# Częste pytania o PHP2Shell i pomoc awaryjną

> Odpowiedzi na częste pytania o PHP2Shell i zdalną pomoc awaryjną.

Źródło: https://phpsos.de/pl/faq/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

## Czym jest PHP2Shell?

PHP2Shell to dwie krytyczne luki w samym PHP (CVE-2026-109618 i CVE-2026-109619, CVSS 9,2). Mogą umożliwić atakującym wykonanie złośliwego kodu na serwerze bez logowania. Poprawki są dostępne od 21.10.2026.

## Które wersje PHP są bezpieczne?

Poprawki zawierają wersje PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Firmy hostingowe i dystrybucje czasem wprowadzają backporty bez zmiany numeru wersji. Rozstrzygający jest stan pakietu lub pisemne potwierdzenie dostawcy.

## Czy wystarczy aktualizacja WordPressa lub sklepu?

Nie. Luka tkwi w PHP, a nie w CMS. Aktualizacja CMS jej nie zamyka. Z kolei poprawka PHP nie usuwa złośliwego kodu, który został wprowadzony wcześniej.

## Jak szybko mogą Państwo pomóc?

Pracujemy zdalnie i zaczynamy, gdy tylko otrzymamy dostępy. Proszę napisać do nas na WhatsApp: system, wersja PHP i obserwacje. Następnie od razu ustalimy sposób działania.

## Czy pracują Państwo także dla agencji i klientów firm hostingowych?

Tak. Pracujemy bezpośrednio dla firm, w tle na zlecenie agencji oraz w uzgodnieniu z Państwa firmą hostingową, jeśli to ona zarządza serwerem.

## Czy musimy zgłosić incydent?

Jeżeli mogą być dotknięte dane osobowe, zgodnie z art. 33 RODO obowiązuje zwykle termin zgłoszenia wynoszący 72 godziny od momentu stwierdzenia naruszenia. To, czy ma on zastosowanie, należy ustalić z inspektorem ochrony danych. Dostarczamy do tego dokumentację techniczną.

## Czy PHP2Shell to luka w WordPressie?

Nie. Luki tkwią w PHP, czyli w języku programowania, na którym działają WordPress, Shopware, TYPO3 i wiele innych systemów. Aktualizacja CMS ich więc nie zamyka. Decydujący jest stan PHP na serwerze.

## Czy jako klient dostawcy hostingu muszę coś zrobić sam?

Przy hostingu współdzielonym aktualizację PHP zwykle instaluje dostawca. Mimo to należy kazać sobie potwierdzić na piśmie, że używana przez Państwa wersja PHP została załatana i zrestartowana. Czy przed poprawką coś się wydarzyło, aktualizacja nie rozstrzyga.

## Skąd wzięła się nazwa PHP2Shell?

Nazwa opisuje skutek: przez PHP atakujący może w najgorszym razie uzyskać na serwerze wiersz poleceń, czyli powłokę (shell). Oficjalne oznaczenia to numery CVE-2026-109618 i CVE-2026-109619.

## Czy moja strona została już zaatakowana, jeśli została wyłączona?

Niekoniecznie. Niektórzy dostawcy z ostrożności odłączyli strony od sieci, tak jak zaleca BSI, gdy aktualizacja nie jest możliwa od razu. Jest to środek ochronny, a nie dowód ataku.

## Czy wystarczy, że mój dostawca hostingu zaktualizował PHP?

Może wystarczyć, jeśli dostawca potwierdził stan pakietów na piśmie i zrestartowano wszystkie procesy PHP. Sam wyświetlany numer wersji nie jest dowodem, ponieważ dystrybucje wprowadzają backporty. Czy serwer został zaatakowany wcześniej, i tak nie rozstrzyga żadna poprawka.

## Czy moja strona musi zostać wyłączona na czas natychmiastowej pomocy?

Niekoniecznie. BSI zaleca czasowe odłączenie serwerów WWW od sieci, jeśli aktualizacja nie jest możliwa od razu. Czy jest to konieczne w Państwa przypadku, ustalamy wspólnie po inwentaryzacji.

## Czy aktualizacja WordPressa lub Shopware chroni przed PHP2Shell?

Nie. PHP2Shell tkwi w samym PHP, a nie w systemie CMS. Aktualizacja CMS nadal ma sens, ale tej luki nie zamyka.

## Co w przypadku PHP 8.1 lub starszego?

Dla tych wersji projekt PHP nie wydaje już oficjalnych aktualizacji, a jedynie minimalne backporty kodu źródłowego dla 7.4, 8.0 i 8.1. Zabezpieczamy serwer na okres przejściowy i planujemy z Państwem przejście na wspieraną wersję.

## Od kiedy biegną 72 godziny?

Według art. 33 RODO od momentu, w którym administrator dowiedział się o naruszeniu. Kiedy w konkretnym przypadku należy to przyjąć, jest oceną prawną. Dlatego proszę dokładnie udokumentować, kto kiedy miał jaką informację.

## Czy każda luka bezpieczeństwa musi być zgłoszona?

Nie. Sama luka nie jest jeszcze naruszeniem ochrony danych osobowych. Obowiązek zgłoszenia może powstać, gdy są przesłanki, że osoby nieuprawnione miały lub mogły mieć dostęp do takich danych, a z tego wynika ryzyko dla osób, których dane dotyczą.

## Co, jeśli po 72 godzinach nadal nie wiem wszystkiego?

Art. 33 ust. 4 RODO pozwala przekazywać informacje stopniowo, jeśli nie można ich przekazać w tym samym czasie. Spóźnione zgłoszenie trzeba uzasadnić. Czekanie na pełną jasność zwykle nie jest więc powodem, aby pozwolić upłynąć terminowi.

## Kto zgłasza, jeśli dotknięty był hoster?

Obowiązek zgłoszenia ciąży na administratorze, czyli zwykle na firmie prowadzącej stronę. Podmiot przetwarzający, taki jak hoster, musi według art. 33 ust. 2 RODO niezwłocznie poinformować administratora.

## Gdzie zgłosić naruszenie danych?

Do właściwego organu nadzorczego ochrony danych, dla firm w Niemczech zwykle organu kraju związkowego, w którym mają siedzibę. Większość organów oferuje w tym celu formularze online.