Krytyczne podatności w PHP

Ostrzeżenie i natychmiastowe zalecenia dla WordPress

(CVE-2026-109618 i CVE-2026-109619)

W ostatnich dniach zespół programistów PHP wydał pilne, nadzwyczajne aktualizacje bezpieczeństwa dla interpretera PHP. Wykryte luki zostały zakwalifikowane jako krytyczne (wynik CVSS 9.2 na 10) i stanowią 

bezpośrednie zagrożenie dla serwerów WWW oraz stron opartych na systemie WordPress.

Poniżej przedstawiamy szczegółową analizę zagrożenia, opis ryzyka oraz konkretne kroki, które należy podjąć na serwerze, aby zabezpieczyć swoje środowiska.

Czym są podatności CVE-2026-109618 oraz CVE-2026-109619?

Błędy dotyczą bezpośrednio rdzenia interpretera PHP i sposobu, w jaki silnik zarządza pamięcią operacyjną (RAM) w przypadku wystąpienia błędów braku pamięci (Out of Memory – OOM) oraz zwalniania zasobów.

• CVE-2026-109618: Dotyczy niewłaściwej obsługi pamięci przy przekroczeniu limitów alokacji. Nieoczekiwany stan pamięci w trakcie przerwanej operacji pozwala na odczyt lub wykonanie nieznanego kodu w procedurze czyszczenia pamięci pod koniec żądania HTTP.

• CVE-2026-109619: Dotyczy błędnego wyczyszczenia globalnego stanu pamięci po zakończeniu przetwarzania zapytania. Nieusunięte wskaźniki mogą odwoływać się do zwolnionych bloków pamięci (tzw. stale state / use-after-free), umożliwiając podatność na wstrzyknięcie kodu.

Zagrożenie biznesowe i techniczne

Obie luki umożliwiają Zdalne Wykonanie Kodu (RCE – Remote Code Execution) bez konieczności wcześniejszego uwierzytelnienia. Nieautoryzowany napastnik z zewnątrz może przesłać odpowiednio spreparowane żądanie HTTP do serwera i wykonać dowolne polecenia systemowe na poziomie procesu serwera WWW.

Ostrzeżenia i ryzyko dla stron na WordPressie

Jeśli prowadzisz witrynę firmową, sklep WooCommerce lub zarządzasz serwerami klientów, zignorowanie tej aktualizacji niesie za sobą następujące konsekwencje:

1. Przejęcie pełnej kontroli nad serwerem: Atakujący może uzyskać dostęp do bazy danych MySQL, plików źródłowych, danych klientów oraz danych logowania.

2. Infekcja złośliwym oprogramowaniem (Malware): Możliwość podpięcia skryptów infekujących pliki .php, modyfikacji pliku .htaccess oraz przekierowywania ruchu na strony phishingowe.

3. Brak wykrycia przez wtyczki bezpieczeństwa: Ponieważ podatność występuje na poziomie samych bibliotek serwera (PHP), standardowe wtyczki bezpieczeństwa instalowane wewnątrz WordPressa mogą nie zablokować bezpośredniego ataku na silnik PHP.

4. Zagrożenie dla wersji przestarzałych: Wersje PHP 8.1 i starsze (7.4, 8.0) nie posiadają już oficjalnego wsparcia (EOL). Otrzymanie łatek wymaga wsparcia vendorów LTS (np. dystrybucji Linuxa) lub natychmiastowej migracji do nowszej wersji.

Zalecenia ekspertów i kroki naprawcze

W celu zagwarantowania bezpieczeństwa serwisów internetowych zalecamy natychmiastową realizację poniższych kroków:

1. Aktualizacja interpretera PHP do łatanych wersji

Należy pilnie wykonać aktualizację pakietów PHP na serwerze (lub za pośrednictwem panelu hostingowego / cPanel / DirectAdmin) do oficjalnych wydań z wdrożonymi łatkami:

• Dla gałęzi PHP 8.2 -> aktualizacja do PHP 8.2.35 (lub nowszej)

• Dla gałęzi PHP 8.3 -> aktualizacja do PHP 8.3.36 (lub nowszej)

• Dla gałęzi PHP 8.4 -> aktualizacja do PHP 8.4.27 (lub nowszej)

• Dla gałęzi PHP 8.5 -> aktualizacja do PHP 8.5.12 (lub nowszej)

2. Weryfikacja repozytoriów dystrybucji Linux (dla posiadaczy VPS / serwerów dedykowanych)

W przypadku serwerów zarządzanych samodzielnie (Debian, Ubuntu, RHEL, AlmaLinux) należy wyczyścić pamięć podręczną menedżerów pakietów i dokonać aktualizacji:

• apt clean && apt update && apt upgrade (systemy oparte o Debian/Ubuntu)

• yum clean all && yum update (systemy oparte o RHEL/CentOS/AlmaLinux)

(Uwaga: Dystrybucje ze wsparciem Long-Term Support stosują czasem tzw. backporting łatek – numer wersji głównej PHP może pozostać bez zmian, ale wpis w dzienniku zmian changelog weryfikuje wdrożenie poprawki CVE-2026-109618/19).

3. Tymczasowe ograniczenie zagrożenia (WAF / Konfiguracja php.ini)

Jeśli natychmiastowa aktualizacja wersji PHP na serwerze nie jest możliwa z powodu niekompatybilności wtyczek:

• Ogranicz maksymalny rozmiar zapytań POST i alokacji pamięci w pliku php.ini.

• Wyłącz moduł session.upload_progress.enabled = 0, jeśli z niego nie korzystasz.

• Włącz reguły filtrujące w zaporze sieciowej Web Application Firewall (np. Cloudflare / WAF serwerowy), aby blokować zapytania o nietypowych rozmiarach i strukturze.

4. Audyt bezpieczeństwa i kopie zapasowe

• Wykonaj pełną kopię zapasową bazy danych oraz plików WordPressa przed przystąpieniem do zmian na serwerze.

• Przejrzyj logi serwera pod kątem nietypowych procesów uruchamianych przez powłokę użytkownika WWW (np. www-data, nginx lub apache).

Podsumowanie

Dbając o profesjonalny wizerunek i ciągłość działania usług w internecie, aktualizacja podstawowych komponentów serwerowych jest zadaniem krytycznym. W przypadku stałej opieki technicznej nad stronami WordPress, ten proces powinien być wykonywany w sposób kontrolowany, z wcześniejszą weryfikacją kompatybilności wtyczek i motywów.