Krytyczna luka w PHP? Zabezpieczymy i wyczyścimy stronę.

Tak, jeśli serwer używa podatnej wersji PHP. Luka jest w samym PHP, nie w WordPressie — według WordPress.org aktualizacja WordPressa w tej sprawie nie jest potrzebna ani planowana. Nowa wersja WordPressa, wtyczek czy motywu, a także wtyczka bezpieczeństwa, tej luki nie zamkną.

Pomaga tylko aktualizacja PHP do wersji z poprawką (8.5.12, 8.4.27, 8.3.36 i 8.2.35) lub nowszej z tej samej gałęzi. Jak sprawdzić swoją wersję, opisujemy wyżej, w części „Czy to mnie dotyczy?”.

Prawdopodobnie tak, ale sprawdź dwie rzeczy. Po pierwsze — której wersji PHP używa Twoja domena: hosting zwykle pozwala wybrać jedną z kilku, a dla 8.1, 8.0, 7.4 i starszych zespół PHP nie wydał nowych wersji. Poproś o potwierdzenie na piśmie, że wersja obsługująca Twoją domenę zawiera poprawki.

Po drugie — czy przed aktualizacją nikt się nie włamał. Informacje o lukach wyciekły już 20 października 2026, a aktualizacja nie usuwa tylnych drzwi podłożonych wcześniej.

Zespół PHP nie wydał dla nich nowych wersji — opublikował tylko łatki w kodzie źródłowym dla osób, które same kompilują PHP. Część dystrybucji Linuksa i firm oferujących przedłużone wsparcie może dostarczyć własne poprawki, ale dopóki hosting nie potwierdzi tego na piśmie, uznaj stronę za niezabezpieczoną.

Właściwe rozwiązanie to przejście na wspieraną wersję — najlepiej 8.3 lub nowszą, bo wsparcie dla PHP 8.2 kończy się 31 grudnia 2026. Stare wtyczki, motywy i kod pisany na zamówienie mogą wymagać poprawek, dlatego najpierw sprawdzamy stronę na kopii. Przejście wyceniamy przed startem.

Aktualizacja w obrębie tej samej wersji — np. z 8.3.35 do 8.3.36 — zawiera tylko poprawki błędów i bezpieczeństwa, więc zwykle nie zmienia działania strony.

Przejście na nowszą wersję — np. z 7.4 na 8.3 — to co innego: stare wtyczki, motywy albo kod pisany na zamówienie mogą przestać działać. Dlatego najpierw robimy pełną kopię strony i uruchamiamy ją na nowej wersji PHP, a właściwą stronę przełączamy dopiero wtedy, gdy wszystko działa.

To najważniejszy krok — zamyka lukę. Nie usuwa jednak tego, co włamywacze mogli zostawić wcześniej: tylnych drzwi, obcych kont czy zadań cron. Nie unieważnia też haseł i kluczy, które mogły wyciec z pamięci serwera.

Dlatego po aktualizacji sprawdź objawy włamania z listy powyżej i zmień hasła do panelu strony, hostingu i poczty. Hasło do bazy danych i klucze API trzeba zmienić jednocześnie w konfiguracji strony (w WordPressie — w pliku wp-config.php i ustawieniach wtyczek), inaczej strona albo płatności przestaną działać. Jeśli wolisz, zrobimy to za Ciebie w ramach usługi zabezpieczenia.

Zapora to dobra tymczasowa ochrona, ale nie zastępuje aktualizacji. Cloudflare wprowadził reguły blokujące znane sposoby ataku, ale sam przedstawia je jako rozwiązanie tymczasowe — atakujący szukają sposobów, żeby je obejść.

Zapora chroni też tylko ruch, który przez nią przechodzi: jeśli serwer przyjmuje połączenia także bezpośrednio, atakujący może ją ominąć. Zaktualizuj PHP mimo zapory.

Zabezpieczenie wyceniamy przed startem: stała kwota liczona w pełnych godzinach według stawki 369 zł brutto (300 zł netto) za godzinę. Liczba godzin zależy od tego, czy wystarczy aktualizacja w obrębie tej samej wersji PHP, czy trzeba przejść na nowszą, i od liczby stron na serwerze. Kwotę podajemy w ofercie po bezpłatnej diagnozie.

Czyszczenie strony na WordPressie kosztuje od 738 zł brutto (600 zł netto) — w pakietach ze stałą ceną: blog lub prosta strona 738 zł, strona firmowa 1 476 zł, sklep internetowy 2 460 zł brutto. Infekcja przechodzi między stronami na jednym koncie hostingowym, dlatego czyścimy je razem: pełną cenę pakietu płacisz tylko za jedną stronę — tę z najdroższym pakietem — a każdą kolejną zainfekowaną stronę, którą chcesz zachować, za 50% ceny jej pakietu. Nieużywane instalacje WordPressa za Twoją zgodą kopiujemy i wyłączamy bez dopłaty. Inne systemy wyceniamy indywidualnie, przed startem.

Dopłacasz tylko za ekspres, kolejne zainfekowane strony na tym samym koncie albo prace spoza zakresu — i tylko wtedy, gdy zaakceptujesz je z góry. Nic innego nie doliczymy.

Na zgłoszenia odpowiadamy w ciągu 4 godzin roboczych (pon.–pt. 8:00–18:00, bez świąt). Wiadomości wysłane poza tymi godzinami — wieczorem, w nocy, w weekend lub w święto — czytamy na początku najbliższego dnia roboczego i odpowiadamy do 12:00. Nie pracujemy w nocy, w weekendy ani w święta i nie mamy wtedy dyżuru.

Zaczynamy najpóźniej następnego dnia roboczego po akceptacji oferty, przekazaniu dostępu i naszym potwierdzeniu umowy. W trybie ekspres zaczynamy w ciągu 4 godzin roboczych, jeśli pozwala na to kalendarz — potwierdzamy to w ofercie. Jeśli kupujesz prywatnie i chcesz, żebyśmy zaczęli przed upływem 14 dni na odstąpienie od umowy, napisz to w e-mailu z akceptacją oferty i potwierdź, że przyjmujesz do wiadomości skutki dla prawa odstąpienia. Bez takiej prośby zaczniemy dopiero po upływie 14 dni.

Aktualizacja w obrębie tej samej wersji PHP trwa zwykle krótko; przejście na nowszą wersję albo czyszczenie po włamaniu — dłużej. Przewidywany czas podajemy w ofercie.

W odpowiedzi na zgłoszenie podamy bezpieczny sposób, krok po kroku. Zwykle zakładasz dla nas osobne konto w panelu hostingu albo dodajesz nasz klucz SSH, a w WordPressie — tymczasowe konto administratora. Możesz też użyć jednorazowego, wygasającego linku.

Zanim się zalogujemy albo uruchomimy aktywne skanowanie, poprosimy o pisemne upoważnienie i potwierdzenie, że strona należy do Ciebie albo działasz w imieniu właściciela. Do tego czasu sprawdzamy tylko to, co widać publicznie — bez logowania i bez aktywnego skanowania.

W ramach usługi zmieniamy hasła i klucze na stronie. Po zakończeniu poprosimy Cię jeszcze o zmianę haseł do hostingu i poczty oraz o usunięcie naszego dostępu.

Luka dotyczy każdego systemu w PHP. Aktualizację PHP w obrębie tej samej wersji i sprawdzenie śladów włamania wykonamy dla każdej strony — także na Joomli, Drupalu, PrestaShopie, Magento, Laravelu czy kodzie pisanym na zamówienie. Czy i jak przejść na nowszą wersję PHP, ocenimy w diagnozie, bo to zależy od systemu.

Czyszczenie po włamaniu stron na innych systemach niż WordPress wyceniamy indywidualnie. Napisz — uczciwie powiemy, czy możemy pomóc, a jeśli tak, podamy stałą cenę i warunki przed startem. Nie wiesz, na czym działa Twoja strona? Sprawdzimy to w bezpłatnej diagnozie.

Tak. Umowę zawieramy na odległość, e-mailem, więc jako konsument masz 14 dni od jej zawarcia na odstąpienie bez podawania przyczyny. Wystarczy e-mail; wzór formularza dołączamy do oferty.

Krytyczna luka zwykle nie może czekać dwóch tygodni. Jeśli chcesz, żebyśmy zaczęli wcześniej, napiszesz to w e-mailu z akceptacją oferty i potwierdzisz, że przyjmujesz do wiadomości dwie rzeczy: po pełnym wykonaniu usługi prawo odstąpienia wygasa, a jeśli odstąpisz w trakcie prac, zapłacisz za część wykonaną do chwili odstąpienia — według etapów i kwot podanych w ofercie. Przy czyszczeniu strony na WordPressie płacisz wtedy tylko za ukończone etapy — (1) kopia i analiza, (2) oczyszczenie i zamknięcie luki, (3) zabezpieczenie, raport i prośba do Google; każdy to jedna trzecia ceny z oferty. Bez takiej prośby zaczniemy dopiero po upływie 14 dni.

Ta prośba nie ma nic wspólnego z płatnym trybem ekspres — dotyczy każdego zamówienia złożonego przez konsumenta.

Jeśli umowa nie ma dla Ciebie charakteru zawodowego — np. prowadzisz piekarnię, a nie firmę informatyczną — masz prawo odstąpienia od umowy i ochronę przed niedozwolonymi postanowieniami umownymi na zasadach takich jak konsument. Prawo odstąpienia działa wtedy tak samo jak u osób prywatnych, łącznie z prośbą o wcześniejszy start.

Możesz, ale nie musisz, napisać nam, czy umowa ma dla Ciebie charakter zawodowy — nie uzależniamy od tego przyjęcia zlecenia. Fakturę wystawimy na firmę, w KSeF.

Płacisz po wykonaniu usługi, bez zaliczki, wyłącznie przelewem na rachunek INCREASE Sp. z o.o. — z numerem oferty w tytule.

Firmy dostają fakturę VAT w KSeF w dniu przekazania raportu, z terminem płatności 14 dni. Osoby prywatne płacą w ciągu 7 dni od przekazania raportu; fakturę wystawimy na życzenie zgłoszone w ciągu 3 miesięcy od końca miesiąca, w którym wykonaliśmy usługę albo otrzymaliśmy zapłatę.

Jeśli włamywacze mogli dotrzeć do danych osobowych — np. kont klientów, zamówień albo wiadomości z formularzy — to Ty jako administrator danych oceniasz, czy trzeba zgłosić naruszenie Prezesowi UODO i czy zawiadomić osoby, których dane dotyczą. Zgłoszenie do UODO składa się bez zbędnej zwłoki, w miarę możliwości do 72 godzin od stwierdzenia naruszenia. Doradzić może Ci w tym Twój inspektor ochrony danych (IOD) lub prawnik. Pamiętaj, że ta luka pozwala też odczytać fragmenty pamięci serwera, a w nich np. hasła.

Jeśli Twoja firma jest podmiotem kluczowym lub ważnym w rozumieniu ustawy o krajowym systemie cyberbezpieczeństwa, zgłoszenie incydentu poważnego do właściwego CSIRT jest obowiązkiem ustawowym. Nie oceniamy, czy Twoja firma podlega ustawie — sprawdź to z prawnikiem. W pozostałych przypadkach incydent możesz zgłosić dobrowolnie do CERT Polska, na stronie incydent.cert.pl.

W części technicznej pomożemy: niezwłocznie przekażemy Ci pisemną informację z datą i godziną — co ustaliliśmy, jakie dane mogły być dostępne i co zrobiliśmy. Nie świadczymy pomocy prawnej i nie składamy zgłoszeń w Twoim imieniu.

Tak. Podczas prac możemy mieć dostęp do danych osobowych na Twojej stronie i serwerze — kont użytkowników, zamówień, wiadomości z formularzy. Przetwarzamy je tylko w Twoim imieniu, na podstawie umowy powierzenia przetwarzania danych (art. 28 RODO). Dołączamy ją do każdej oferty, także dla osób prywatnych, i podpisujemy, zanim dostaniemy dostęp — na naszym albo Twoim wzorze.

NDA podpiszemy na życzenie. Kopię strony sprzed prac przechowujemy 30 dni, a potem trwale usuwamy.