Krytyczna poprawka PHP: jak sprawdzić sklep WooCommerce?
Sprawdź, czy serwer sklepu WooCommerce ma poprawioną wersję PHP. Zobacz, gdzie znaleźć numer wersji, o co zapytać hosting i co skontrolować po aktualizacji.
Bezpieczeństwo PHP w sklepie WooCommerce sprawdzisz, porównując wersję widoczną w WordPress Site Health lub raporcie WooCommerce z informacją o poprawce od hostingu. 21 października 2026 r. projekt PHP opublikował poprawione wydania, które usuwają dwie krytyczne luki. Jeśli widzisz starszy numer, poproś hosting o potwierdzenie aktualizacji lub wdrożenia poprawki dla używanej dystrybucji. Sam komunikat o dobrym stanie witryny nie potwierdza, że serwer ma już poprawione PHP.
W skrócie
- W WordPressie sprawdź Narzędzia > Stan witryny > Informacje > Serwer. W WooCommerce tę samą informację znajdziesz w WooCommerce > Status, w sekcji środowiska serwera.
- Poprawione wydania opublikowane 21 października to PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Jeśli hosting stosuje pakiet z poprawkami swojej dystrybucji, zapytaj go, czy zawiera naprawę obu luk.
- Zmiana wersji PHP odbywa się na poziomie hostingu. Po aktualizacji ponownie sprawdź raport i przetestuj najważniejsze działania w sklepie, w tym składanie zamówienia.
Bezpieczeństwo PHP: które wersje zawierają poprawkę?
Luki dotyczą środowiska PHP obsługującego żądania internetowe, a nie wyłącznie WordPressa czy WooCommerce. Projekt PHP wskazuje dwa błędy umożliwiające zdalne wykonanie kodu bez uwierzytelnienia. W opublikowanym komunikacie jako poprawione wydania wymienia PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
| Wersja główna używana przez sklep | Wydanie z poprawką z 21 października 2026 r. | Co zrobić |
|---|---|---|
| PHP 8.5 | 8.5.12 | Sprawdź numer na serwerze lub poproś hosting o potwierdzenie poprawki. |
| PHP 8.4 | 8.4.27 | Sprawdź numer na serwerze lub poproś hosting o potwierdzenie poprawki. |
| PHP 8.3 | 8.3.36 | Sprawdź numer na serwerze lub poproś hosting o potwierdzenie poprawki. |
| PHP 8.2 | 8.2.35 | Sprawdź numer na serwerze lub poproś hosting o potwierdzenie poprawki. |
| PHP 8.1 lub starsze | Zależnie od dostawcy | Skontaktuj się z hostingiem w sprawie poprawki lub przejścia na wspieraną wersję. |
Tabela podaje wydania PHP projektu. Dostawca systemu lub hostingu może udostępniać własne pakiety z poprawkami. W takim przypadku sam numer wydania widoczny w panelu nie musi wystarczyć do oceny, czy luka została naprawiona. PHP wskazuje, że poprawki otrzymały także dystrybucje Linuksa i dostawcy długoterminowego wsparcia, dlatego poproś hosting o potwierdzenie dla konkretnego środowiska.
PHP 8.1 i starsze nie otrzymują już standardowych aktualizacji od projektu PHP. PHP 8.2 ma otrzymywać poprawki bezpieczeństwa do 31 grudnia 2026 r. Jeśli sklep nadal działa na starszej gałęzi, ustal z hostingiem plan aktualizacji i zapytaj, czy dla tej instalacji wdrożono poprawkę opisaną w komunikacie bezpieczeństwa PHP.
Jak sprawdzić wersję PHP w WordPress Site Health?
Oficjalna karta wtyczki wskazuje WooCommerce 11.2.1 i wymaganie WordPressa 7.0 lub nowszego. Tabela zgodności w dokumentacji WooCommerce kończy się na wersji 10.8; dla tego wydania dokumentacja podaje minimalnie WordPressa 6.9 i PHP 7.4, a zaleca PHP 8.3 lub nowsze. WordPress 7.1.3 jest najnowszym wydaniem wymienionym w oficjalnym wykazie wersji. Wymagania minimalne nie wskazują same w sobie, którą gałąź PHP wybrać: sprawdź konkretną wersję WooCommerce i WordPressa w tabeli zgodności WooCommerce oraz uzgodnij z hostingiem docelową gałąź, która spełnia wymagania sklepu i zawiera poprawkę bezpieczeństwa.
WordPress Site Health pokazuje dane środowiska witryny. Do sprawdzenia numeru PHP służy karta Informacje, a nie sama ocena na karcie Stan. Według instrukcji WordPressa ekran informacyjny zawiera techniczne dane serwera i służy do ich odczytu, nie do zmiany ustawień.
- Zaloguj się do panelu administracyjnego WordPressa.
- Otwórz Narzędzia > Stan witryny > Informacje.
- Rozwiń sekcję Serwer i odczytaj wersję PHP.
- Zapisz pełny numer, łącznie z poprawką, na przykład
8.4.27. - Porównaj go z tabelą powyżej. Jeśli masz niższy numer albo nie wiesz, czy hosting wdraża poprawki dystrybucji, poproś go o potwierdzenie.
WordPress opisał tę ścieżkę w instrukcji ekranu Stan witryny, a komunikat o poprawce wskazuje dokładnie sekcję Narzędzia > Stan witryny > Informacje > Serwer. Wynik „dobry” na karcie Stan jest przydatny przy ogólnej diagnostyce, ale nie zastępuje sprawdzenia numeru ani potwierdzenia od dostawcy hostingu.
Sprawdź też raport WooCommerce
Możesz zweryfikować wersję również w panelu WooCommerce. Przejdź do WooCommerce > Status, odszukaj sekcję środowiska serwera i wiersz PHP version. Dokumentacja WooCommerce podaje tę ścieżkę jako sposób sprawdzenia PHP, a raport statusu obejmuje także wersję WordPressa i WooCommerce.
Jeśli wartości w dwóch miejscach są różne, nie zakładaj, że jedna z nich opisuje aktualne środowisko sklepu. Przekaż hostingowi oba odczyty i poproś o sprawdzenie, jaki interpreter PHP obsługuje stronę i panel. Zobacz też instrukcję sprawdzania i aktualizacji PHP oraz WordPressa w WooCommerce.
Co zrobić, gdy numer jest starszy?
Aktualizację PHP wdraża hosting albo administrator serwera, a nie aktualizacja wtyczki WooCommerce. Komunikaty WordPressa i WooCommerce zaznaczają, że luki dotyczą PHP i nie wymagają wydania poprawki WordPressa ani WooCommerce. Zgodnie z zaleceniem WooCommerce dotyczącym krytycznych wydań PHP właściciel sklepu powinien sprawdzić aktualizacje u dostawcy, nawet jeśli ten może już wdrażać poprawkę.
- Zapisz dane środowiska. Zanotuj pełny numer PHP z Site Health lub raportu WooCommerce oraz wersje WordPressa i WooCommerce.
- Napisz do hostingu. Zapytaj, czy poprawka z 21 października została wdrożona na serwerze obsługującym sklep. Jeśli hosting stosuje własny pakiet lub backport, poproś o potwierdzenie, że usuwa obie luki.
- Ustal sposób i termin aktualizacji. Poproś o wskazanie wersji PHP po zmianie oraz o informację, czy aktualizacja wymaga przełączenia wersji w panelu. Dostawca kontroluje PHP po stronie serwera, choć może udostępniać klientowi wybór wersji w panelu hostingowym.
- Przygotuj kopię i środowisko testowe. WooCommerce zaleca kopię zapasową przed zmianami środowiska serwera. Jeśli masz staging, uzgodnij test aktualizacji tam przed zmianą na działającym sklepie.
- Po wdrożeniu odczytaj wersję ponownie. Sprawdź Site Health lub WooCommerce > Status i zachowaj potwierdzenie hostingu. Jeśli nadal widzisz starszy numer, poproś o wyjaśnienie, czy patrzysz na właściwy serwer i czy poprawka została aktywowana.
- Przejdź przez kluczowe ścieżki sklepu. Sprawdź stronę produktu, koszyk, checkout i panel zamówień. To praktyczna kontrola działania sklepu po zmianie środowiska, nie dowód na usunięcie luki.
Dodatkowy wektor RCE: warunki i zalecenie PHP
Komunikat PHP z 23 października opisuje dodatkowy, mało prawdopodobny wektor RCE. Może wystąpić tylko wtedy, gdy aplikacja początkowo ustawia session.serialize_handler na php_binary lub php_serialize, a następnie zmienia go w czasie działania na php przez ini_set() przed wywołaniem session_start(), przy nadal włączonym postępie wysyłania sesji. Zapytaj hosting, czy sprawdził te warunki. Jeśli dotyczą serwera sklepu, PHP zaleca tymczasowo ustawić session.upload_progress.enabled=0 do kolejnego regularnego wydania z poprawkami.
Nie instaluj losowej wtyczki „naprawiającej PHP”. PHP jest uruchamiane przez serwer, więc zmianę trzeba wykonać lub potwierdzić na poziomie hostingu. Reguła zapory WAF może ograniczać część żądań, ale komunikat projektu PHP wskazuje aktualizację jako pełne rozwiązanie.
W praktyce: w zgłoszeniu do hostingu podaj nazwę domeny, odczytaną wersję PHP oraz pytanie: „Czy serwer obsługujący tę witrynę ma poprawkę PHP z 21 października 2026 r. dla CVE-2026-109618 i CVE-2026-109619? Jeśli stosujecie pakiet dystrybucji lub backport, proszę o potwierdzenie, że zawiera obie poprawki”. Dodaj pytanie: „Czy sprawdziliście warunki dodatkowego problemu RCE opisanego 23 października, czyli czy aplikacja początkowo ustawia session.serialize_handler na php_binary lub php_serialize, a potem zmienia go przez ini_set() na php przed session_start(), przy włączonym postępie wysyłania sesji? Jeśli te warunki dotyczą serwera, czy ustawiliście session.upload_progress.enabled=0 do następnego regularnego wydania z poprawkami?”.
FAQ
Czy wystarczy zaktualizować WordPressa lub WooCommerce?
Nie. Według komunikatu WordPressa luki dotyczą PHP i nie wymagają aktualizacji WordPressa; WooCommerce również wskazuje, że poprawka nie jest wydaniem WooCommerce. Poproś hosting o aktualizację środowiska PHP.
Czy WordPress Site Health może zaktualizować PHP?
Nie. Karta Informacje pokazuje dane techniczne serwera. Zmianę PHP wykonuje się w panelu hostingu, jeśli dostawca udostępnia taką opcję, albo z pomocą administratora serwera.
Co zrobić, jeśli mam PHP 8.2.34 albo starsze?
Skontaktuj się z hostingiem i zapytaj o wdrożenie poprawki. Dla standardowego wydania PHP 8.2 poprawka z 21 października znajduje się w wersji 8.2.35. Jeśli dostawca używa pakietu z backportem, poproś o potwierdzenie jego zawartości.
Czy WAF zastępuje aktualizację PHP?
Nie traktuj samej informacji o WAF jako potwierdzenia naprawy. WordPress informuje, że hosting może wdrażać reguły WAF jako ograniczenie ryzyka, a projekt PHP określa aktualizację jako pełne rozwiązanie. Zapytaj dostawcę o oba elementy, ale przede wszystkim o poprawkę PHP.
Co dalej
Po sprawdzeniu PHP przejrzyj także pozostałe obszary utrzymania sklepu w artykule Audyt sklepu internetowego: lista kontrolna krok po kroku. Informacje o tym, jak przygotować katalog WooCommerce dla asystenta zakupowego, znajdziesz w poradniku Jak przygotować produkty WooCommerce dla asystenta AI.