[{"data":1,"prerenderedAt":-1},["ShallowReactive",2],{"storefront-menus-pl":3,"post-krytyczne-luki-php-pazdziernik-2026-pl":80},[4,30],{"groups":5,"slug":29},[6],{"items":7,"label":28},[8,12,16,19,22,25],{"kind":9,"label":10,"target":11},"page","Domeny","domain",{"kind":13,"label":14,"target":15},"route","Hosting","\u002Fhosting\u002Fstandard",{"kind":9,"label":17,"target":18},"VPS","vps",{"kind":9,"label":20,"target":21},"SEO","seo",{"kind":13,"label":23,"target":24},"Blog","\u002Fblog",{"kind":9,"label":26,"target":27},"Kontakt","contact","","header",{"groups":31,"slug":79},[32,43,51,67],{"items":33,"label":42},[34,37,39,40],{"kind":13,"label":35,"target":36},"Hosting WWW","\u002Fhosting",{"kind":9,"label":38,"target":18},"Serwery VPS",{"kind":9,"label":10,"target":11},{"kind":9,"label":41,"target":21},"Pozycjonowanie SEO","Oferta",{"items":44,"label":50},[45,48,49],{"kind":9,"label":46,"target":47},"O nas","about",{"kind":13,"label":23,"target":24},{"kind":9,"label":26,"target":27},"Firma",{"items":52,"label":66},[53,57,60,63],{"kind":54,"label":55,"target":56},"url","Panel klienta","\u002Fpanel",{"kind":54,"label":58,"target":59},"Webmail","https:\u002F\u002Fwebmail.hosteam.pl\u002F",{"kind":54,"label":61,"target":62},"pomoc@hosteam.pl","mailto:pomoc@hosteam.pl",{"kind":54,"label":64,"target":65},"+48 616 689 959","tel:+48616689959","Pomoc",{"items":68,"label":78},[69,72,75],{"kind":9,"label":70,"target":71},"Regulamin","legal\u002Ftos",{"kind":9,"label":73,"target":74},"Polityka prywatności","legal\u002Fprivacy",{"kind":9,"label":76,"target":77},"Zgłoś nielegalne treści (DSA)","dsa","Prawne","footer",{"cover_image":28,"excerpt":81,"id":82,"pinned":83,"published_at":84,"severity":85,"slug":86,"tags":87,"title":91,"updated_at":84,"body":92},"Projekt PHP wydał poprawki dwóch krytycznych podatności, ale tylko dla wersji 8.2–8.5. Opisujemy, jak tego samego dnia przenieśliśmy je do starszych gałęzi, przetestowaliśmy i wdrożyliśmy na całym hostingu – bez żadnej akcji po stronie klientów.",48,false,"2026-10-23T11:10:00Z","info","krytyczne-luki-php-pazdziernik-2026",[88,89,90],"bezpieczenstwo","hosting","php","Krytyczne luki w PHP z 21 października – jak w trzy godziny załataliśmy każdą wersję, także PHP 5.3","21 października 2026 o 16:00 projekt PHP opublikował wydanie bezpieczeństwa z poprawkami dwóch krytycznych podatności: **CVE-2026-109618** i **CVE-2026-109619** (CVSS 4.0: 9.2). Błędy dotyczą obsługi sesji i pamięci podręcznej opcache i w złośliwie przygotowanym żądaniu mogą prowadzić do zdalnego wykonania kodu – czyli do przejęcia strony. Podatne są wszystkie gałęzie PHP, aż do 5.x.\n\nProjekt PHP łata tylko wersje, które wciąż wspiera: 8.2, 8.3, 8.4 i 8.5. Strony na PHP 8.1, 7.4, 7.0 czy 5.6 poprawek od projektu nie dostaną. A takich stron wciąż jest sporo: sklepy i systemy pisane lata temu, których przepisanie kosztuje więcej, niż są warte, ale które nadal zarabiają.\n\nPoniżej opisujemy, co zrobiliśmy tego dnia i dlaczego mogliśmy to zrobić szybko.\n\n## Oś czasu\n\n| Godzina (21.10) | Co się działo |\n|---|---|\n| 13:30 | Wydanie bezpieczeństwa jest zapowiedziane na 16:00. Decyzja: starszych wersji nie zostawiamy – łatamy je sami. |\n| 15:15 | Wszystkie starsze wersje PHP przebudowane na gałęziach z poprawkami bezpieczeństwa – gotowa baza pod nowe łatki. |\n| 16:00 | Projekt PHP publikuje poprawki. |\n| ok. 18:00 | Nowe buildy wszystkich oferowanych wersji, od 5.3 do 8.5, zbudowane i sprawdzone w środowisku testowym. |\n| ok. 19:00 | Nowe buildy działają na całym hostingu. |\n\nOd publikacji poprawek do załatania ostatniej strony minęło niecałe trzy godziny. Klienci nie musieli niczego zmieniać, zgłaszać ani przełączać.\n\n## Co dokładnie zrobiliśmy\n\n**Wersje wspierane (8.2–8.5)** przenieśliśmy na wydania z tego samego dnia: 8.2.35, 8.3.36, 8.4.27 i 8.5.12.\n\n**Wersje bez wsparcia (5.3, 5.5, 5.6, 7.0, 7.4, 8.0, 8.1)** to siedem gałęzi, których projekt PHP już nie łata. Dla nich:\n\n- przenieśliśmy poprawki do starszego kodu (backport), korzystając z prowadzonych przez społeczność gałęzi z poprawkami bezpieczeństwa dla starszych PHP ([php-src-backports](https:\u002F\u002Fgithub.com\u002Fshivammathur\u002Fphp-src-backports) – dziękujemy!);\n- dla 7.4 i 8.1 porównaliśmy wynik z minimalnymi poprawkami przygotowanymi w samym projekcie PHP;\n- łącznie to ponad 12 tysięcy linii zmian w siedmiu gałęziach.\n\n**Każda wersja przed wdrożeniem** została zbudowana od zera i uruchomiona w środowisku testowym. Na wypadek, gdyby buildy się opóźniły, mieliśmy gotowe obejście w konfiguracji PHP, które blokowało ścieżkę ataku. Nie było potrzebne.\n\nPo wdrożeniu nasz skaner podatności nauczył się rozpoznawać poprawki przeniesione do starszych gałęzi, więc pokazuje to, co naprawdę jest w naszych buildach, a nie tylko numer wersji. Dzięki temu widzimy też starsze krytyczne błędy, których gałęzie społeczności nie obejmują – i te łatamy teraz sami.\n\n## Dlaczego mogliśmy to zrobić tak szybko\n\nTrzy decyzje, które podjęliśmy dużo wcześniej:\n\n- **Sami budujemy PHP.** Nie czekamy, aż dystrybucja systemu wyda paczkę – a dla starszych wersji nigdy by jej nie wydała. Każda wersja PHP, którą oferujemy, powstaje z naszego przepisu, więc nowa łatka to nowy build, a nie prośba do kogoś innego.\n- **Każdy klient ma własny kontener.** Strony różnych klientów nie dzielą jednego środowiska, a nowy build PHP trafia do kontenerów jako nowy obraz – ten sam, sprawdzony wcześniej w testach.\n- **Wdrożenie to jedna operacja.** Przełączenie całego hostingu na nowy obraz robimy z panelu, kontener po kontenerze, z kontrolą, czy każdy wstał poprawnie.\n\n## Co to oznacza dla Ciebie\n\nJeśli Twoja strona działa u nas – na dowolnej oferowanej wersji PHP, od 5.3 do 8.5 – jest już załatana na obie podatności. Nie musisz nic robić.\n\nJeśli możesz, i tak przejdź na nowszą wersję PHP: dostajesz wtedy poprawki od samego projektu, wyższą wydajność i wsparcie nowych bibliotek. Ale jeśli Twoja aplikacja wymaga starszego PHP, nie musisz wybierać między działaniem a bezpieczeństwem – starsze wersje utrzymujemy i łatamy.\n\nSzukasz hostingu dla starszej aplikacji, z którą inni każą się przeprowadzić? [Zobacz nasz hosting](\u002Fpl\u002Fhosting) – PHP od 5.3 do 8.5, każda oferowana wersja z poprawkami bezpieczeństwa."]