Krótko: Co zrobić jako klient hostingu przy luce PHP2Shell? Aktualizacji PHP zwykle nie muszą Państwo instalować sami, w hostingu współdzielonym przejmuje to dostawca hostingu. Państwa zadania są inne: uzyskać pisemne potwierdzenie stanu poprawek, wybrać w menu klienta wspieraną wersję PHP i sprawdzić stronę pod kątem nieprawidłowości. 15 najczęstszych pytań na ten temat omawia ten artykuł krótko i po kolei.
Luka PHP a klient hostingu: czy mnie dotyczy, co robić?
Od 21 października 2026 docierają do nas liczne pytania od firm, których strona znajduje się u dostawcy hostingu. Większość dotyczy tych samych punktów. Kto chce przeczytać o odpowiedzialnościach dokładniej, znajdzie je pod hasłem Hosting współdzielony: co robi dostawca, a co muszą zrobić Państwo.
1. Czy moja strona w ogóle jest dotknięta?
Jeśli Państwa strona działa na WordPressie, Shopware, TYPO3, Joomla, Contao lub innym systemie PHP, serwer pod nią może być dotknięty. Czyste strony HTML bez PHP nie są. W razie wątpliwości pomoże spojrzenie do menu klienta: jeśli jest tam ustawienie wersji PHP, używają Państwo PHP.
2. Jaka jest różnica między hostingiem współdzielonym a własnym serwerem?
W hostingu współdzielonym dzielą Państwo serwer prowadzony przez dostawcę hostingu z innymi klientami; dostawca hostingu dba o PHP. Przy własnym serwerze root lub vServer odpowiadają Państwo sami. Przy serwerze zarządzanym umowa reguluje, kto instaluje aktualizacje.
3. Mój dostawca hostingu wysłał mail masowy. Czy muszę jeszcze coś zrobić?
Proszę dokładnie przeczytać, co w nim stoi. Mail masowy potwierdza często tylko, że dostawca hostingu „pracuje nad tematem”. Potrzebują Państwo wypowiedzi dotyczącej Państwa pakietu: gałąź PHP, stan poprawek, termin i restart.
Odpowiedzialność i aktualizacja
4. Czy dostawca hostingu instaluje aktualizację automatycznie?
Z reguły tak, dla wersji PHP, które oferuje na swoich serwerach. Czy już to nastąpiło i czy objęto także starsze wersje, różni się w zależności od dostawcy hostingu. Proszę zapytać.
5. Moje menu klienta pokazuje starą wersję. Czy jestem bez ochrony?
Niekoniecznie. Wielu dostawców hostingu wbudowuje poprawki jako backport, numer pozostaje wtedy ten sam. Plesk może na przykład nadal pokazywać 8.2.34, choć błąd jest naprawiony. Miarodajne jest potwierdzenie dostawcy hostingu.
6. Używam jeszcze PHP 7.4 lub 8.1. Co teraz?
Te gałęzie nie otrzymują od projektu PHP już oficjalnych aktualizacji. Niektórzy dostawcy hostingu dostarczają własne poprawki, inni nie. Proszę wyjaśnić to na piśmie i zaplanować przejście na wspieraną gałąź. Wcześniej proszę sprawdzić w wymaganiach systemowych swojego CMS, które wersje PHP wspiera.
7. Czy mogę sam przestawić wersję PHP?
U większości dostawców hostingu tak, w menu klienta. Jak to zrobić i na co zwrócić uwagę wcześniej, opisuje artykuł Zmiana wersji PHP w panelu klienta hostingu. Wcześniej proszę wykonać kopię zapasową.
8. Czy pomaga aktualizacja WordPressa lub wtyczek?
Przeciw PHP2Shell nie, ponieważ luka tkwi w PHP. Aktualizacje CMS mimo to mają sens, bo zamykają inne luki.
Sprawdzanie i dowód
9. Jak uzyskać dowód od dostawcy hostingu?
Pisemnym zapytaniem, które wymaga konkretnych informacji: stan pakietów dla każdej gałęzi PHP, data instalacji, restart wszystkich procesów PHP. Wzór do skopiowania oferuje poradnik Żądanie potwierdzenia aktualizacji PHP od dostawcy hostingu.
10. Czy mogę ustawić środki przejściowe przez .user.ini?
Nie. php.net wyraźnie odradza ustawianie ustawień przejściowych przez ini_set() lub .user.ini. Należą do konfiguracji serwera, a tę w hostingu współdzielonym prowadzi dostawca hostingu.
11. Moja strona była krótko offline. Czy zostałem zhakowany?
Niekoniecznie. Niektórzy dostawcy hostingu prewencyjnie wyłączali strony lub restartowali serwery. Proszę zapytać o powód, zanim wyciągną Państwo wnioski.
12. Po czym poznać, że moja strona została zaatakowana?
Możliwe wskazówki to nieznane konta administratorów, nowe pliki PHP w katalogu przesyłania, przekierowania na obce strony, obce strony w indeksie Google lub ostrzeżenia w Search Console. Proszę poprosić dostawcę hostingu o przechowywanie logów dostępu od 20 października.
Gdy coś się nie zgadza
13. Dostawca hostingu nie odpowiada lub odpowiada wymijająco. Co robić?
Proszę zapytać na piśmie i wyznaczyć rozsądny termin. Jeśli odpowiedzi nie ma, serwer należy traktować jako niesprawdzony i rozważyć czasowe przestawienie strony na statyczną stronę awaryjną.
14. Czy zmienić dostawcę hostingu?
Zmiana w środku sytuacji niesie własne ryzyka. Ma sens, gdy dostawca hostingu stale nie udziela informacji lub nadal prowadzi stare wersje PHP bez poprawki. Na co zwrócić przy tym uwagę, opisuje artykuł Zmiana dostawcy hostingu po incydencie.
15. Czy muszę coś zgłosić?
Jeśli istnieją wskazówki na atak i mogą być dotknięte dane osobowe, może istnieć obowiązek zgłoszenia według RODO, z reguły w ciągu 72 godzin. Proszę wyjaśnić to z inspektorem ochrony danych lub prawnikiem. Nie jest to porada prawna.
Państwa krótka lista kontrolna
- Zapytać dostawcę hostingu na piśmie o stan poprawek i restart.
- Sprawdzić wersję PHP w menu klienta, zastąpić przestarzałe gałęzie.
- Przejrzeć konta administratorów i katalog przesyłania.
- Sprawdzić Search Console pod kątem ostrzeżeń.
- Przy nieprawidłowościach poszukać pomocy, zanim usuną Państwo pliki.
Jak konkretnie pomaga PHP SOS?
- Wyjaśnienie z dostawcą hostingu: Formułujemy zapytanie lub prowadzimy rozmowę i oceniamy odpowiedź.
- Sprawdzenie strony: Szukamy śladów w plikach, bazie danych i kontach, na ile pozwala pakiet hostingowy.
- Oczyszczenie: Jeśli znajdziemy złośliwy kod, usuwamy go i zmieniamy wszystkie dostępy.
- Dokumentacja: Otrzymują Państwo stan na piśmie.
Przy konkretnym podejrzeniu pomoże pomoc awaryjna przy zhakowanych stronach.
Podsumowanie
Jako klient hostingu nie ponoszą Państwo przy PHP2Shell ciężaru aktualizacji, ale odpowiedzialność za swoją stronę. Większość pytań da się załatwić jasną pisemną odpowiedzią dostawcy hostingu. To, co potem zostaje, to spojrzenie na własną stronę: konta, pliki, wskazówki Google. Kto zrobił jedno i drugie, wykonał swoją część i w razie wątpliwości może udowodnić, że postępował starannie.
Częste pytania
Kto odpowiada za aktualizację PHP w hostingu WWW?
W hostingu współdzielonym z reguły dostawca hostingu, ponieważ to on prowadzi serwer i instalację PHP. Państwo odpowiadają za swoją stronę, swoje dostępy i wybór wersji PHP w menu klienta. W przypadku serwerów zarządzanych podział reguluje umowa.
Dlaczego mój dostawca hostingu wyświetla starą wersję PHP?
Wielu dostawców hostingu i dystrybucje wbudowują poprawkę jako backport w istniejącą wersję. Numer pozostaje wtedy ten sam, choć luka jest zamknięta. Proszę zatem polegać na pisemnym potwierdzeniu dostawcy hostingu, a nie na wyświetlanej wersji.
Co jako klient hostingu mogę sprawdzić sam?
Mogą Państwo skontrolować ustawioną wersję PHP w menu klienta, przejrzeć konta administratorów swojego CMS, poszukać nieznanych plików w katalogu przesyłania i sprawdzić Search Console pod kątem ostrzeżeń. Stan poprawek samego serwera może udokumentować tylko dostawca hostingu.
Czy pomaga ustawienie zapory w pakiecie hostingowym?
Reguły zapory dostawcy hostingu lub usługi przed serwerem mogą obniżyć ryzyko. Nie zastępują jednak aktualizacji PHP na serwerze. Dlatego proszę zawsze najpierw pytać o aktualizację.