# PHP2Shell: wszystko o krytycznej luce w PHP

> PHP2Shell zrozumiale: CVE-2026-109618 i CVE-2026-109619, dotknięte wersje, kontrola, restart i środki tymczasowe.

Źródło: https://phpsos.de/pl/php2shell/  
Stan: 25.10.2026  
Dostawca: PHP SOS, Pomoc awaryjna PHP i bezpieczeństwo serwerów. Natychmiastowa pomoc przez WhatsApp: https://wa.me/491736494914?text=Dzie%C5%84%20dobry%2C%20PHP%20SOS%2C%20potrzebujemy%20pomocy%20z%20naszym%20serwerem%20PHP.%20Firma%3A%20%E2%80%A6%20Strona%20internetowa%3A%20%E2%80%A6

Dwie krytyczne luki w samym PHP, CVSS 9,2, złośliwy kod bez logowania. Tutaj znajdą Państwo informacje, co jest udokumentowane, które wersje są bezpieczne i co należy teraz zrobić.

- [Czym jest PHP2Shell? Luka wyjaśniona prosto](https://phpsos.de/pl/php2shell/was-ist-php2shell/): PHP2Shell to dwie krytyczne luki w samym PHP, przez które atakujący mogą bez logowania wykonać kod na serwerach WWW. Oto sytuacja jasnymi słowami.
- [CVE-2026-109618: RCE przez stan out-of-memory](https://phpsos.de/pl/php2shell/cve-2026-109618/): CVE-2026-109618 to jedna z dwóch luk PHP2Shell: stan out-of-memory może przerwać PHP w trakcie przetwarzania żądania. Naprawione od PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
- [CVE-2026-109619: RCE przez przestarzały stan globalny](https://phpsos.de/pl/php2shell/cve-2026-109619/): CVE-2026-109619 to druga luka PHP2Shell: stan wewnętrzny żądania może pozostać po zwolnieniu pamięci i zostać wykorzystany przez następne żądanie w tym samym workerze.
- [CVE-2026-115560: wskazówka o session upload progress](https://phpsos.de/pl/php2shell/cve-2026-115560/): CVE-2026-115560 to wskazówka php.net z 23.10.2026: możliwe wykonanie kodu tylko przy nietypowej konfiguracji sesji. Środek do kolejnego wydania: session.upload_progress.enabled=0.
- [Które wersje PHP są podatne?](https://phpsos.de/pl/php2shell/betroffene-php-versionen/): PHP2Shell jest naprawione w PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Dla PHP 8.1 i starszego nie ma już oficjalnych aktualizacji. Tabela pokazuje stan dla każdej gałęzi.
- [Jak prawidłowo sprawdzić wersję PHP i stan poprawek](https://phpsos.de/pl/php2shell/php-version-pruefen/): Sama wyświetlana wersja PHP nie mówi, czy PHP2Shell jest zamknięte. Decydują stan pakietów, backporty i to, czy nowe procesy faktycznie działają.
- [Dlaczego mod_php niesie najwyższe ryzyko](https://phpsos.de/pl/php2shell/mod-php-risiko/): Przy Apache z mod_php zespół PHP ocenia ryzyko PHP2Shell najwyżej: pokazano tam exploit, zanim uruchomi się kod aplikacji. Tak sprawdzić i postąpić.
- [Po aktualizacji: restart PHP-FPM i wszystkich workerów](https://phpsos.de/pl/php2shell/php-fpm-neustart/): Aktualizacja PHP działa dopiero po restarcie wszystkich procesów PHP. Polecenia dla PHP-FPM, Apache, LiteSpeed i kontenerów oraz sposób sprawdzenia restartu.
- [Środki natychmiastowe, gdy nie można jeszcze załatać](https://phpsos.de/pl/php2shell/sofortmassnahmen-ohne-patch/): Jeśli aktualizacja PHP nie jest jeszcze możliwa, środki przejściowe z php.net zmniejszają ryzyko, ale nie chronią w pełni. Tak ustawić je prawidłowo.
- [PHP 8.1 i starsze: co obowiązuje teraz](https://phpsos.de/pl/php2shell/php-8-1-und-aelter/): Dla PHP 8.1, 8.0, 7.4 i starszych wersji nie ma oficjalnych aktualizacji przeciw PHP2Shell. Co dają backporty kodu i jak wygląda droga do wspieranej wersji.
- [Łatanie PHP w kontenerach Docker](https://phpsos.de/pl/php2shell/docker-container-patchen/): Kontenery nie łatają się same. Przeciw PHP2Shell trzeba zbudować lub pobrać obraz PHP na nowo i utworzyć każdy kontener ponownie z nowego obrazu.
- [Czy już doszło do naruszenia? Oznaki po PHP2Shell](https://phpsos.de/pl/php2shell/bin-ich-gehackt-anzeichen/): Dla PHP2Shell nie ma potwierdzonych wskaźników naruszenia. Po czym mimo to poznać, że serwer został zhakowany, i jak sprawdzać bez niszczenia śladów.