Co to jest PHP2Shell?
Kluczowe fakty (stan na 22.10.2026)
- • Data publikacji poprawek: 21 października 2026
- • Identyfikatory: CVE-2026-109618 i CVE-2026-109619
- • Ocena CVSS v4.0: 9,2 — krytyczna
- • Poprawione wersje: 8.5.12, 8.4.27, 8.3.36, 8.2.35
- • Źródło: php.net i PHP Foundation
Czym jest ta podatność?
PHP2Shell jest powszechną nazwą dla dwóch powiązanych luk bezpieczeństwa w środowisku PHP. Zostały odkryte i ujawnione w październiku 2026 roku. W określonych warunkach mogą umożliwić nieuprawnione wykonanie kodu na serwerze — bez konieczności znajomości hasła do systemu.
Dotyczy to instalacji PHP używanych przez serwery WWW — zarówno w konfiguracji mod_php (Apache), jak i PHP-FPM. Szczegóły techniczne są dostępne w oficjalnych komunikatach bezpieczeństwa.
Które wersje PHP mają poprawki?
| Gałąź PHP | Poprawiona wersja | Status |
|---|---|---|
| PHP 8.5 | 8.5.12 | Aktywnie utrzymywana |
| PHP 8.4 | 8.4.27 | Aktywnie utrzymywana |
| PHP 8.3 | 8.3.36 | Aktywnie utrzymywana |
| PHP 8.2 | 8.2.35 | Aktywnie utrzymywana |
| PHP 8.1 i starsze | — | EOL — sprawdź backporty dostawcy |
Dostawcy dystrybucji Linux mogą wydać własne pakiety z backportowaną poprawką pod innym numerem wersji. Weryfikacja wymaga sprawdzenia faktycznie zainstalowanego pakietu.
Czy moja strona jest podatna?
Nie można tego określić wyłącznie na podstawie publicznych informacji. Wymagana jest weryfikacja faktycznie uruchomionej wersji PHP, zainstalowanych pakietów systemowych oraz informacji o backportach od dostawcy.
Nasz darmowy tester sprawdza publiczne sygnały — jako punkt wyjścia. Pewna odpowiedź wymaga dostępu do środowiska serwera.
Zewnętrzne źródła informacji
- php.net — oficjalny komunikat o wydaniu poprawek
- PHP Foundation — analiza luk bezpieczeństwa
- NCSC-NL — repozytorium informacji o PHP2Shell
- Docker — poradnik naprawy CVE-2026-109618/119619
PHP2Shell.pl nie jest oficjalnym partnerem php.net, PHP Foundation ani NCSC-NL. Powyższe linki prowadzą do niezależnych instytucji.