PHP2Shell: sprawdzę i załatam Twoje PHP

Co się stało

21 października 2026 zespół PHP wydał łatki na dwie krytyczne luki w samym silniku PHP, nazwane „PHP2Shell”: CVE-2026-109618 i CVE-2026-109619. Obie mają ocenę CVSS 9.2 (BleepingComputer, Tenable FAQ).

Pozwalają obcej osobie uruchomić własny kod na serwerze bez logowania, zanim ruszy kod strony. Hasło do panelu ani wtyczka bezpieczeństwa tu nie wystarczą.
Dotyczą praktycznie wszystkich wersji wstecz aż do PHP 5.4 (Tenable FAQ).
Najwyższe ryzyko: Apache z mod_php. Narażone są też PHP-FPM, PHP-CGI, FrankenPHP i LiteSpeed (watchTowr FAQ, NCSC-NL (GitHub)).
Poprawione wersje: 8.2.35, 8.3.36, 8.4.27, 8.5.12. PHP 8.1 i starsze to wersje bez wsparcia (EOL); dla 7.4, 8.0 i 8.1 istnieją tylko minimalne backporty (NCSC-NL (GitHub), CISA).
Odnotowano już próby wykorzystania luk (SecurityWeek, watchTowr FAQ).
Zmiany w konfiguracji to tylko doraźna osłona. Pełną ochronę daje łatka (BleepingComputer).

BadTrip Software to niezależna firma. Nie jesteśmy CERT-em ani żadnym urzędem; powyższe fakty pochodzą z podlinkowanych źródeł.

Kogo to dotyczy

WordPress, Drupal, Joomla
Sklepy na PrestaShop i Magento
Własne systemy, panele i narzędzia pisane od zera w PHP
Aplikacje na frameworkach, których nikt już nie wspiera: CodeIgniter 2, Zend Framework 1, symfony 1.x, Kohana, CakePHP 2, Laravel 4/5.x
Strony postawione „raz a dobrze” i nieruszane od 5-10+ lat, często na starym hostingu albo serwerze w firmie

Sprawdź sam w 5 minut

Panel hostingu (cPanel, DirectAdmin, home.pl, nazwa.pl, OVH, cyber_Folks…): szukaj „wersja PHP” lub „PHP selector”. Zapisz pełny numer, np. 8.2.34.
WordPress: Kokpit → Narzędzia → Zdrowie witryny → Informacje → Serwer.
Masz SSH: php -v (wersja CLI może się różnić od tej dla stron). Pewniej: tymczasowy plik z <?php phpinfo();, który od razu usuwasz.
Porównaj: bezpieczne są 8.5.12+, 8.4.27+, 8.3.36+, 8.2.35+. Wersje 8.1 i starsze są narażone, chyba że hosting lub dystrybucja potwierdzi backport.
Nie wiesz albo masz starą wersję? Zapytaj hosting o CVE-2026-109618 i CVE-2026-109619 albo napisz do mnie, sprawdzę za darmo.

Uwaga: numer wersji mówi, czy jesteś narażony, a nie czy ktoś już był w środku. To wymaga przejrzenia logów.

Oferta i ceny

Szybkie sprawdzenie wersji	0 zł
Pilna łatka z kontrolą (1 strona lub 1 serwer)	900–1 500 zł
Każda kolejna strona na tym samym serwerze	300–500 zł
Audyt starego kodu (PHP 5.x/7.x/8.0–8.1): osłona, plan i wycena aktualizacji, szerszy przegląd śladów	2 500–4 500 zł
Stała opieka: aktualizacje, monitoring, kontakt	od 1 500 zł/mies.

Ceny netto. Dokładną cenę podaję po darmowym sprawdzeniu, zanim cokolwiek zrobię.

Co robię w ramach łatki

Ustalam wersję PHP, sposób uruchomienia (mod_php, FPM, CGI, LiteSpeed, FrankenPHP), hosting i CMS.
Sprawdzam, czy wersja jest załatana (oficjalnie albo backportem hostingu).
Szukam oczywistych śladów włamania: podejrzane pliki PHP, nowe konta administratora, zadania cron, dziwne wpisy w logach.
Łatam: aktualizacja PHP albo pakiet z backportem. Jeśli od razu się nie da, stawiam tymczasową osłonę i daję pisemny plan aktualizacji.
Sprawdzam, czy strona po zmianach działa.
Krótki raport po ludzku: co było, co zrobiłem, co zostało.

Poza zakresem (osobna wycena): przepisywanie aplikacji, pełny pentest, sprzątanie po potwierdzonym włamaniu.

Bez ryzyka

Jeśli okaże się, że Twoje PHP jest już załatane i nie ma oczywistych śladów włamania, nie płacisz nic i dostajesz to na piśmie.
Kwotę za łatkę odliczam od aktualizacji albo opieki, jeśli ruszymy w ciągu 60 dni.

Najczęstsze pytania

Mam hosting współdzielony. Czy to nie problem hostingu?

Często tak, wtedy aktualizację robi hosting. Pomogę sprawdzić, czy już to zrobił, przełączyć wersję w panelu i przetestować stronę po zmianie.

Strona działa na PHP 7 albo 5. Co wtedy?

Najpierw osłona i backport, jeśli jest dostępny, potem plan przejścia na wspieraną wersję. Starego kodu nie wyrzucamy, tylko go naprawiamy.

Czy aktualizacja PHP zepsuje stronę?

Może, zwłaszcza przy starym kodzie. Dlatego najpierw sprawdzam, testuję po zmianie i zostawiam drogę powrotu.

Jaki dostęp jest potrzebny?

Do panelu hostingu albo SSH. Dane dostępowe po pracy możesz zmienić.

Pracujesz zdalnie?

Tak, domyślnie zdalnie. Na Podkarpaciu i w Małopolsce mogę przyjechać, jeśli serwer stoi w firmie.

Kim jesteś?

Tomasz Urban, programista z ponad 15-letnim doświadczeniem, w tym w PHP i utrzymaniu starych systemów. Dębica.

Napisz albo zadzwoń

Napisz, jaka to strona lub system i gdzie stoi. Odpiszę, czy jesteś narażony i co dalej.

tomasz@badtrip.software

albo zadzwoń: +48 508 767 688

PHP2Shell: Twoja strona na PHP może być otwarta dla obcych.