Strona internetowa i panel klienta po 14 minutach, a serwery hostingu stron WWW po 27 minutach: tak zareagowaliśmy na aktualizacje PHP z 21 października.
W przypadku luk w zabezpieczeniach liczy się każda godzina! ⚡️ 21 października 2026 r. projekt PHP opublikował aktualizacje zabezpieczeń dotyczące dwóch krytycznych luk (CVE-2026-109618 i CVE-2026-109619). W określonych warunkach atakujący mogli zdalnie uruchomić własny kod na serwerze WWW z PHP. To nie jest problem ZAP-Hosting: PHP obsługuje znaczną część internetu, a luki dotyczą stron internetowych i serwerów WWW w całej branży hostingowej.
- Rodzaj luki: zdalne wykonanie kodu (Remote Code Execution), czyli uruchomienie obcego kodu na serwerze za pomocą spreparowanego żądania.
- Wersje z poprawkami: PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12.
- Brak poprawki: projekt PHP nie publikuje już aktualizacji zabezpieczeń dla PHP 8.1 i starszych wersji, więc nie otrzymają one również poprawki tych luk.
Publikacja aktualizacji była wcześniej zapowiedziana. Nasz zespół ds. infrastruktury wykorzystał ten czas na sprawdzenie wszystkich naszych systemów korzystających z PHP: od strony internetowej i panelu klienta, przez serwery hostingu stron WWW, po interfejsy phpMyAdmin naszych produktów bazodanowych i usług wewnętrznych. Przed publikacją wprowadziliśmy tymczasowe ustawienia ochronne i aktywowaliśmy dodatkowe reguły filtrowania na brzegu naszej sieci. Dzięki temu znana ścieżka ataku była ograniczona jeszcze przed wdrożeniem poprawki.
Dzięki wcześniejszym przygotowaniom mogliśmy szybko działać po publikacji aktualizacji: nasza strona internetowa i panel klienta korzystały z nowej wersji już po około 15 minutach, a serwery hostingu stron WWW — po niespełna pół godzinie. Nawet pod presją czasu pracowaliśmy krok po kroku i najpierw testowaliśmy każdą zmianę. Pozostałe nasze systemy zostały zaktualizowane jeszcze tego samego dnia.
Usługi hostingowe, które nadal korzystały z PHP 7.4, 8.0 lub 8.1, przenieśliśmy na PHP 8.2, ponieważ dla tych starszych wersji nie ma już poprawki. Poinformowaliśmy o tym za pośrednictwem aktualności serwisowych w panelu klienta i e-maila. Większość stron internetowych działa dalej bez żadnych zmian. Jeśli Twoja aplikacja wymaga dostosowania do nowszej wersji PHP, nasz zespół wsparcia chętnie Ci pomoże.
Nasze aktualizacje obejmują usługi, którymi zarządzamy w Twoim imieniu. Za oprogramowanie zainstalowane na własnym VPS-ie, serwerze dedykowanym lub dowolnym innym systemie, którym zarządzasz samodzielnie, odpowiadasz Ty — niezależnie od tego, czy korzystasz z naszych usług, usług innego dostawcy, czy własnego sprzętu w domu. Jeśli działa tam PHP, na przykład na potrzeby strony internetowej, forum, panelu lub w kontenerze Docker, sprawdź to teraz:
- Sprawdź, jaka wersja PHP działa na Twoim serwerze. Poprawione wersje to 8.2.35, 8.3.36, 8.4.27, 8.5.12 lub nowsza.
- Zainstaluj aktualizacje samodzielnie, korzystając z menedżera pakietów systemu operacyjnego.
- Kontenery Docker z PHP: pobierz aktualne obrazy lub zbuduj je ponownie, a następnie uruchom kontenery ponownie. Aktualizacja systemu hosta nie aktualizuje PHP w kontenerze.
- Następnie uruchom ponownie PHP-FPM lub serwer WWW, aby działające procesy rzeczywiście korzystały z nowej wersji.
- Jeśli nadal używasz PHP 8.1 lub starszej wersji, zaplanuj aktualizację do wspieranej wersji. Te wersje nie otrzymają już poprawki.
To nie odosobniony przypadek. W sierpniu zabezpieczyliśmy naszą infrastrukturę KVM przed Zapscape i Januscape — dwiema lukami, które w określonych warunkach mogły umożliwić maszynie wirtualnej wydostanie się z izolacji. Za każdym razem obowiązuje ta sama zasada: szybko ocenić zagrożenie, natychmiast wdrożyć zabezpieczenia i zainstalować poprawkę, gdy tylko będzie dostępna jej stabilna wersja. Badania nad bezpieczeństwem nie ustają — podobnie jak nasza praca nad zapewnianiem bezpieczeństwa usług.
Preferowane źródło w Google
