Krótko: Na lukę bezpieczeństwa PHP2Shell w PHP 8.1 nie ma oficjalnej aktualizacji. Projekt PHP dostarcza dla 7.4, 8.0 i 8.1 jedynie minimalne backporty kodu źródłowego, a nie gotowe wydania. Kto eksploatuje te wersje, potrzebuje potwierdzonego backportu dostawcy lub środków przejściowych i powinien teraz zaplanować przejście na wspieraną wersję.
Czy jest aktualizacja na lukę w PHP 8.1?
Nie od projektu PHP. 21 października 2026 ukazały się oficjalne poprawki tylko dla wspieranych gałęzi: 8.5.12, 8.4.27, 8.3.36 i 8.2.35. PHP 8.1 i starsze wersje nie otrzymują już oficjalnych aktualizacji.
Mimo to są dotknięte. Według prasy branżowej podatne wersje sięgają niemal bez wyjątku aż do PHP 5.4. Kto eksploatuje jedną z tych wersji dostępną publicznie, ma więc krytyczną lukę z oceną CVSS v4.0 9,2 bez gotowej poprawki.
Dla wielu firm jest to niespodzianka, bo takie systemy często działają stabilnie i niepozornie od lat. To, że wersja nie dostaje już aktualizacji, nie jest widoczne na co dzień, dopóki nie pojawi się luka taka jak PHP2Shell. Backporty kodu źródłowego dla 7.4, 8.0 i 8.1 są wyjątkiem, a nie wznowieniem regularnej opieki.
Co oznaczają backporty kodu źródłowego
Dla 7.4, 8.0 i 8.1 istnieją minimalne backporty kodu źródłowego. Są to poprawki w kodzie przeniesione na te starsze gałęzie. Nie są oficjalnym wydaniem z numerem wersji, przetestowanym pakietem i changelogiem.
Praktycznie oznacza to: ktoś musi przejąć backport, zbudować z niego PHP od nowa, przetestować i wdrożyć. Może się to odbyć na trzy sposoby:
- Państwa dystrybucja przejmuje poprawkę do swoich pakietów, na przykład w ramach opieki długoterminowej.
- Państwa dostawca hostingu buduje własne pakiety PHP i wprowadza backport.
- Państwo sami lub usługodawca budują PHP ze źródeł. Jest to wymagające i trzeba to powtarzać przy każdej kolejnej luce.
Czy Państwa system otrzymał backport, sprawdzają Państwo w changelogu pakietu:
apt changelog php8.1-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619" # Debian/Ubuntu
rpm -q --changelog php-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619" # rodzina RHEL
Nazwy pakietów różnią się zależnie od dystrybucji i źródła pakietów. Jeśli wpisu brakuje, proszę zapytać dostawcę. Jak działa sprawdzenie w szczegółach, opisuje strona Jak prawidłowo sprawdzić wersję PHP i stan poprawek.
Zabezpieczenie starego serwera do czasu migracji
Dopóki nie działa potwierdzony backport, obowiązują środki przejściowe php.net: niedający się nadpisać memory_limit=-1 z limitem pamięci przez cgroup, post_max_size 8M lub 32M z upload_max_filesize poniżej oraz session.upload_progress.enabled=0 w konfiguracji serwera, następnie restart wszystkich workerów. Nie są pełną ochroną. Szczegóły na stronie Środki natychmiastowe, gdy nie można jeszcze załatać.
Dochodzą środki zmniejszające dostępność: obszary administracyjne tylko przez VPN lub dopuszczone adresy IP, wyłączenie niepotrzebnych stron, ścisłe ograniczenie dostępów do serwera. BSI zaleca czasowe odłączenie serwerów bez aktualizacji od sieci. Dla starej, trudnej do migracji aplikacji odizolowane rozwiązanie może być uczciwszą odpowiedzią niż praca w otwartym internecie.
Jeśli serwer z PHP 8.1 lub starszym od 17 października działał niezabezpieczony w sieci, proszę potraktować to poważnie: BSI spodziewał się szybkiego, masowego wykorzystania luki. Proszę zabezpieczyć logi od 20 października i kazać sprawdzić serwer pod kątem śladów, zanim zacznie się migrację.
Planowanie migracji: na jaką wersję?
Celem jest wersja, którą projekt PHP wspiera i którą Państwa aplikacja znosi. PHP 8.2 zamyka lukę od 8.2.35, ale 31.12.2026 osiąga koniec wsparcia. Kto migruje teraz, powinien więc, o ile aplikacja na to pozwala, przejść możliwie na 8.3 lub nowsze. Aktualny stan podaje php.net na stronie wspieranych wersji.
Którą wersję PHP wspiera Państwa CMS lub sklep, sprawdzają Państwo według wymagań systemowych producenta, na przykład na wordpress.org, shopware.com lub typo3.org. Często najpierw trzeba zaktualizować samą aplikację, zanim PHP będzie mogło się zmienić. Typowym przypadkiem są starsze sklepy, które opisujemy na stronie Shopware 5. Tło dotyczące skutków przestarzałych wersji znajdą Państwo na stronie PHP End of Life: ryzyka przestarzałych wersji.
| Krok | Treść |
|---|---|
| Stan wyjściowy | wersja PHP, aplikacja, rozszerzenia, własne dostosowania |
| Wymagania | wspierane wersje PHP według producenta |
| Środowisko testowe | kopia z nową wersją PHP, analiza dziennika błędów |
| Przełączenie | zaplanowane okno serwisowe, przygotowana droga powrotna |
| Prace końcowe | sprawdzenie wartości przejściowych, konfiguracja nadzoru |
Jak konkretnie pomaga PHP SOS?
Dzięki migracji z PHP 8.1 i starszego prowadzimy Państwa od starej wersji do wspieranej:
- Natychmiastowe zabezpieczenie: sprawdzenie stanu backportów, ustawienie środków przejściowych, zmniejszenie dostępności.
- Sprawdzenie śladów: zabezpieczenie logów od 20 października i analiza pod kątem nieprawidłowości.
- Przygotowanie migracji: wyjaśnienie kompatybilności według producenta, budowa środowiska testowego, usuwanie błędów.
- Przełączenie i dowód: instalacja nowej wersji PHP, restart wszystkich procesów, udokumentowanie stanu.
Częste pytania
Czy PHP 8.1 jest dotknięte przez PHP2Shell?
Według prasy branżowej dotknięte są niemal wszystkie wersje aż do PHP 5.4, łącznie z PHP 8.1. Projekt PHP nie publikuje już dla 8.1 oficjalnych aktualizacji, a jedynie minimalne backporty kodu źródłowego.
Czym jest backport kodu źródłowego?
Poprawką w kodzie źródłowym przeniesioną na starszą gałąź wersji. Nie jest gotowym wydaniem: ktoś musi ją przejąć, zbudować PHP od nowa, przetestować i wdrożyć. Może to zrobić dostawca Państwa dystrybucji, dostawca hostingu lub usługodawca.
Czy wystarczy przejść na PHP 8.2?
Krótkoterminowo PHP 8.2.35 zamyka lukę. PHP 8.2 osiąga jednak 31.12.2026 koniec wsparcia. Kto i tak migruje, powinien więc sprawdzić, czy aplikacja według producenta wspiera także 8.3 lub nowsze.
Mój sklep działa tylko z PHP 7.4. Co teraz?
Wtedy potrzebne są równolegle dwie rzeczy: zabezpieczyć serwer środkami przejściowymi i izolacją oraz doprowadzić aplikację do wersji, która znosi wspieraną wersję PHP. Którą, podają wymagania systemowe producenta.