Oświadczenie – poważna luka bezpieczeństwa w języku PHP z dnia 21.10.2026 oraz poprawki bezpieczeństwa Node.js

Przedstawiamy podsumowanie działań, które podjęliśmy wczoraj w związku z ujawnieniem poważnej luki bezpieczeństwa w oprogramowaniu PHP.

PHP jest jednym z najpopularniejszych na świecie mechanizmów wykorzystywanych do działania stron internetowych, sklepów internetowych oraz wielu aplikacji. PHP odpowiada za niemal 70% stron dostępnych obecnie w całym internecie i stanowi zdecydowaną większość stron, które hostujecie na naszych serwerach.

Warto podkreślić, że problem dotyczył samego języka PHP i miał charakter globalny. Nie wynikał z błędu ani awarii naszej infrastruktury. W związku z potencjalnym zagrożeniem podjęliśmy działania zabezpieczające strony naszych klientów jeszcze przed udostępnieniem oficjalnych poprawek.

Pozostawienie luki bez zabezpieczenia mogło narazić każdą stronę internetową działającą na podatnej wersji PHP na atak. W najgorszym przypadku mogło to doprowadzić do przejęcia strony, uzyskania dostępu do danych zgromadzonych na koncie, ich kradzieży, a nawet do dalszego naruszenia bezpieczeństwa usług. Zdajemy sobie sprawę, że podjęte przez nas działania mogły utrudnić korzystanie z niektórych funkcji państwa stron internetowych, jednak brak podjęcia jakichkolwiek działań w tej sytuacji byłoby z naszej strony nieodpowiedzialne i naraziłoby bezpieczeństwo państwa danych. Wiele platform i serwisów internetowych z tego powodu postanowiło się wczoraj całkowicie wyłączyć do czasu aż będzie dostępna poprawka.

Poniżej prezentujemy przebieg wydarzeń opisujący to jakie działania podjęliśmy.

1. Wprowadzenie tymczasowych zabezpieczeń.

W oczekiwaniu na publikację oficjalnych poprawek bezpieczeństwa wprowadziliśmy dodatkowe, tymczasowe zabezpieczenia, które ograniczały możliwość wykorzystania wykrytej luki.
Ze względów bezpieczeństwa konieczne było czasowe wyłączenie niektórych funkcji PHP.

Dla części użytkowników mogło to oznaczać przejściowe problemy m.in. z:

• edycją stron internetowych
• aktualizacją stanów magazynowych w sklepach internetowych
• przesyłaniem plików i załączników
• dodawaniem załączników w naszym webmailu

Ograniczenia te były celowym działaniem prewencyjnym, mającym na celu ochronę usług do czasu pojawienia się właściwych poprawek bezpieczeństwa

2. Przygotowanie poprawionych wersji PHP.

Po opublikowaniu oficjalnych poprawek bezpieczeństwa dla PHP w wersjach 7.4–8.5 niezwłocznie rozpoczęliśmy przygotowywanie i kompilację zaktualizowanych wersji.
Jednocześnie wdrożyliśmy również poprawki dla starszych wersji PHP 5.6–7.3. Wersje te nie są już oficjalnie wspierane przez twórców PHP, dlatego nie otrzymały gotowych aktualizacji bezpieczeństwa.

3. Testy.

Przed wdrożeniem zmian na serwerach produkcyjnych przetestowaliśmy przygotowane zabezpieczenia w naszych środowiskach testowych, aby upewnić się, że poprawki działają prawidłowo i nie powodują dodatkowych problemów.

4. Wdrożenie poprawek i przywrócenie pełnej funkcjonalności.

Po pomyślnym zakończeniu testów wdrożyliśmy zabezpieczone wersje PHP na naszych serwerach.
Następnie wyłączyliśmy wcześniej zastosowane tymczasowe ograniczenia, dzięki czemu została przywrócona pełna funkcjonalność usług.

Podkreślamy, że sytuacja nie wynikała z błędu ani awarii naszej infrastruktury. Była konsekwencją globalnie wykrytej podatności w powszechnie stosowanym oprogramowaniu PHP. Naszym priorytetem było możliwie szybkie ograniczenie ryzyka, dlatego zdecydowaliśmy się na zastosowanie dodatkowych zabezpieczeń jeszcze przed udostępnieniem oficjalnych poprawek.

AKTUALIZACJA 22.10.2026, godz. 16.15

W związku z opublikowaniem nowych poprawek bezpieczeństwa dla Node.js zaktualizowaliśmy wszystkie podatne wersje, które są nadal wspierane przez projekt Node.js: 22, 24 oraz 26.

Aktualizacja obejmuje najnowsze poprawki dotyczące błędów o wysokim poziomie zagrożenia.

Wdrożone zostały następujące wersje bezpieczeństwa:

• Node.js v22.23.4
• Node.js v24.22.1
• Node.js v26.12.1