# Luka bezpieczeństwa PHP wyjaśniona prosto

> Luka w PHP wyjaśniona prosto: czym jest PHP, co przy PHP2Shell idzie źle, co znaczą pojęcia fachowe i co powinni teraz zrobić operatorzy stron internetowych.

Źródło: https://phpsos.de/pl/blog/php-luecke-einfach-erklaert/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

**Krótko:** Luka w PHP wyjaśniona prosto: PHP to oprogramowanie na serwerze WWW, które składa strony internetowe w chwili, gdy ktoś je otwiera. W przypadku PHP2Shell PHP w pewnych wyjątkowych sytuacjach nie sprząta czysto i właśnie to atakujący mogą wykorzystać, aby bez hasła wykonywać własne polecenia na serwerze. Rozwiązaniem jest aktualizacja PHP z następującym po niej restartem, którą zwykle instaluje Państwa dostawca hostingu lub usługodawca.

## Dlaczego akurat wszyscy mówią o PHP

W wiadomościach mówiono o „krytycznej luce bezpieczeństwa”, urzędy odłączały strony od sieci, a BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej) ostrzegało poziomem pomarańczowym. Dla wielu właścicieli i pracowników brzmi to groźnie i zarazem niezrozumiale. Czym jest PHP i dlaczego dotyczy akurat strony własnej firmy?

Ten artykuł wyjaśnia sytuację bez żargonu. Kto chce potem wejść głębiej, znajdzie ocenę techniczną pod hasłem [Czym jest PHP2Shell?](https://phpsos.de/pl/php2shell/was-ist-php2shell/).

## Co właściwie robi PHP: obraz z codziennego życia

Proszę wyobrazić sobie swoją stronę jak restaurację. Gość to odwiedzający, zamówienie to otwarcie strony. PHP to kuchnia: przyjmuje każde zamówienie, wyciąga składniki z magazynu, czyli z bazy danych, i przygotowuje talerz, czyli gotową stronę.

Aby szło szybko, kuchnia ma kilku kucharzy, którzy jeden po drugim realizują wiele zamówień. Fachowcy nazywają ich „workerami”. Po każdym zamówieniu stanowisko pracy powinno być całkowicie posprzątane, zanim nadejdzie następne.

Na PHP działa bardzo wiele znanych systemów: WordPress, Shopware, TYPO3, Joomla, Nextcloud i niezliczone rozwiązania własne. Jak PHP działa w zasadzie, wyjaśnia artykuł [Czym jest PHP?](https://phpsos.de/pl/php/was-ist-php/).

## Luka w PHP wyjaśniona prosto: co idzie źle przy PHP2Shell

PHP2Shell składa się z dwóch błędów. Oba mają związek ze sprzątaniem i oba występują tylko w sytuacjach wyjątkowych.

**Pierwszy błąd (CVE-2026-109618):** Czasem kuchni brakuje w trakcie przygotowywania miejsca. Fachowcy mówią „Out of Memory”, pamięć jest pełna. Wtedy praca zostaje przerwana, gdy zamówienie jest przygotowane dopiero w połowie. Przy późniejszym sprzątaniu PHP omyłkowo uznaje niedokończone rzeczy za gotowe.

**Drugi błąd (CVE-2026-109619):** Po zamówieniu na stanowisku pracy zostaje coś, co powinno już być sprzątnięte. Następne zamówienie u tego samego kucharza może się do tego odwołać, zanim zostanie usunięte.

W obu przypadkach obowiązuje: kto dokładnie wie, jak wywołać tę sytuację wyjątkową, może skłonić kuchnię do robienia rzeczy, których nikt nie zamawiał. W najgorszym razie przejmuje kontrolę nad serwerem. Hasło do tego nie jest mu potrzebne. Jak żądanie jest przetwarzane w PHP krok po kroku, opisuje artykuł o [cyklu życia żądania](https://phpsos.de/pl/php/request-lebenszyklus/).

> **Wskazówka:**
> Nie muszą Państwo rozumieć techniki, aby postąpić właściwie. Decydujące jest jedno pytanie do dostawcy hostingu lub usługodawcy: Czy PHP na naszym serwerze jest zaktualizowane i zrestartowane i czy mogą to Państwo potwierdzić na piśmie?

### Najważniejsze pojęcia w skrócie

| Pojęcie | Wyjaśnione prosto |
|---|---|
| PHP | oprogramowanie na serwerze, które składa strony internetowe przy otwarciu |
| Luka bezpieczeństwa | błąd, który obcy mogą wykorzystać |
| Numer CVE | jednoznaczny na całym świecie numer identyfikacyjny luki bezpieczeństwa |
| CVSS 9,2 | stopień dotkliwości w skali do 10; 9,2 uchodzi za krytyczny |
| Remote Code Execution | obcy mogą z zewnątrz wykonywać własne polecenia na serwerze |
| Shell | wiersz poleceń, którym można sterować serwerem |
| Patch | aktualizacja, która usuwa błąd |
| Backport | poprawka wbudowana w starszą wersję bez zmiany numeru wersji |
| Restart | zakończenie starych procesów PHP, aby naprawiona wersja faktycznie pracowała |

## Dlaczego aktualizacja, restart i sprawdzenie należą do siebie

Zostańmy przy restauracji. Aktualizacja to nowa instrukcja pracy dla kuchni: od teraz sprząta się tak. Tyle że kucharze, którzy są właśnie na zmianie, nadal pracują według starej instrukcji. Dopiero gdy zmiana się wymieni, obowiązuje nowa. Dokładnie tym jest restart: wszystkie stare procesy PHP są kończone, nowe startują z poprawioną wersją. Bez restartu aktualizacja leży wprawdzie na serwerze, ale nie działa.

Ten obraz pokazuje jeszcze coś. Nowa instrukcja pracy zapobiega przyszłym awariom, ale nie mówi nic o tym, czy w dniach wcześniejszych ktoś niezauważenie nie był w kuchni i czegoś nie ukrył. Dlatego po aktualizacji należy sprawdzić ślady, zwłaszcza jeśli serwer był osiągalny w czasie między 17 października a aktualizacją.

## Co teraz zrobić: trzy typowe sytuacje wyjściowe

To, co trzeba zrobić, zależy od tego, gdzie znajduje się Państwa strona.

1. **Państwa strona znajduje się u dostawcy hostingu (hosting współdzielony).** Dostawca hostingu zwykle instaluje aktualizację PHP. Państwa zadanie: uzyskać pisemne potwierdzenie i sprawdzić w menu klienta, czy ustawiona jest aktualna wersja PHP. Co jeszcze należy do Państwa zadań, opisuje strona [Hosting współdzielony: co robi dostawca, a co muszą zrobić Państwo](https://phpsos.de/pl/server/shared-hosting/).
2. **Stroną opiekuje się agencja lub usługodawca IT.** Proszę zapytać tam, czy aktualizacja została zainstalowana i czy PHP zrestartowano, oraz poprosić o krótkie sprawdzenie nieprawidłowości.
3. **Mają Państwo własny serwer.** Wtedy odpowiadają Państwo sami lub Państwa IT: zaktualizować PHP, zrestartować wszystkie procesy PHP, zabezpieczyć logi od 20 października i sprawdzić ślady.

We wszystkich trzech przypadkach obowiązuje: aktualizacja WordPressa lub innego systemu na stronie nie zamyka luki. A aktualizacja nie dowodzi, że wcześniej nic się nie wydarzyło.

## Jak konkretnie pomaga PHP SOS?

- **Jasne wyjaśnienie:** Mówimy Państwu wyraźnymi słowami, czy i jak dotknięte są Państwa systemy.
- **Rozmowa z dostawcą hostingu:** Na życzenie wyjaśniamy stan poprawek bezpośrednio z Państwa dostawcą hostingu lub usługodawcą.
- **Aktualizacja i sprawdzenie:** Przy własnych serwerach instalujemy aktualizację, restartujemy PHP i sprawdzamy ślady.
- **Zapis na piśmie:** Otrzymują Państwo krótką dokumentację stanu.

Więcej pod hasłem [natychmiastowa pomoc przy PHP2Shell](https://phpsos.de/pl/leistungen/php2shell-soforthilfe/).

## Podsumowanie

PHP2Shell brzmi skomplikowanie, ale sytuacja w swojej istocie taka nie jest: kuchnia Państwa strony w wyjątkowych przypadkach nie sprząta jak należy i można to wykorzystać. Aktualizacja to naprawia. Państwa zadaniem jest upewnić się, że została zainstalowana, aktywowana i udokumentowana, a w razie wątpliwości kazać sprawdzić, czy wcześniej ktoś nie był w kuchni.


## Częste pytania

**Czym jest PHP prostymi słowami?**  
PHP to język programowania, który działa na serwerze WWW. Gdy otwierają Państwo stronę, PHP składa ją w tym momencie, na przykład z aktualnymi produktami, cenami lub Państwa koszykiem, i wysyła do przeglądarki.

**Czy moja strona jest dotknięta, jeśli używam WordPressa?**  
WordPress działa na PHP, dlatego serwer pod nim może być dotknięty. Czy Państwa strona jest zagrożona, zależy od stanu PHP na serwerze, a nie od wersji WordPressa. Proszę zapytać dostawcę hostingu lub usługodawcę o aktualizację PHP.

**Czy jako odwiedzający stronę mogę być zagrożony?**  
Luka dotyczy serwerów, a nie komputerów odwiedzających. Jeśli jednak serwer zostanie przejęty, atakujący mogliby na przykład zmieniać treści lub przekierowywać odwiedzających na obce strony. Dlatego aktualizacja jest ważna dla operatorów.

**Co oznacza nazwa PHP2Shell?**  
Opisuje możliwy skutek: przez PHP atakujący może w najgorszym razie uzyskać powłokę (shell), czyli rodzaj zdalnego sterowania serwerem. Oficjalne oznaczenia to CVE-2026-109618 i CVE-2026-109619.

## Źródła

- [php.net: komunikaty o bezpieczeństwie](https://www.php.net/)
- [BSI: Federalny Urząd ds. Bezpieczeństwa w Technice Informatycznej (Niemcy)](https://www.bsi.bund.de/)
- [ZDFheute: Sicherheitslücke bei PHP](https://zdfheute.de/politik/sicherheitsluecke-php-webseiten-onlinedienste-cybersicherheit-bsi-100.html)