PHP udostępnia awaryjną aktualizację bezpieczeństwa z 21 października 2026 r. (14:00 UTC), która naprawia dwie krytyczne luki w rdzeniu języka. Według CERT-EU, powołującego się na informacje wycieknięte przed premierą, atakujący mogą dzięki nim wykonywać polecenia na serwerze bez logowania. Zespół PHP zapowiedział, że pełne szczegóły oraz dokładną listę podatnych i naprawionych wersji poda razem z wydaniem. Aktualizacja WordPressa ani wtyczek nie załatwia sprawy: poprawkę PHP musi zainstalować hosting lub administrator serwera, często da się to zrobić w cPanelu. Wersje PHP 8.1, 8.0, 7.4 i starsze są w statusie end-of-life i nie dostają oficjalnych łatek, więc trzeba je podnieść; wspierane są obecnie PHP 8.2, 8.3, 8.4 i 8.5. Przed premierą łatki offline przeszły m.in. strony holenderskiego parlamentu i agencji cyberbezpieczeństwa oraz fińskie serwisy rządowe i uniwersyteckie, według Sansec jako środek ostrożności. Właściciele stron powinni sprawdzić wersję PHP w Tools > Site Health > Info > Server, zapytać hosting o termin łatki i zrobić backup przed migracją. Gdy łatanie nie jest możliwe, zalecane jest wyłączenie strony lub WAF (np. Cloudflare) z potwierdzoną regułą blokującą te ataki, z całym ruchem przepuszczanym przez zaporę. Po aktualizacji warto poszukać web shelli, nieznanych kont administratorów i nieoczekiwanych zmian w plikach PHP, bo łatka nie usuwa już dokonanego włamania.
Źródło: Search Engine Journal — oryginalny artykuł ↗
Chcesz wiedzieć, jak ta zmiana wpłynie na Twoją stronę?
Nasz zespół analizuje każdą aktualizację Google w 48h i przekłada ją na konkretne działania dla klientów.
Bezpłatna analiza wpływu