Użytkownicy środowisk hostingowych objętych działaniami cyber_Folks nie muszą samodzielnie instalować poprawek dotyczących podatności CVE-2026-109618 i CVE-2026-109619. W komunikacie opublikowanym 21 października 2026 roku dostawca poinformował, że zabezpieczenia wdrożono po jego stronie. Dotyczy to także obsługiwanych przez firmę starszych środowisk PHP 5.x i 7.x.
Obie luki, ujawnione w październiku 2026 roku, mogły w określonych warunkach pozwolić na zdalne wykonanie kodu, czyli uruchomienie przez atakującego własnych instrukcji na serwerze. Według komunikatu zespół rozwijający PHP ocenił zagrożenie na 9,2 w dziesięciostopniowej skali oceny podatności CVSS 4.0. Możliwe skutki obejmowały nieuprawniony dostęp do danych, ingerencję w działanie aplikacji lub przejęcie kontroli nad jej wybranymi elementami.
Znaczenie tych luk wykraczało poza pojedynczy dodatek do strony: dotyczyły samego interpretera PHP, z którego korzystają różne aplikacje. Język ten jest podstawą działania m.in. WordPressa, WooCommerce i PrestaShop, a także systemów przygotowywanych na indywidualne zamówienie. Nie oznacza to jednak jednakowego zagrożenia dla każdej witryny — możliwość wykorzystania podatności zależała od konfiguracji serwera, uprawnień procesu, sposobu przetwarzania żądań i spełnienia warunków ataku.
Starsze środowiska wymagały dostosowania poprawek
W momencie ujawnienia podatności oficjalne wsparcie obejmowało PHP 8.2, 8.3, 8.4 i 8.5. Wersje PHP 5.x i 7.x były już poza cyklem wsparcia, więc zespół rozwijający język nie przygotował dla nich standardowych aktualizacji bezpieczeństwa. Nadal bywają one potrzebne starszym aplikacjom, których kod, wtyczki lub integracje nie są zgodne z nowszymi wydaniami.
cyber_Folks utrzymuje takie środowiska w ramach usługi Legacy PHP. Jak podaje firma, po udostępnieniu oficjalnych poprawek rozpoczęła ich wdrażanie, a dla starszych wydań administratorzy przeanalizowali zmiany, dostosowali je do odmiennego kodu i sprawdzili ich działanie przed instalacją na serwerach. Dostawca deklaruje również, że prace przeprowadzono bez zakłócania codziennego działania usług.
Poprawki nie zastępują przejścia na wspieraną wersję
Zabezpieczenie przed tymi dwiema lukami nie przywraca starszym wydaniom PHP oficjalnego wsparcia. cyber_Folks zaleca sprawdzenie wersji używanej przez stronę lub sklep. Pozostawanie przy niewspieranym środowisku może wiązać się z większym ryzykiem kolejnych podatności, mimo wdrożenia opisanych zabezpieczeń.
W przypadku aplikacji wymagających PHP 5.x lub 7.x firma rekomenduje zaplanowanie przejścia na nowsze środowisko. Przed zmianą trzeba sprawdzić zgodność kodu strony, wtyczek, motywu i wykorzystywanych integracji. Przy rozbudowanych sklepach oraz starszych aplikacjach warto najpierw przeprowadzić testy, ponieważ dostosowanie systemu może wymagać zmian w jego poszczególnych elementach.
Źródło: cyber_Folks / cyberfolks.pl.
