi, na przykład 8.3.35 → 8.3.36, rzadko cokolwiek psuje. Zmiana gałęzi może zepsuć starą wtyczkę lub motyw, więc zrób kopię zapasową i najpierw przetestuj.
Czy PHP 7.4 jest jeszcze bezpieczny?
Nie. Jego wsparcie bezpieczeństwa zakończyło się 28 listopada 2022 r. WordPress nadal działa na 7.4, ale wordpress.org ostrzega, że przestarzała wersja może narazić stronę na problemy z bezpieczeństwem.
Skąd mam wiedzieć, czy mój hosting zainstalował poprawkę PHP2Shell?
Sprawdź pełny numer wersji PHP w widoku Stan witryny i porównaj go z tabelą powyżej. Jeśli numer jest niższy, zapytaj dostawcę, czy poprawka jest w jego pakiecie.
Jeśli aktualizacja PHP zepsuje wtyczkę albo potrzebujesz kogoś do opieki nad stroną, skontaktuj się z nami. Pomagamy w aktualizacjach aplikacji WordPress i PHP.
Źródła
- Narodowe Centrum Cyberbezpieczeństwa Finlandii (NCSC-FI): Kriittisiä haavoittuvuuksia PHP:ssa (37/2026) (po fińsku)
- PHP: Security advisory: Critical remote code execution vulnerabilities, update now (po angielsku)
- PHP: RCE via OOM corruption, CVE-2026-109618 (po angielsku)
- PHP: RCE via stale global state, CVE-2026-109619 (po angielsku)
- PHP: wspierane wersje (po angielsku)
- WordPress: wymagania (po angielsku)
