# Natychmiastowa pomoc przy PHP2Shell: wsparcie przy luce bezpieczeństwa w PHP

> Pomoc przy luce bezpieczeństwa PHP2Shell: sprawdzamy Państwa serwery, instalujemy poprawki, restartujemy wszystkie procesy i dokumentujemy osiągnięty stan.

Źródło: https://phpsos.de/pl/leistungen/php2shell-soforthilfe/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

**Krótko:** PHP2Shell to dwie krytyczne luki w samym PHP, przez które atakujący mogą wykonać złośliwy kod bez logowania. Jeśli potrzebują Państwo szybkiej pomocy przy tej luce bezpieczeństwa w PHP, przejmujemy zdalnie inwentaryzację, instalację poprawek lub środek przejściowy, restart wszystkich procesów PHP oraz pierwsze poszukiwanie śladów. Na końcu otrzymują Państwo pisemny dowód osiągniętego stanu.

## Pomoc przy luce bezpieczeństwa w PHP: dlaczego trzeba działać teraz

21.10.2026 o godz. 16:00 czasu niemieckiego projekt PHP opublikował poprawki dla CVE-2026-109618 i CVE-2026-109619. Obie luki mają w skali CVSS v4.0 ocenę 9,2 i umożliwiają zdalne wykonanie złośliwego kodu bez konieczności logowania. Dotyczy to typowych trybów pracy: PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed.

BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji) wydał poziom ostrzeżenia 3 (pomarańczowy). Zaleca natychmiastową aktualizację, a jeśli nie jest to możliwe od razu, czasowe odłączenie serwerów WWW od sieci. Palo Alto Networks (Unit 42) naliczyło ponad 22,6 miliona wystawionych na dostęp, potencjalnie podatnych instancji. Według BSI potwierdzone, udane ataki na szeroką skalę początkowo nie były znane, Cloudflare zgłosił jednak już próby ataków.

Dla zarządu i właścicieli oznacza to: każdy publicznie dostępny serwer PHP jest kandydatem do ataku, dopóki nie udowodni się czegoś przeciwnego. Zrozumiałe wyjaśnienie luki znajdą Państwo na stronie [Czym jest PHP2Shell?](https://phpsos.de/pl/php2shell/was-ist-php2shell/).

## Dla kogo jest natychmiastowa pomoc przy PHP2Shell?

Dla firm, agencji i instytucji publicznych, które eksploatują aplikacje PHP i nie mogą lub nie chcą samodzielnie opracować sytuacji z potrzebną dokładnością. Dotyczy to zarówno własnych serwerów root i vServerów, jak i serwerów z Plesk lub cPanel, środowisk kontenerowych oraz serwerów zarządzanych, przy których podział odpowiedzialności jest niejasny.

Także osoby korzystające z dostawcy hostingu często potrzebują wsparcia. Wielu dostawców wprowadza backporty; wtedy Plesk pokazuje nadal 8.2.34, mimo że stan pakietów jest już załatany. I odwrotnie: może być wyświetlany nowy numer wersji, podczas gdy stare procesy PHP nadal działają w pamięci. Które stany uznaje się za naprawione, opisuje strona [Które wersje PHP są podatne?](https://phpsos.de/pl/php2shell/betroffene-php-versionen/).

## Jak konkretnie pomaga PHP SOS?

1. **Inwentaryzacja:** Rejestrujemy wszystkie instalacje PHP, tryby pracy i wersje na Państwa serwerach, łącznie ze stanem pakietów i działającymi procesami. Wynikiem jest lista, które systemy są podatne, naprawione lub niejasne.
2. **Poprawka lub środek przejściowy:** Tam, gdzie to możliwe, instalujemy naprawione wersje (8.5.12, 8.4.27, 8.3.36, 8.2.35) lub pakiety Państwa dystrybucji. Jeśli nie da się tego zrobić od razu, wdrażamy środki przejściowe wg php.net i otwarcie informujemy, że nie zapewniają one pełnej ochrony.
3. **Restart i kontrola:** Restartujemy wszystkie workery i procesy PHP, a następnie sprawdzamy, że żaden stary proces już nie działa. Same nowe pliki nie zamykają luki.
4. **Pierwsze poszukiwanie śladów:** Zabezpieczamy logi serwera od 20.10. i szukamy nieprawidłowości, takich jak nowe pliki PHP, nieznane zadania cron lub nietypowe procesy. Ponieważ nie ma opublikowanych, potwierdzonych wskaźników naruszenia (Indicators of Compromise), kontrola ta opiera się na analizie zachowania.
5. **Dowód i dalsze kroki:** Otrzymują Państwo pisemny raport. W razie podejrzenia naruszenia zalecamy odpowiednie kolejne kroki, na przykład [usuwanie złośliwego oprogramowania](https://phpsos.de/pl/leistungen/malware-entfernung/) lub analizę śledczą.

> **Ważne:**
> Poprawka nie usuwa wcześniej wprowadzonego złośliwego oprogramowania i nie dowodzi, że wcześniej nic się nie stało. Dlatego do natychmiastowej pomocy zawsze należy spojrzenie na okres od 17.10.2026.

## Co od nas otrzymują Państwo

- zestawienie wszystkich sprawdzonych serwerów z wersją PHP, stanem pakietów, trybem pracy i statusem poprawek
- dokumentację zainstalowanych aktualizacji lub wdrożonych środków przejściowych
- dowód, że wszystkie procesy PHP zostały zrestartowane
- ocenę poszukiwania śladów, z podziałem na udowodnione, prawdopodobne i nieznane
- listę otwartych punktów, na przykład systemów z PHP 8.1 lub starszym

Ten raport mogą Państwo przekazać zarządowi, inspektorowi ochrony danych lub ubezpieczycielowi. Nie zastępuje on oceny prawnej.

## Czego potrzebujemy od Państwa

- **Dostęp:** dostęp SSH lub do panelu z odpowiednimi uprawnieniami, ewentualnie zgoda dla Państwa dostawcy hostingu na udzielanie nam informacji
- **Osoba kontaktowa:** osoba uprawniona do podejmowania decyzji, na przykład o krótkiej pracy offline lub o restarcie
- **Przegląd:** które strony, sklepy i aplikacje działają na których serwerach
- **Okno serwisowe:** Państwa wytyczne, kiedy wolno przeprowadzać restarty
- **Kopie zapasowe:** informacja, gdzie znajdują się aktualne kopie

Dla administratorów, którzy chcą wcześniej sprawdzić samodzielnie, często wystarcza ten bezpieczny rzut oka na stan:

```bash
php -v
# Debian/Ubuntu: zainstalowane pakiety PHP z wersją
dpkg -l | grep -i php
# działające procesy PHP i czas ich uruchomienia
ps -eo pid,lstart,cmd | grep -i php
```

## Czego nie obiecujemy

Nie obiecujemy absolutnego bezpieczeństwa ani stwierdzenia, że Państwa serwer nigdy nie został zaatakowany, jeśli dowody tego nie potwierdzają. Pracujemy nad incydentem tak długo, aż zostanie zamknięty i udokumentowany. Czy istnieje obowiązek zgłoszenia na podstawie RODO oraz czy należy poinformować ubezpieczyciela, proszę wyjaśnić z inspektorem ochrony danych, prawnikiem lub ubezpieczycielem. Dostarczamy do tego fakty techniczne.

Jeśli potrzebują Państwo samej aktualizacji z dowodem, odpowiednia jest nasza [usługa łatania PHP](https://phpsos.de/pl/leistungen/php-patch-service/). Jeśli istnieją już oznaki ataku, właściwym punktem wyjścia jest [pomoc awaryjna przy zhakowanej stronie](https://phpsos.de/pl/leistungen/website-gehackt-notfallhilfe/).


## Częste pytania

**Czy wystarczy, że mój dostawca hostingu zaktualizował PHP?**  
Może wystarczyć, jeśli dostawca potwierdził stan pakietów na piśmie i zrestartowano wszystkie procesy PHP. Sam wyświetlany numer wersji nie jest dowodem, ponieważ dystrybucje wprowadzają backporty. Czy serwer został zaatakowany wcześniej, i tak nie rozstrzyga żadna poprawka.

**Czy moja strona musi zostać wyłączona na czas natychmiastowej pomocy?**  
Niekoniecznie. BSI zaleca czasowe odłączenie serwerów WWW od sieci, jeśli aktualizacja nie jest możliwa od razu. Czy jest to konieczne w Państwa przypadku, ustalamy wspólnie po inwentaryzacji.

**Czy aktualizacja WordPressa lub Shopware chroni przed PHP2Shell?**  
Nie. PHP2Shell tkwi w samym PHP, a nie w systemie CMS. Aktualizacja CMS nadal ma sens, ale tej luki nie zamyka.

**Co w przypadku PHP 8.1 lub starszego?**  
Dla tych wersji projekt PHP nie wydaje już oficjalnych aktualizacji, a jedynie minimalne backporty kodu źródłowego dla 7.4, 8.0 i 8.1. Zabezpieczamy serwer na okres przejściowy i planujemy z Państwem przejście na wspieraną wersję.

## Źródła

- [php.net: komunikaty o bezpieczeństwie](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: Federalny Urząd ds. Bezpieczeństwa Informacji (Niemcy)](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)