# Które wersje PHP są podatne? > Które wersje PHP dotyka PHP2Shell i które są naprawione: tabela wersji od 8.5 do 5.4, wskazówki o backportach, końcu wsparcia i dalszym postępowaniu. Źródło: https://phpsos.de/pl/php2shell/betroffene-php-versionen/ Stan: 25.10.2026 Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6 **Krótko:** Luką bezpieczeństwa PHP2Shell dotknięte są gałęzie 8.2 do 8.5 do wydań z 21 października 2026, według prasy branżowej niemal wszystkie wersje aż do PHP 5.4. Jest naprawiona w PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Dla PHP 8.1 i starszego nie ma już oficjalnych aktualizacji, a jedynie minimalne backporty kodu źródłowego dla 7.4, 8.0 i 8.1. ## Które wersje dotknęła luka bezpieczeństwa w PHP? PHP2Shell obejmuje dwie luki, CVE-2026-109618 i CVE-2026-109619, każdą ocenioną w skali CVSS v4.0 na 9,2. Obie umożliwiają zdalne wykonanie złośliwego kodu bez logowania. 21 października 2026 o godz. 14:00 UTC (16:00 czasu niemieckiego) projekt PHP opublikował poprawki dla wszystkich wspieranych gałęzi. | Gałąź PHP | Ostatni stan przed poprawką | Naprawione od | Wsparcie | |---|---|---|---| | 8.5 | 8.5.11 | **8.5.12** | oficjalnie wspierana | | 8.4 | 8.4.26 | **8.4.27** | oficjalnie wspierana | | 8.3 | 8.3.35 | **8.3.36** | oficjalnie wspierana | | 8.2 | 8.2.34 | **8.2.35** | kończy się 31.12.2026 | | 8.1, 8.0, 7.4 | wszystkie stany | brak oficjalnego wydania | tylko minimalne backporty kodu źródłowego | | 7.3 do 5.4 | według prasy branżowej dotknięte niemal wszystkie | brak aktualizacji | od lat bez wsparcia | Dane dotyczące 8.2 do 8.5 pochodzą z komunikatów php.net. Stwierdzenie o wersjach do PHP 5.4 pochodzi z prasy branżowej; pełnej oficjalnej listy dla starych wersji nie ma. Dla osób nietechnicznych w kilku zdaniach: jeśli na Państwa serwerze jest wersja z kolumny „Naprawione od” lub wyższa i po tym zrestartowano wszystkie procesy PHP, PHP2Shell jest zamknięte. Jeśli widnieje tam starszy numer, to albo w grę wchodzi backport, który musi potwierdzić Państwa dostawca, albo luka jest otwarta. W razie wątpliwości proszę zapytać swój dział IT lub dostawcę hostingu dokładnie o te trzy punkty: wersja, backport, restart. ## Dotknięte tryby pracy Numer wersji to tylko połowa odpowiedzi. Dotknięte są wszystkie powszechne sposoby eksploatacji PHP na serwerze WWW: PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. Zespół PHP ocenia ryzyko przy mod_php najwyżej, ponieważ pokazano tam exploit, zanim w ogóle uruchomi się kod aplikacji. Szczegóły na stronie [Dlaczego mod_php niesie najwyższe ryzyko](https://phpsos.de/pl/php2shell/mod-php-risiko/). Ochrony nie daje aplikacja: czy to WordPress, Shopware, TYPO3, Laravel czy rozwiązanie własne, aktualizacja aplikacji nie zamyka luki w PHP. ## Backporty: gdy numer wersji wprowadza w błąd Wiele dystrybucji Linuxa i dostawców hostingu dostarcza PHP we własnych pakietach. Zamiast przeskakiwać na nową wersję upstream, przejmują poprawkę jako backport do swojej istniejącej wersji. Ma to praktyczny skutek: wyświetlany numer pozostaje stary. Przykładem z obecnej sytuacji jest Plesk, który może nadal pokazywać 8.2.34, choć błąd jest naprawiony. Dla Państwa oznacza to: powyższa tabela dotyczy oficjalnych wydań php.net. W przypadku pakietów z Państwa dystrybucji lub od dostawcy hostingu decydują stan pakietu i potwierdzenie dostawcy. Jak sprawdzić jedno i drugie, pokazuje strona [Jak prawidłowo sprawdzić wersję PHP i stan poprawek](https://phpsos.de/pl/php2shell/php-version-pruefen/). Szybki test w wierszu poleceń: ```bash php -v apt policy php8.3-fpm # Debian/Ubuntu, nazwa pakietu zależy od wersji i źródła dnf info php-fpm # rodzina RHEL ``` > **Ważne:** > Naprawiony numer wersji na dysku nie oznacza jeszcze, że działa. Dopiero po restarcie wszystkich procesów PHP serwer pracuje z poprawionym kodem. ## Co obowiązuje dla PHP 8.1 i starszego? Dla PHP 8.1, 8.0 i 7.4 istnieją tylko minimalne backporty kodu źródłowego, czyli poprawki w kodzie, które ktoś musi sam przejąć i skompilować. Oficjalne wydania się nie ukazują. Niektóre dystrybucje z długoterminową opieką wbudowują takie poprawki do swoich pakietów; czy dotyczy to Państwa systemu, można ustalić tylko z changelogu pakietu lub u dostawcy. Na dłuższą metę nie ma drogi poza wspieraną wersją. Którą wersję PHP znosi Państwa CMS lub sklep, sprawdzają Państwo według wymagań systemowych producenta, na przykład na wordpress.org, shopware.com lub typo3.org. Więcej na stronie [PHP 8.1 i starsze: co obowiązuje teraz](https://phpsos.de/pl/php2shell/php-8-1-und-aelter/). ## A CVE-2026-115560? 23 października php.net opublikował wskazówkę o trzeciej luce. Działa ona tylko przy nietypowej konfiguracji sesji. Naprawionej wersji według stanu z 25 października jeszcze nie ma; do kolejnego regularnego wydania poprawkowego środek zaradczy brzmi `session.upload_progress.enabled=0`. Lista wersji spodziewana jest dopiero z pełnym advisory. ## Jak konkretnie pomaga PHP SOS? - **Inwentarz:** Rejestrujemy wszystkie wersje PHP na Państwa serwerach, także instalacje dodatkowe dla pojedynczych stron, które łatwo przeoczyć. - **Porównanie:** Dla każdej instalacji ustalamy, czy istnieje oficjalne wydanie, backport dystrybucji czy brak poprawki. - **Aktualizacja z dowodem:** Przez [usługę łatania PHP](https://phpsos.de/pl/leistungen/php-patch-service/) instalujemy poprawkę i restartujemy wszystkie procesy. - **Plan migracji:** Dla wersji bez oficjalnych aktualizacji planujemy przejście w ramach [migracji z PHP 8.1 i starszego](https://phpsos.de/pl/leistungen/php-migration-legacy/) i do tego czasu zabezpieczamy serwer. ## Częste pytania **Czy PHP 8.3.35 jest jeszcze bezpieczne?** Nie, o ile dostawca nie wprowadził backportu. 8.3.35 to ostatni stan przed poprawką; PHP2Shell jest naprawione w gałęzi 8.3 od 8.3.36. W pakietach dystrybucji numer może pozostać taki sam, mimo że błąd jest naprawiony. Wtedy liczy się changelog pakietu lub potwierdzenie dostawcy. **Czy PHP 7.4 jest dotknięte przez PHP2Shell?** Według prasy branżowej dotknięte są niemal wszystkie wersje aż do PHP 5.4. Dla 7.4, 8.0 i 8.1 istnieją tylko minimalne backporty kodu źródłowego i brak oficjalnych wydań. Przejście na wspieraną wersję to wiarygodna droga. **Dlaczego Plesk pokazuje 8.2.34, choć załatano?** Dystrybucje i dostawcy hostingu przejmują poprawki częściowo jako backport do swoich istniejących pakietów. Numer wersji pozostaje wtedy taki sam, a błąd mimo to jest naprawiony. Proszę sprawdzić stan pakietu lub kazać dostawcy potwierdzić poprawkę. **Jaką wersję PHP powinienem teraz wybrać?** Wspieraną wersję, którą Państwa aplikacja dopuszcza według wymagań systemowych producenta. PHP 8.2 osiąga koniec wsparcia 31.12.2026; kto i tak teraz zmienia wersję, powinien to uwzględnić. ## Źródła - [php.net: komunikaty o bezpieczeństwie](https://www.php.net/) - [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php) - [php.net: wspierane wersje](https://www.php.net/supported-versions.php) - [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)