Ataki PHP2Shell: jak sprawdzić i zabezpieczyć stronę na WordPress lub Joomla
Po doniesieniach o lukach w PHP strona może wyglądać tak jak zwykle. Warto jednak sprawdzić, czy hosting zainstalował poprawkę i czy nie ma śladów ingerencji. Wyjaśniam, od czego zacząć i kiedy potrzebne jest przywrócenie działania strony.
PHP2Shell dotyczy środowiska serwera. Aktualizacja WordPressa, Joomla lub wtyczek nie zastępuje instalacji poprawki PHP.
Nie wiesz, czy Twoja strona jest zabezpieczona?
Sprawdzę PHP i dostępność poprawek, ocenię zgodność CMS i pomogę w aktualizacji. Jeśli doszło do włamania, zbadam przyczynę, usunę złośliwy kod i pomogę przywrócić działanie strony.
Kontaktujesz się bezpośrednio ze mną. Zakres, cenę i termin ustalimy przed rozpoczęciem pracy.
Co wydarzyło się w październiku 2026
21 października wydano aktualizacje PHP usuwające dwie krytyczne luki: CVE-2026-109618 i CVE-2026-109619. W określonych warunkach pozwalają one wykonać kod na serwerze bez logowania do CMS.
Problem znajduje się w PHP, na którym działa wiele stron i sklepów. Dotyczy WordPressa, Joomla i innych aplikacji PHP. Trzeba więc sprawdzić środowisko serwera, a nie tylko wersję systemu strony.
22 października Imperva poinformowała o 482 342 żądaniach skierowanych do 21 998 stron w 103 krajach w pierwszej dobie obserwacji. To dane jednego dostawcy dotyczące skanowania i prób wykorzystania luk. Nie oznaczają, że wszystkie te strony zostały przejęte.
Wygląd strony nie potwierdza zainstalowania poprawki. Sama informacja o luce również nie dowodzi włamania. Potrzebne są sprawdzenie wersji i statusu aktualizacji, a przy podejrzeniach także analiza plików i logów.
Co zrobić w Twojej sytuacji
01 Strona działa, ale nie znasz wersji PHP
Sprawdź w panelu hostingu, jaki interpreter PHP obsługuje domenę, i poproś o potwierdzenie poprawki. Jeśli odpowiedź jest niejasna, prześlij ją: ustalimy, co jeszcze trzeba sprawdzić.
02 PHP jest stare, a strona dawno nie była aktualizowana
Najpierw oceń zgodność CMS, motywu, rozszerzeń i własnego kodu. Przygotuj kopię zapasową i plan wycofania zmiany. W starszym sklepie warto przetestować przejście na osobnej kopii przed zmianą środowiska produkcyjnego.
03 Pojawiły się przekierowania, obce pliki lub spam
Potrzebna jest kontrola pod kątem włamania. Aktualizacja PHP zamyka lukę, ale nie usuwa wcześniej dodanego złośliwego kodu ani nie cofa zmian w bazie danych.
Jak sprawdzić wersję PHP i zainstalowane poprawki
Zacznij od ustawień konkretnej domeny w panelu hostingu. Domeny i subdomeny na jednym koncie mogą używać różnych interpreterów PHP. Wersja w wierszu poleceń również może być inna niż ta obsługująca stronę.
Dla wspieranych gałęzi PHP 21 października wydano następujące poprawki:
| Gałąź | Wydanie z poprawką |
|---|---|
| PHP 8.2 | 8.2.35 |
| PHP 8.3 | 8.3.36 |
| PHP 8.4 | 8.4.27 |
| PHP 8.5 | 8.5.12 |
Dostawcy pakietów serwerowych mogą przenosić poprawki do swoich kompilacji bez zmiany podstawowego numeru wersji PHP. Sam napis „PHP 8.3” nie wystarczy: potrzebny jest dokładny numer kompilacji i potwierdzenie poprawki od dostawcy.
Dla PHP 8.1 i starszych zapytaj dostawcę o status poprawek i plan przejścia na wspieraną gałąź. Poprawka od konkretnego dostawcy nie przywraca długoterminowego wsparcia samego projektu PHP.
Po przełączeniu mogą przestać działać starsze rozszerzenia, formularze lub płatności. Przed zmianą zapisz pliki i bazę danych, sprawdź zgodność i upewnij się, że możesz przywrócić działającą konfigurację.
Co napisać do pomocy technicznej hostingu
Możesz wysłać taką wiadomość, wpisując własną domenę:
Dzień dobry. Proszę o sprawdzenie domeny [Twoja domena] w związku z lukami PHP2Shell: CVE-2026-109618 i CVE-2026-109619.
Jaka dokładna wersja i kompilacja PHP obsługuje tę domenę? Czy zainstalowano poprawki obu luk i uruchomiono ponownie procesy robocze po aktualizacji?
Jeśli poprawki jeszcze nie zainstalowano, jak przebiega aktualizacja i jak przygotować się pod kątem zgodności strony? Proszę również wskazać, gdzie dostępne są logi z okresu przed aktualizacją.
W pierwszej wiadomości nie trzeba podawać haseł ani kluczy dostępu.
Odpowiedź „ochrona jest włączona” warto doprecyzować: czy PHP ma poprawkę, czy tylko filtrowane są żądania? Twórcy PHP wskazują, że środki tymczasowe nie zastępują aktualizacji.
Nie rozumiesz odpowiedzi hostingu? Omów sprawdzenie →Co zrobić, gdy są oznaki włamania
Przekierowania na inną stronę, nowi administratorzy, nieznane pliki PHP, zmienione podstrony lub ostrzeżenie hostingu wymagają analizy. Infekcja może wynikać z różnych luk, więc nie można automatycznie przypisać jej PHP2Shell.
- Ogranicz szkody. Przy złośliwych przekierowaniach lub kradzieży danych omów z hostingiem tymczasowe ograniczenie dostępu do zaatakowanej strony.
- Zachowaj materiał do analizy. Zrób osobną kopię bieżących plików, bazy danych i dostępnych logów. Oznacz ją jako potencjalnie zainfekowaną.
- Nie przywracaj starej kopii bez sprawdzenia. Może już zawierać złośliwy kod, a cofnięcie sklepu może spowodować utratę nowych zamówień.
- Ustal przyczynę i usuń skutki. Trzeba sprawdzić pliki, bazę, użytkowników, zadania harmonogramu i możliwości ponownego dostępu.
- Zaktualizuj środowisko i dane dostępowe. Po oczyszczeniu zmień zagrożone hasła i klucze, sprawdź uprawnienia oraz obserwuj, czy zmiany nie wracają.
Osobno przetestuj wysyłanie zgłoszeń, maile o zamówieniach i płatności. Nawet po usunięciu przekierowania strona może nadal nie działać prawidłowo dla klientów.
Więcej informacji: co zrobić po włamaniu do Joomla i jak usunąć złośliwe przekierowanie.
Jak mogę pomóc z Twoją stroną
Zajmuję się rozbudową i utrzymaniem stron. Możesz zgłosić WordPress, Joomla lub inny system PHP. Najpierw sprawdzę zadanie i dostępność poprawek, a następnie ustalimy zakres pracy.
Sprawdzenie i aktualizacja PHP
- Ustalenie wersji, kompilacji i statusu poprawek.
- Ocena zgodności CMS i rozszerzeń.
- Przygotowanie kopii i kolejności aktualizacji.
- Aktualizacja lub współpraca z hostingiem w ramach uzgodnionego dostępu.
- Sprawdzenie podstron, formularzy i uzgodnionych procesów sklepu.
Przywrócenie strony po włamaniu
- Analiza oznak infekcji i dostępnych logów.
- Wyszukanie i usunięcie złośliwego kodu.
- Sprawdzenie przyczyny infekcji i możliwości ponownego dostępu.
- Przywrócenie uzgodnionych funkcji strony.
- Zalecenia dotyczące dalszej ochrony i kontroli.
Po pracy otrzymasz opis znalezionego problemu, wprowadzonych zmian i wykonanych testów. Jeśli potrzebna będzie dalsza rozbudowa lub pomoc hostingu, wyjaśnię, co dokładnie trzeba zrobić.
Cena zależy od stanu strony, dostępów, zgodności i zakresu naprawy. Dodatkowe prace i płatne narzędzia ustalimy przed ich użyciem.
Omów moją stronęNajczęstsze pytania
WordPress i wtyczki są aktualne. Czy to usuwa PHP2Shell?
Trzeba osobno potwierdzić instalację poprawki PHP na serwerze. Aktualizacja CMS nie zastępuje aktualizacji środowiska serwera.
Hosting zaktualizował PHP. Czy trzeba sprawdzić coś jeszcze?
Upewnij się, że zaktualizowano interpreter obsługujący Twoją domenę. Następnie przetestuj stronę. Jeśli przed aktualizacją były oznaki ingerencji, potrzebna jest osobna kontrola infekcji.
Czy skaner online może potwierdzić, że strona jest zabezpieczona?
Sam adres strony zwykle nie pozwala wiarygodnie ustalić kompilacji PHP i obecności poprawki. Potrzebne są dane hostingu lub kontrola konfiguracji serwera. Skanowanie z zewnątrz może pomóc wykryć pojedyncze objawy.
Czy aktualizacja PHP usunie wirusy?
Nie. Usuwa daną lukę, ale istniejące zmiany w plikach, bazie lub dostępach trzeba osobno sprawdzić i usunąć.
Pracujesz tylko z WordPress i Joomla?
Możesz zgłosić inny system PHP lub stronę z własnym kodem. Możliwość i zakres pracy ocenię po zapoznaniu się z projektem.
Ile kosztuje sprawdzenie lub przywrócenie strony?
Najpierw potrzebuję adresu strony, opisu sytuacji i informacji o hostingu. Po doprecyzowaniu zadania ustalimy zakres i cenę.