Najczęstsze pytania

Odpowiadamy na pytania właścicielów stron i sklepów. Bez żargonu, konkretnie.

Czym jest PHP2Shell?

+

To potoczna nazwa dwóch poważnych błędów bezpieczeństwa w PHP — CVE-2026-109618 oraz CVE-2026-109619. 21 października 2026 opublikowano poprawki. Nie trzeba rozumieć technicznych szczegółów, żeby sprawdzić, czy serwer Twojej strony otrzymał aktualizację.

Czy mój sklep może być zagrożony?

+

Jeżeli sklep korzysta z PHP i nie ma odpowiednich poprawek, problem może go dotyczyć. Nie oznacza to automatycznie, że każda strona WordPress czy PrestaShop jest podatna. Znaczenie ma faktyczna wersja PHP, pakiety dostawcy i konfiguracja serwera.

Czy strona może być podatna, mimo że wszystko działa?

+

Tak. Wiele problemów bezpieczeństwa nie daje widocznych objawów. Strona może przyjmować zamówienia, a serwer wciąż czekać na pilną aktualizację. Z tego powodu samo sprawdzenie, czy sklep się otwiera, nie wystarcza.

Co może się stać, jeśli ktoś wykorzysta lukę?

+

W określonych warunkach może dojść do uruchomienia nieautoryzowanego kodu na serwerze. W zależności od uprawnień i konfiguracji może to zagrozić dostępności strony, danym klientów i integralności systemu. Nie oznacza to, że te skutki wystąpią na każdej stronie — dlatego ważne są poprawki i realna weryfikacja.

Czy moje zamówienia i dane klientów mogą zostać przejęte?

+

Udany atak na serwer może dać przestępcy dostęp do informacji, które ma prawo odczytać proces aplikacji. Konkretny zakres ryzyka zależy od zabezpieczeń, rodzaju sklepu oraz sposobu przetwarzania danych. Jeżeli podejrzewasz naruszenie danych, sama aktualizacja nie wystarczy — potrzebna jest osobna analiza incydentu.

Czy wystarczy zaktualizować WordPress albo PrestaShop?

+

Nie zawsze. WordPress, PrestaShop czy WooCommerce to aplikacje, a opisywane błędy dotyczą samego PHP. Aktualizacja wtyczek i systemu sklepu jest ważna, ale nie zastępuje poprawienia PHP na serwerze.

Czy zwykły hosting powinien poprawić to za mnie?

+

Często tak. Przy hostingu zarządzanym aktualizacje PHP wykonuje dostawca, nie właściciel strony. Możemy pomóc ustalić status poprawki i wskazać, o co zapytać hosting.

Na czym polega bezpłatna wstępna ocena?

+

Bezpłatna ocena polega na ręcznym przeglądzie publicznie dostępnych informacji dotyczących wskazanej domeny. Nie logujemy się na serwer i nie przeprowadzamy prób wykorzystania luki. Sam formularz nie uruchamia żadnych automatycznych testów.

Dlaczego ocena nie odpowiada po prostu 'bezpieczna' lub 'podatna'?

+

Ponieważ byłoby to nieuczciwe. Wersja PHP często jest ukryta, a niektóre starsze pakiety mogą mieć poprawki bezpieczeństwa dostarczone przez producenta systemu. Sam adres WWW nie pokazuje pełnego stanu serwera.

Co się stanie, jeśli znajdziecie sygnały ryzyka?

+

Skontaktujemy się z Tobą pod podanym e-mailem lub telefonem. Wyjaśnimy ustalenia i zaproponujemy rozwiązanie — jeśli będzie potrzebne. Nie naprawiamy niczego i nie pobieramy opłat bez osobnego uzgodnienia.

Czy to oznacza, że ktoś wlamal sie na moja strone?

+

Nie. Informacja o nowych lukach nie jest dowodem włamania ani podatności konkretnego serwera. Sprawdzenie pomaga ustalić, czy trzeba weryfikować aktualizacje i inne środki ochrony.

Skąd wiecie, że problem jest prawdziwy?

+

21 października 2026 twórcy PHP opublikowali oficjalny komunikat i poprawione wydania. Informacje potwierdzają też PHP Foundation i krajowe instytucje reagowania na incydenty. Na stronie podajemy odnośniki do tych źródeł.

Co oznacza ocena 9,2/10?

+

To techniczna ocena powagi samych luk według standardu CVSS 4.0. Nie znaczy, że Twój sklep ma 92% szans na włamanie. Ryzyko dla konkretnej firmy trzeba ocenić na podstawie jej serwera i zabezpieczeń.

Czy firewall lub Cloudflare załatwia sprawę?

+

Dodatkowe filtry ruchu mogą pomóc ograniczyć niektóre ataki, ale nie zastępują poprawki PHP. Właściwą naprawą jest instalacja bezpiecznej wersji lub poprawki dostawcy i potwierdzenie, że naprawdę działa.

Czy będę musiał podać hasło do hostingu?

+

Nie. Formularz zgłoszeniowy nie prosi o hasła. Jeśli później potrzebny będzie dostęp techniczny do wykonania naprawy, ustalimy bezpieczny sposób przekazania uprawnień w osobnym procesie.

Czy mogę zgłosić stronę bez służbowego e-maila?

+

Jeżeli nie masz skrzynki w domenie, konieczna może być inna forma potwierdzenia upoważnienia, uzgodniona indywidualnie. Sam adres prywatny nie daje prawa do testowania cudzego serwera.