ZAKOŃCZONA ✅ Aktualizacja interpreterów PHP – CVE-2026-109618 oraz CVE-2026-109619 – 21.10.2026

AKTUALIZACJA 22.10.2026 – godzina 05:12:

Prace aktualizacyjne wszystkich wersji interpreterów PHP na wszystkich serwerach Zenbox zostały zakończone.

WAŻNE! Numeracja wersji PHP po aktualizacji
Poprawki bezpieczeństwa wdrażamy jako tzw. backport, czyli dodajemy je do dotychczasowych wersji PHP używanych na naszych serwerach. Dlatego numery wersji PHP widoczne na naszych usługach mogą być niższe niż numery wersji z poprawkami opublikowane przez PHP Foundation. Przykładowo wersja z gałęzi 8.4 po aktualizacji może mieć w Zenbox numer 8.4.26, a nie 8.4.27. Niższy numer wersji nie oznacza, że PHP jest podatne. Poprawki dla CVE-2026-109618 i CVE-2026-109619 zostały uwzględnione w zaktualizowanych pakietach.

Zachęcamy do zapoznania się z artykułem na naszym blogu o krytycznych podatnościach: Krytyczne podatności w PHP załatane.

Dziękujemy za cierpliwość i wyrozumiałość. W razie jakichkolwiek pytań zapraszamy do kontaktu z naszym Biurem Obsługi Klienta.

ORYGINALNY STATUS:

Szanowni Klienci,

Informujemy, iż dnia 21.10.2026 od wczesnych godzin porannych nasi administratorzy wdrażają mitygacje i poprawki bezpieczeństwa dla podatności w PHP opisanych w lukach bezpieczeństwa oznaczonych sygnaturami CVE-2026-109618 i CVE-2026-109619.

Prace mają najwyższy priorytet i prowadzimy je na wszystkich serwerach objętych podatnością i wszystkich wspieranych przez nas wersjach interpretera języka PHP – od wersji 5.2, aż do 8.5 włącznie. Listę wspieranych przez nas wersji PHP mogą Państwo sprawdzić w naszym Kalendarzu Wsparcia.

W ciągu dnia, do czasu wdrożenia docelowych poprawek w interpreterach PHP, wprowadziliśmy dodatkowe zabezpieczenia prewencyjne dla usług naszych Klientów:

• Tymczasowe wyłączenie dyrektywy session.upload_progress.enabled = Off – na wszystkich serwerach wyłączyliśmy mechanizm śledzenia postępu przesyłania plików w sesji PHP, który może być wykorzystywany w ramach opisanych podatności. Zmiana nie wpływa na samo przesyłanie plików. Dotyczy wyłącznie raportowania postępu uploadu przez sesję PHP.
• Aktualizacja reguł WAF (Web Application Firewall). Dodaliśmy reguły filtrujące ruch, który próbuje wykorzystać opisane luki za pomocą znanych exploitów.

W ramach prowadzonych prac nie przewidujemy przerw ani ograniczeń w działaniu usług.

Status zaktualizujemy po zakończeniu prac. Dziękujemy za cierpliwość i wyrozumiałość.