Bezpieczeństwo PHP: co sprawdzić w sklepie WooCommerce?

Bezpieczeństwo PHP w sklepie WooCommerce wymaga teraz sprawdzenia wersji środowiska i potwierdzenia, że hosting wdrożył poprawkę. Komunikat WordPress.org z 21 października 2026 r. dotyczy dwóch krytycznych luk w PHP. Projekt PHP opublikował poprawione wersje: 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Jeśli sklep działa na starszej wersji, skontaktuj się z hostingiem i ustal pilny termin aktualizacji. Samo zaktualizowanie WordPressa nie usuwa tych luk, bo poprawka dotyczy PHP. Komunikat PHP opisuje zagrożenie jako możliwość zdalnego wykonania kodu bez uwierzytelnienia.

W skrócie

Odczytaj wersję PHP w WooCommerce lub w panelu hostingu.
Porównaj ją z poprawioną wersją dla swojej gałęzi PHP i poproś hosting o potwierdzenie aktualizacji.
Przed zmianą wykonaj kopię zapasową, a po niej sprawdź sklep, szczególnie logowanie, koszyk, składanie zamówienia i integracje.
Traktuj reguły WAF jako dodatkowe ograniczenie ryzyka. Według zespołu PHP pełnym rozwiązaniem jest aktualizacja.

Bezpieczeństwo PHP: dlaczego właściciel sklepu powinien zareagować

Luki nie dotyczą wyłącznie WordPressa. PHP ostrzega, że ryzyko obejmuje instalacje obsługujące żądania internetowe, w tym PHP-FPM, Apache z mod_php, php-cgi, FrankenPHP i LiteSpeed. W komunikacie wskazano dwie podatności, CVE-2026-109618 i CVE-2026-109619. Zalecane poprawione wydania zależą od używanej gałęzi PHP.

WordPress.org podkreśla, że aktualizacja WordPressa nie jest wymagana do naprawienia tych problemów. W praktyce oznacza to, że aktualny WordPress i WooCommerce nie wystarczą, jeśli serwer nadal uruchamia podatną wersję PHP. Hosting kontroluje PHP po stronie serwera, choć część dostawców pozwala wybrać wersję w panelu. Dokumentacja WooCommerce o aktualizacji PHP wskazuje, że w razie wątpliwości należy skontaktować się z dostawcą hostingu.

Jak sprawdzić wersję PHP i poprawkę

Co widzisz	Co to oznacza	Co zrobić
PHP 8.5.12 lub nowsze wydanie poprawkowe w gałęzi 8.5	Wersja odpowiada wskazanemu wydaniu naprawczemu lub jest nowsza	Potwierdź z hostingiem, że poprawka została wdrożona na serwerze obsługującym sklep
PHP 8.4.27, 8.3.36 lub nowsze wydanie poprawkowe w danej gałęzi	Wersja odpowiada wskazanemu wydaniu naprawczemu lub jest nowsza	Sprawdź działanie sklepu po aktualizacji
PHP 8.2.35	Ta wersja zawiera poprawki, ale gałąź 8.2 ma zakończyć otrzymywanie poprawek bezpieczeństwa 31 grudnia 2026 r.	Zaplanuj przejście na wspieraną wersję; PHP podaje datę końca wsparcia
PHP 8.1 lub starsze	Projekt PHP nie publikuje już dla tych wersji zwykłych aktualizacji; niektórzy dostawcy mogą udostępniać poprawki przeniesione do swoich pakietów	Poproś hosting o potwierdzenie zastosowanej poprawki albo plan przejścia na wspieraną wersję

Nazwy punktów menu mogą zależeć od języka panelu. W WooCommerce przejdź do WooCommerce > Status, znajdź sekcję środowiska serwera i pozycję wersji PHP. Alternatywnie sprawdź w WordPressie Narzędzia > Stan witryny > Informacje > Serwer. Te ścieżki podaje dokumentacja WooCommerce oraz komunikat WordPress.org.

Co zrobić krok po kroku

Zapisz obecne wersje. Zanotuj wersję PHP, WordPressa i WooCommerce. W WooCommerce znajdziesz wersję WordPressa i PHP w WooCommerce > Status. Zrób zrzut informacji o środowisku, żeby móc przekazać hostingowi konkretne dane.

Zapytaj hosting o wdrożenie poprawki. Podaj używaną wersję PHP i poproś o potwierdzenie, która poprawiona wersja działa dla domeny sklepu. Jeśli wersja PHP jest ustawiana osobno dla domeny, subdomeny lub zadania cron, zapytaj, czy aktualizacja obejmuje te procesy. To praktyczna prośba do administratora, bo sama informacja z panelu nie potwierdza jeszcze, kiedy dostawca wdrożył pakiet.

Zrób kopię zapasową przed zmianą. WooCommerce zaleca wykonanie kopii plików i bazy przed zmianami ustawień serwera, ponieważ mogą one wpłynąć na działanie sklepu. Instrukcja aktualizacji PHP WooCommerce kieruje także do wskazówek WordPressa dotyczących aktualizacji.

Ustal bezpieczny sposób zmiany. Jeśli zarządzasz hostingiem samodzielnie, zastosuj odpowiedni pakiet aktualizacyjny dla swojej dystrybucji lub środowiska. PHP zaznacza, że część dystrybucji i dostawców z długoterminowym wsparciem może dostarczać poprawki przeniesione do starszych pakietów. Jeśli nie administrujesz serwerem, zleć zmianę hostingowi zamiast samodzielnie modyfikować konfigurację produkcyjną.

Sprawdź sklep po aktualizacji. Otwórz stronę produktu, dodaj produkt do koszyka, przejdź przez checkout do etapu przed złożeniem testowego zamówienia i sprawdź logowanie do panelu. Zweryfikuj też działanie integracji używanych w sklepie, na przykład wysyłki, płatności i importu produktów. To zalecana kontrola operacyjna, szczególnie gdy sklep korzysta z dodatkowych wtyczek lub własnego kodu.

Potwierdź wersję po zmianie. Ponownie odczytaj wersję PHP w WooCommerce albo w panelu hostingu. Jeżeli nadal widzisz starą wersję lub sklep zgłasza błędy, przekaż hostingowi godzinę zmiany, zrzut ekranu i objawy. Zachowaj kopię zapasową do czasu potwierdzenia poprawnego działania sklepu.

Czy WAF wystarczy zamiast aktualizacji?

Nie. Hosting może wdrożyć reguły zapory aplikacyjnej WAF, które ograniczają część prób wykorzystania luk. PHP informuje jednak, że środki łagodzące nie czynią instalacji bezpieczną, a pełnym rozwiązaniem jest aktualizacja do poprawionego wydania. WordPress.org również zaleca sprawdzenie aktualizacji u hostingu nawet wtedy, gdy dostawca wdraża reguły WAF.

Jeśli nie możesz od razu zmienić wersji PHP, poproś administratora o konkretny plan ograniczenia ryzyka i termin aktualizacji. Nie kopiuj do konfiguracji produkcyjnej przypadkowych ustawień z poradników: zmiany parametrów PHP mogą wpływać na przesyłanie plików, importy i działanie wtyczek. Opublikowane przez PHP tymczasowe środki zaradcze są techniczne i dotyczą określonych ścieżek ataku, ale nie zastępują poprawki.

Jaka wersja PHP jest właściwa dla WooCommerce?

Wydanie naprawcze rozwiązuje bieżący problem w danej gałęzi, ale nie musi być najlepszym celem długoterminowym. Dokumentacja WooCommerce dla wersji 10.8 i nowszych rekomenduje PHP 8.3 lub nowsze, a jako przetestowane wskazuje PHP 8.4. Aktualne wymagania serwerowe WooCommerce wymieniają także WordPress 6.9 lub nowszy. WordPress.org również zaleca PHP 8.3 lub nowsze dla hostingu.

Nie przełączaj jednak sklepu w ciemno na najnowszą dostępną gałąź. Najpierw sprawdź, czy motyw, wtyczki i własne integracje są z nią zgodne. W środowisku testowym przejdź kluczowe ścieżki zakupowe, a termin zmiany produkcyjnej uzgodnij z hostingiem. Jeśli sklep działa na PHP 8.2, zastosuj dostępne wydanie poprawkowe, a równolegle zaplanuj migrację przed końcem wsparcia tej gałęzi.

FAQ

Czy muszę aktualizować WordPressa, żeby naprawić lukę PHP?

Nie z powodu tych dwóch luk. WordPress.org informuje, że nie jest planowana aktualizacja WordPressa naprawiająca ten problem, ponieważ poprawka dotyczy środowiska PHP. Utrzymuj jednak WordPressa i WooCommerce w aktualnych wersjach zgodnie z ich dokumentacją.

Skąd wiem, czy hosting już wdrożył poprawkę?

Sprawdź wersję PHP w WooCommerce > Status lub w panelu hostingu i porównaj z wydaniem naprawczym dla swojej gałęzi. Jeśli hosting stosuje poprawkę przeniesioną do pakietu dystrybucji, poproś go o potwierdzenie, ponieważ numer wersji widoczny w panelu może nie odpowiadać numerowi wydania PHP z głównej strony projektu.

Czy PHP 8.2.35 jest bezpieczne?

To wydanie zawiera poprawki dwóch opisanych luk. PHP zapowiada jednak, że gałąź 8.2 zakończy otrzymywanie aktualizacji bezpieczeństwa 31 grudnia 2026 r., dlatego warto zaplanować przejście na wspieraną gałąź.

Czy mogę samodzielnie zmienić PHP w panelu hostingu?

Możesz, jeśli panel udostępnia taką opcję i wiesz, jak przywrócić poprzednią konfigurację. Zrób kopię zapasową, sprawdź zgodność używanych rozszerzeń i przetestuj sklep po zmianie. Gdy nie masz pewności, zleć aktualizację dostawcy hostingu.

Co dalej

Po sprawdzeniu PHP warto przejrzeć pozostałe elementy witryny według listy kontrolnej audytu sklepu internetowego.