--- title: "Krytyczne luki w PHP z 21 października – jak w trzy godziny załataliśmy każdą wersję, także PHP 5.3 | Hosteam" description: "Projekt PHP wydał poprawki dwóch krytycznych podatności, ale tylko dla wersji 8.2–8.5. Opisujemy, jak tego samego dnia przenieśliśmy je do starszych gałęzi, przetestowaliśmy i wdrożyliśmy na całym hostingu – bez żadnej akcji po stronie klientów." canonical_url: "https://hosteam.pl/pl/blog/krytyczne-luki-php-pazdziernik-2026" last_updated: "2026-10-23T11:10:00Z" meta: "og:description": "Projekt PHP wydał poprawki dwóch krytycznych podatności, ale tylko dla wersji 8.2–8.5. Opisujemy, jak tego samego dnia przenieśliśmy je do starszych gałęzi, przetestowaliśmy i wdrożyliśmy na całym hostingu – bez żadnej akcji po stronie klientów." "og:image": "https://hosteam.pl/img/og-default.jpg" "og:title": "Krytyczne luki w PHP z 21 października – jak w trzy godziny załataliśmy każdą wersję, także PHP 5.3 | Hosteam" --- > Index of every page on this site: [llms.txt](https://hosteam.pl/llms.txt) # **Krytyczne luki w PHP z 21 października – jak w trzy godziny załataliśmy każdą wersję, także PHP 5.3** Projekt PHP wydał poprawki dwóch krytycznych podatności, ale tylko dla wersji 8.2–8.5. Opisujemy, jak tego samego dnia przenieśliśmy je do starszych gałęzi, przetestowaliśmy i wdrożyliśmy na całym hostingu – bez żadnej akcji po stronie klientów. 23 października 2026 [ #bezpieczenstwo](https://hosteam.pl/pl/blog?tag=bezpieczenstwo) [ #hosting](https://hosteam.pl/pl/blog?tag=hosting) [ #php](https://hosteam.pl/pl/blog?tag=php) 21 października 2026 o 16:00 projekt PHP opublikował wydanie bezpieczeństwa z poprawkami dwóch krytycznych podatności: **CVE-2026-109618** i **CVE-2026-109619** (CVSS 4.0: 9.2). Błędy dotyczą obsługi sesji i pamięci podręcznej opcache i w złośliwie przygotowanym żądaniu mogą prowadzić do zdalnego wykonania kodu – czyli do przejęcia strony. Podatne są wszystkie gałęzie PHP, aż do 5.x. Projekt PHP łata tylko wersje, które wciąż wspiera: 8.2, 8.3, 8.4 i 8.5. Strony na PHP 8.1, 7.4, 7.0 czy 5.6 poprawek od projektu nie dostaną. A takich stron wciąż jest sporo: sklepy i systemy pisane lata temu, których przepisanie kosztuje więcej, niż są warte, ale które nadal zarabiają. Poniżej opisujemy, co zrobiliśmy tego dnia i dlaczego mogliśmy to zrobić szybko. ## Oś czasu | Godzina (21.10) | Co się działo | | --- | --- | | 13:30 | Wydanie bezpieczeństwa jest zapowiedziane na 16:00. Decyzja: starszych wersji nie zostawiamy – łatamy je sami. | | 15:15 | Wszystkie starsze wersje PHP przebudowane na gałęziach z poprawkami bezpieczeństwa – gotowa baza pod nowe łatki. | | 16:00 | Projekt PHP publikuje poprawki. | | ok. 18:00 | Nowe buildy wszystkich oferowanych wersji, od 5.3 do 8.5, zbudowane i sprawdzone w środowisku testowym. | | ok. 19:00 | Nowe buildy działają na całym hostingu. | Od publikacji poprawek do załatania ostatniej strony minęło niecałe trzy godziny. Klienci nie musieli niczego zmieniać, zgłaszać ani przełączać. ## Co dokładnie zrobiliśmy **Wersje wspierane (8.2–8.5)** przenieśliśmy na wydania z tego samego dnia: 8.2.35, 8.3.36, 8.4.27 i 8.5.12. **Wersje bez wsparcia (5.3, 5.5, 5.6, 7.0, 7.4, 8.0, 8.1)** to siedem gałęzi, których projekt PHP już nie łata. Dla nich: - przenieśliśmy poprawki do starszego kodu (backport), korzystając z prowadzonych przez społeczność gałęzi z poprawkami bezpieczeństwa dla starszych PHP ([php-src-backports](https://github.com/shivammathur/php-src-backports) – dziękujemy!); - dla 7.4 i 8.1 porównaliśmy wynik z minimalnymi poprawkami przygotowanymi w samym projekcie PHP; - łącznie to ponad 12 tysięcy linii zmian w siedmiu gałęziach. **Każda wersja przed wdrożeniem** została zbudowana od zera i uruchomiona w środowisku testowym. Na wypadek, gdyby buildy się opóźniły, mieliśmy gotowe obejście w konfiguracji PHP, które blokowało ścieżkę ataku. Nie było potrzebne. Po wdrożeniu nasz skaner podatności nauczył się rozpoznawać poprawki przeniesione do starszych gałęzi, więc pokazuje to, co naprawdę jest w naszych buildach, a nie tylko numer wersji. Dzięki temu widzimy też starsze krytyczne błędy, których gałęzie społeczności nie obejmują – i te łatamy teraz sami. ## Dlaczego mogliśmy to zrobić tak szybko Trzy decyzje, które podjęliśmy dużo wcześniej: - **Sami budujemy PHP.** Nie czekamy, aż dystrybucja systemu wyda paczkę – a dla starszych wersji nigdy by jej nie wydała. Każda wersja PHP, którą oferujemy, powstaje z naszego przepisu, więc nowa łatka to nowy build, a nie prośba do kogoś innego. - **Każdy klient ma własny kontener.** Strony różnych klientów nie dzielą jednego środowiska, a nowy build PHP trafia do kontenerów jako nowy obraz – ten sam, sprawdzony wcześniej w testach. - **Wdrożenie to jedna operacja.** Przełączenie całego hostingu na nowy obraz robimy z panelu, kontener po kontenerze, z kontrolą, czy każdy wstał poprawnie. ## Co to oznacza dla Ciebie Jeśli Twoja strona działa u nas – na dowolnej oferowanej wersji PHP, od 5.3 do 8.5 – jest już załatana na obie podatności. Nie musisz nic robić. Jeśli możesz, i tak przejdź na nowszą wersję PHP: dostajesz wtedy poprawki od samego projektu, wyższą wydajność i wsparcie nowych bibliotek. Ale jeśli Twoja aplikacja wymaga starszego PHP, nie musisz wybierać między działaniem a bezpieczeństwem – starsze wersje utrzymujemy i łatamy. Szukasz hostingu dla starszej aplikacji, z którą inni każą się przeprowadzić? [Zobacz nasz hosting](https://hosteam.pl/pl/hosting) – PHP od 5.3 do 8.5, każda oferowana wersja z poprawkami bezpieczeństwa. ## **Szukasz szybkiego hostingu?** Serwery NVMe w polskim Data Center, wsparcie 24/7 i własny panel. [**Zobacz ofertę hostingu**](https://hosteam.pl/pl/hosting) ```json {"@context":"https://schema.org","@graph":[{"@id":"https://hosteam.pl/#website","@type":"WebSite","name":"Hosteam","url":"https://hosteam.pl/","publisher":{"@id":"https://hosteam.pl/#identity"}},{"@id":"https://hosteam.pl/pl/blog/krytyczne-luki-php-pazdziernik-2026#webpage","@type":"WebPage","dateModified":"2026-10-23T11:10:00Z","datePublished":"2026-10-23T11:10:00Z","description":"Projekt PHP wydał poprawki dwóch krytycznych podatności, ale tylko dla wersji 8.2–8.5. Opisujemy, jak tego samego dnia przenieśliśmy je do starszych gałęzi, przetestowaliśmy i wdrożyliśmy na całym hostingu – bez żadnej akcji po stronie klientów.","name":"Krytyczne luki w PHP z 21 października – jak w trzy godziny załataliśmy każdą wersję, także PHP 5.3","url":"https://hosteam.pl/pl/blog/krytyczne-luki-php-pazdziernik-2026","isPartOf":{"@id":"https://hosteam.pl/#website"},"potentialAction":[{"@type":"ReadAction","target":["https://hosteam.pl/pl/blog/krytyczne-luki-php-pazdziernik-2026"]}],"primaryImageOfPage":{"@id":"https://hosteam.pl/#logo"}},{"@id":"https://hosteam.pl/#identity","@type":"Organization","description":"Polski dostawca hostingu WWW, serwerów VPS, domen i poczty biznesowej.","email":"info@hosteam.pl","legalName":"HosTeam spółka z ograniczoną odpowiedzialnością","name":"HosTeam","taxID":"7811988983","telephone":"+48 61 668 99 59","url":"https://hosteam.pl","vatID":"PL7811988983","address":{"@type":"PostalAddress","streetAddress":"ul. Leśnowolska 6","postalCode":"60-452","addressLocality":"Poznań","addressCountry":"PL"},"logo":{"@id":"https://hosteam.pl/#logo"}},{"@id":"https://hosteam.pl/pl/blog/krytyczne-luki-php-pazdziernik-2026#article","@type":"Article","dateModified":"2026-10-23T11:10:00Z","datePublished":"2026-10-23T11:10:00Z","description":"Projekt PHP wydał poprawki dwóch krytycznych podatności, ale tylko dla wersji 8.2–8.5. Opisujemy, jak tego samego dnia przenieśliśmy je do starszych gałęzi, przetestowaliśmy i wdrożyliśmy na całym hostingu – bez żadnej akcji po stronie klientów.","headline":"Krytyczne luki w PHP z 21 października – jak w trzy godziny załataliśmy każdą wersję, także PHP 5.3","inLanguage":"pl","thumbnailUrl":"https://hosteam.pl/img/og-default.jpg","author":{"@id":"https://hosteam.pl/#identity"},"image":{"@id":"https://hosteam.pl/#/schema/image/1"},"isPartOf":{"@id":"https://hosteam.pl/pl/blog/krytyczne-luki-php-pazdziernik-2026#webpage"},"keywords":["bezpieczenstwo","hosting","php"],"mainEntityOfPage":{"@id":"https://hosteam.pl/pl/blog/krytyczne-luki-php-pazdziernik-2026#webpage"},"publisher":{"@id":"https://hosteam.pl/#identity"}},{"@id":"https://hosteam.pl/#logo","@type":"ImageObject","caption":"HosTeam","contentUrl":"https://hosteam.pl/img/hosteam-logo.png","inLanguage":"pl","url":"https://hosteam.pl/img/hosteam-logo.png"},{"@id":"https://hosteam.pl/#/schema/image/1","@type":"ImageObject","contentUrl":"https://hosteam.pl/img/og-default.jpg","inLanguage":"pl","url":"https://hosteam.pl/img/og-default.jpg"}]} ``` ## Sitemap See the full [sitemap](https://hosteam.pl/sitemap.md) for all pages.