22 października 2026 r. o godzinie 3:57 zakończyliśmy wdrażanie wszystkich dostępnych poprawek bezpieczeństwa PHP udostępnionych przez CloudLinux. Aktualizacje objęły wszystkie nasze serwery WWW oraz obsługiwane przez nas linie PHP w zakresie od 5.3 do 8.5. Prace rozpoczęliśmy niezwłocznie po pojawieniu się oficjalnych poprawek.
Krytyczne luki bezpieczeństwa w PHP. Co się wydarzyło?
21 października 2026 r. CERT Polska opublikował ostrzeżenie dotyczące dwóch krytycznych podatności w języku PHP, oznaczonych identyfikatorami CVE-2026-109618 oraz CVE-2026-109619.
Luki mogą umożliwiać osobie atakującej zdalne wykonanie kodu na podatnym serwerze bez konieczności wcześniejszego uwierzytelnienia. Oznacza to poważne zagrożenie dla infrastruktury obsługującej strony internetowe i aplikacje korzystające z PHP. Podatności dotyczą samego środowiska wykonawczego PHP, dlatego nie ograniczają się do jednego systemu CMS czy konkretnej aplikacji.
PHP jest wykorzystywane między innymi przez popularne systemy zarządzania treścią, takie jak WordPress i Joomla, a także przez wiele innych aplikacji internetowych.
Powagę sytuacji potwierdziły komunikaty CERT Polska oraz zespołu odpowiedzialnego za rozwój PHP. Zalecanym sposobem usunięcia podatności jest instalacja odpowiednich poprawek bezpieczeństwa.
Więcej informacji można znaleźć w komunikacie CERT Polska oraz w oficjalnym komunikacie bezpieczeństwa PHP.
Jak dhosting.pl zareagował na podatności CVE-2026-109618 i CVE-2026-109619?
Od początku monitorowaliśmy komunikaty dotyczące nowych podatności i przygotowywaliśmy infrastrukturę do możliwie szybkiego wdrożenia docelowych zabezpieczeń.
Jeszcze przed udostępnieniem oficjalnych poprawek przez dostawców oprogramowania wdrożyliśmy dostępne działania ograniczające ryzyko. Jednym z nich było wyłączenie parametru PHP session.upload_progress.enabled, ustawiając jego wartość na Off.
Po publikacji poprawek przez twórców PHP oraz udostępnieniu odpowiednich pakietów przez CloudLinux nasi administratorzy przystąpili do ich wdrażania na kolejnych systemach.
Pierwsze systemy otrzymały docelowe zabezpieczenia już 21 października 2026 r. o godzinie 16:05, zaledwie kilka minut po planowanym terminie publikacji aktualizacji bezpieczeństwa PHP.
Prace były kontynuowane przez całą noc. 22 października 2026 r. o godzinie 3:57 wdrożenie wszystkich dostępnych poprawek zostało zakończone.
Wszystkie serwery WWW dhosting.pl zabezpieczone
Na dzień 22 października 2026 r. wszystkie nasze serwery WWW posiadają aktualne poprawki bezpieczeństwa PHP udostępnione przez CloudLinux w związku z podatnościami CVE-2026-109618 i CVE-2026-109619. Wdrożenie objęło obsługiwane przez nas linie PHP w zakresie od 5.3 do 8.5, zgodnie z dostępnością odpowiednich pakietów i poprawek dostawcy.
To istotne, ponieważ infrastruktura hostingowa może obsługiwać jednocześnie wiele aplikacji i różnych wersji PHP. Szybkie wdrożenie poprawek w całym środowisku pozwala ograniczyć ryzyko wynikające z podatności na poziomie samego interpretera PHP.
Według naszej wiedzy dhosting.pl był jednym z pierwszych, a prawdopodobnie pierwszym dostawcą hostingu w Polsce, który zakończył wdrażanie wszystkich dostępnych poprawek dla obsługiwanych przez siebie wersji PHP w tak krótkim czasie.
Co oznacza to dla klientów dhosting.pl?
Poprawki zostały wdrożone po stronie naszej infrastruktury, dzięki czemu klienci korzystający z objętych nimi środowisk nie muszą samodzielnie instalować tych serwerowych aktualizacji.
Niezależnie od działań administratorów warto pamiętać o regularnym aktualizowaniu własnych stron internetowych. Dotyczy to w szczególności systemów CMS, takich jak WordPress, a także używanych motywów, wtyczek i innych komponentów aplikacji.
Istotne jest również korzystanie z odpowiednio aktualnej wersji PHP. Aktualizacje języka nie tylko poprawiają bezpieczeństwo, ale mogą także zapewniać lepszą kompatybilność i wydajność aplikacji. W przypadku starszych linii PHP zakres dostępnych poprawek zależy od wsparcia zapewnianego przez odpowiedniego dostawcę.
Bezpieczeństwo infrastruktury hostingowej to ciągły proces
Podatności CVE-2026-109618 i CVE-2026-109619 pokazały, jak istotna jest szybka reakcja na krytyczne zagrożenia w podstawowym oprogramowaniu wykorzystywanym przez strony internetowe.
W dhosting.pl rozpoczęliśmy działania krótko po północy 21 października, wdrożyliśmy zabezpieczenia tymczasowe, a następnie przystąpiliśmy do aktualizacji kolejnych systemów po udostępnieniu docelowych poprawek. Pełne wdrożenie wszystkich dostępnych aktualizacji bezpieczeństwa PHP zakończyliśmy 22 października 2026 r. o godzinie 3:57.
Dziękujemy naszym Klientom za wsparcie w całym procesie.