Krótko: Jeśli Państwa serwer PHP sprawia problemy i chcą Państwo porozmawiać bezpośrednio z ekspertem, proszę zadzwonić lub napisać na WhatsApp. Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy. Wyjaśniamy zdalnie, czy za problemem stoi awaria, błędna konfiguracja czy atak, i przejmujemy sprawę od pierwszej wiadomości, aż incydent zostanie zakończony i udokumentowany.
Teraz niczego nie usuwać i niczego nie instalować od nowa. Także restart lub rollback może zatrzeć ślady. Proszę najpierw opisać nam, co Państwo widzą. Zgłoś awarię, następnie ustalimy kolejny krok.
Czy są Państwo dotknięci? Te zakłócenia są sprawą dla nas
Nie każde zakłócenie jest atakiem, ale w tych dniach warto sprawdzić. Proszę się zgłosić, jeśli w Państwa systemie PHP występuje coś z poniższych:
- Procesy PHP lub serwer WWW przerywają działanie, ciągle uruchamiają się ponownie lub są kończone przez system (status wyjścia 137).
- Obciążenie rośnie bez widocznej przyczyny albo pamięć się zapełnia.
- Strony zwracają puste odpowiedzi, błędy 500 lub komunikaty o błędach, których wcześniej nie było.
- Pod serwerem WWW lub PHP-FPM działają procesy, które uruchamiają powłokę.
- W folderze uploadu lub pamięci podręcznej leżą pliki PHP, których Państwo nie znają.
- Po aktualizacji PHP aplikacja przestała działać.
- Hostingodawca zablokował dostęp lub wyłączył stronę.
Różnica między awarią a atakiem ujawnia się zwykle dopiero w logach. Pierwsze wskazówki, na co zwrócić uwagę, opisuje wpis Serwer WWW uruchamia powłokę.
Co należy zrobić teraz
- Obserwować, zanim Państwo zainterweniują. Proszę zanotować godzinę, komunikaty o błędach i to, co ostatnio zmieniono (aktualizacja, wtyczka, konfiguracja).
- Zabezpieczyć logi. Proszę skopiować dzienniki serwera WWW, PHP i systemowe, zanim zostaną zrotowane. Prasa branżowa zaleca przechowywanie logów od 20.10.2026.
- Nie restartować na ślepo. Restart usuwa niektóre awarie, ale niszczy ulotne ślady. Proszę restartować, jeśli wymaga tego działalność, i zanotować, co zostało zrobione.
- Rozważyć dostępność. Jeśli podejrzewają Państwo atak, odizolowanie lub wyłączenie jest często słuszne. BSI (niemiecki Federalny Urząd ds. Bezpieczeństwa Informacji) zaleca to, gdy aktualizacja nie jest od razu możliwa.
- Ustalić wersję PHP.
php -vpokazuje wersję, ale nie zawsze tę, która działa w środowisku serwera WWW. - Zadzwonić lub napisać. Im dokładniej opiszą Państwo sytuację, tym szybciej dojdziemy do sedna.
Jak PHP SOS pomaga w praktyce?
Pracujemy zdalnie, bez dojazdu, w całych Niemczech i w Europie.
- Ocena sytuacji: W pierwszej rozmowie słuchamy i pytamy celowo: systemy, tryb pracy PHP, czas, ostatnie zmiany. Potem wiedzą Państwo, czy widzimy awarię, czy podejrzenie ataku.
- Zabezpieczenie i zamknięcie: Zabezpieczamy stan, usuwamy przyczynę i w razie potrzeby zamykamy lukę aktualizacją, restartem i środkami przejściowymi.
- Sprawdzenie i oczyszczenie: Jeśli ujawni się włamanie, usuwamy złośliwy kod, sprawdzamy dostępy i sekrety. W przeciwnym razie dokumentujemy przyczynę i dbamy o czyste działanie.
- Wzmocnienie i raport: Otrzymują Państwo krótki raport i zalecenia, aby zakłócenie się nie powtórzyło.
Jeśli kryje się za tym coś więcej, przechodzimy do pomocy awaryjnej przy zhakowanej stronie lub do uporządkowanej reakcji na incydenty (Incident Response).
Pamięć, przerwania i nowy limit
Od wydań bezpieczeństwa z 21.10.2026 (8.5.12, 8.4.27, 8.3.36, 8.2.35) istnieje dyrektywa memory_hard_limit_percent. Od tego czasu memory_limit jest limitem miękkim. Bez własnego ustawienia twardym limitem jest dwukrotność memory_limit do 1G, powyżej tego memory_limit plus 1G. Po jego przekroczeniu proces kończy się natychmiast ze statusem wyjścia 137. Działalność, która przed aktualizacją pracowała tuż przy limicie, może przez to nagle wykazywać przerwania. To nie atak, lecz skutek poprawki, a rozwiązaniem jest prawidłowe dostosowanie aplikacji lub limitu, a nie wycofanie aktualizacji.
I odwrotnie: kto widzi zawieszone procesy i nie wgrał jeszcze poprawki, nie powinien traktować tego jako przypadku, ponieważ luka CVE-2026-109618 wiąże się ze stanem braku pamięci (Out-of-Memory). To, czy ma to u Państwa znaczenie, pokażą logi. Tło dotyczące zarządzania pamięcią znajdą Państwo w artykule Out-of-Memory w PHP, możliwe oznaki włamania w artykule Podejrzane procesy w Linuksie.
Gdy interweniuje hostingodawca
Niektórzy dostawcy blokują konta lub prewencyjnie wyłączają strony. Nie oznacza to automatycznie, że zostali Państwo zhakowani, ale może być skutkiem nieprawidłowości. Proszę zapytać o powód i czas, poprosić o logi i odnotować, czego dostawca żąda. Uzgadniamy się z Państwa hostingodawcą, jeśli Państwo sobie tego życzą. Warto wcześniej wyjaśnić, kto u dostawcy może podejmować decyzje i czy dostępne są tam dzienniki serwera, do których sami Państwo nie mają wglądu. Takie dane, na przykład dostępy na poziomie sieci, mogą później mieć rozstrzygające znaczenie przy zawężaniu momentu możliwego włamania.
Co warto nam przesłać
- krótki opis: co przestało działać lub zwróciło uwagę, od kiedy?
- rodzaj systemu (własny serwer, pakiet hostingowy, kontener) i hostingodawca
- wynik
php -v, tryb pracy i serwer WWW, o ile znane - komunikaty o błędach lub fragmenty logów
- czas ostatniej aktualizacji PHP i ostatnich zmian
- osoba kontaktowa uprawniona do decyzji o restartach
Dlaczego PHP SOS
Pracujemy w standardzie Made in Germany i od ponad 25 lat specjalizujemy się w bezpieczeństwie IT wraz z naszą siecią partnerów złożoną z ekspertów od cyberbezpieczeństwa. Rozmawiają Państwo ze stałą osobą kontaktową, a nie z systemem zgłoszeń. Pracujemy zdalnie, dokumentujemy to, co widzimy i robimy, i otwarcie mówimy, co jest udowodnione, a co nie. Na akutne przypadki związane z luką istnieje ponadto pomoc awaryjna PHP2Shell.
Czy są Państwo dotknięci? Proszę zadzwonić. Pomożemy.
Jeśli Państwa serwer PHP sprawia problemy, proszę nie czekać na kolejną awarię. Proszę zadzwonić lub napisać na WhatsApp. Przejmujemy sprawę od pierwszej wiadomości. Zgłoś awarię teraz.
Częste pytania
Mój serwer PHP nagle zwolnił lub przestaje działać: czy to atak?
Niekoniecznie. Awarie mają często banalne przyczyny, takie jak zbyt mało pamięci, błędna aktualizacja lub przeciążenie. Dopiero wgląd w logi i procesy pokazuje, czy to atak; sygnały ostrzegawcze to na przykład procesy powłoki pod serwerem WWW lub nieznane nowe pliki PHP.
Co oznacza status wyjścia 137 w procesach PHP?
Status 137 oznacza natychmiast zakończony proces. Według podręcznika PHP proces kończy się statusem 137, gdy przekroczy twardy limit pamięci nowej dyrektywy memory_hard_limit_percent; mógł też zostać zakończony przez system z powodu braku pamięci. Przyczynę wyjaśnia wgląd w logi.
Czy mogę porozmawiać z ekspertem przez telefon, zanim cokolwiek zmienię?
Tak, po to właśnie jest pomoc awaryjna. Proszę zadzwonić lub napisać na WhatsApp i opisać, co zwróciło uwagę. Powiemy Państwu, czego nie należy ruszać, a co można zrobić bez ryzyka.
Czy mam po prostu zrestartować usługę PHP?
Restart może usunąć awarię, ale kasuje wskazówki w pamięci operacyjnej. Jeśli włamanie jest możliwe, proszę wcześniej zabezpieczyć logi i skorzystać z porady. Po aktualizacji PHP restart jest natomiast obowiązkowy.
Czy pracują Państwo także wtedy, gdy mój serwer znajduje się u hostingodawcy?
Tak, pracujemy zdalnie z dostępem, który Państwo mają, i w razie potrzeby uzgadniamy się z Państwa hostingodawcą. To, jakie kontrole są możliwe, zależy od Państwa uprawnień.