Krytyczna luka w PHP (CVE-2026-6722) – darmowy audyt

Aktualizacja: 22 października 2026

Jeśli Twoja strona lub aplikacja działa na PHP, ta informacja może Cię dotyczyć. Luka CVE-2026-6722 znajduje się w rozszerzeniu ext-soap i występuje w wersjach PHP starszych niż 8.2.31, 8.3.31, 8.4.21 i 8.5.6. Poniżej wyjaśniamy, na czym polega problem, kogo dotyczy i jak samodzielnie sprawdzić swój serwer. Na końcu znajdziesz informację, jak możemy sprawdzić Twoją stronę za darmo.

Na czym polega luka CVE-2026-6722?

To błąd typu use-after-free, czyli użycia pamięci po jej zwolnieniu. Pojawia się przy deduplikacji obiektów w dokumencie XML za pomocą atrybutów id i href. Według biuletynu bezpieczeństwa zespołu PHP wystarczy odpowiednio spreparowane zapytanie SOAP, w którym węzły apache:Map mają zduplikowane klucze. PHP zwalnia wtedy obiekt, ale w pamięci zostaje wskaźnik do niego, z którego później korzysta.

Skutek jest poważny: atakujący, który kontroluje treść zapytania SOAP, może przejść od spreparowanych danych do uszkodzenia pamięci, a w konsekwencji do zdalnego wykonania kodu PHP na serwerze. To znacznie groźniejsze niż zwykłe zawieszenie procesu.

Jak groźna jest ta luka?

NIST w bazie NVD ocenił ją na 9,8 w skali CVSS 3.1, czyli na poziomie krytycznym. W nowszej skali CVSS 4.0 ma ocenę 9,5. Sam zespół PHP oznaczył ją w biuletynie jako lukę o wysokiej wadze.

Biuletyn PHP zawiera przykładowe zapytanie, które wywołuje błąd, i opisuje drogę do zdalnego wykonania kodu. Oficjalne bazy podatności (stan na październik 2026) nie potwierdzają masowych ataków, ale opublikowany przykład ułatwia przygotowanie exploita. To nie jest problem, który można odkładać na później.

Kogo dotyczy problem?

Nie każda instalacja PHP jest zagrożona w tym samym stopniu:

• Najbardziej narażeni: serwisy, które udostępniają endpoint SoapServer użytkownikom z zewnątrz. Tam luka staje się wysokim ryzykiem.

• Mniej narażeni: instalacje bez rozszerzenia SOAP. Aby luka była osiągalna, rozszerzenie musi być załadowane, a w minimalnych instalacjach PHP często go nie ma.

• Warto sprawdzić: jeśli używasz integracji ze starszymi systemami (ERP, firmy kurierskie, bramki płatności, hurtownie), bo często opierają się na SOAP.

Jakie inne błędy załatano w tym samym wydaniu?

Obok CVE-2026-6722 poprawiono kolejne błędy:

• CVE-2026-7261 (SOAP): użycie zwolnionej pamięci po błędzie parsowania nagłówka przy trybie SOAP_PERSISTENCE_SESSION.

• CVE-2026-7262 (SOAP): dereferencja wskaźnika NULL przy dekodowaniu wartości apache:Map.

• CVE-2026-7258: błąd w funkcjach standardowych, m.in. urldecode(), związany z przekazywaniem znaków do funkcji ctype.

• CVE-2026-6104 (mbstring): odczyt poza zakresem pamięci przy nazwie kodowania zawierającej bajt NUL.

Nowe poprawki z lipca 2026

Na początku lipca opublikowano kolejne biuletyny, dotyczące CVE-2026-12184 i CVE-2026-14355. Poprawki znalazły się w wersjach 8.2.32, 8.3.32, 8.4.23 i 8.5.8.

• CVE-2026-14355: błąd alokacji bufora w rozszerzeniu OpenSSL przy użyciu algorytmu AES-WRAP-PAD. Może prowadzić do awarii PHP, a według biuletynu Ubuntu potencjalnie także do wykonania dowolnego kodu.

• CVE-2026-12184: nieprawidłowa obsługa błędów konfiguracji TLS, skutkująca dereferencją wskaźnika NULL i możliwym atakiem typu DoS (awarią PHP).

Oceny groźności CVE-2026-14355 różnią się między źródłami. Red Hat podaje CVSS 5,6, a NVD 5,3, czyli średni poziom zagrożenia. Red Hat zaznacza też, że algorytm AES-WRAP-PAD jest rzadko używany.

Jak samodzielnie sprawdzić wersję PHP?

1. Sprawdź wersję. W terminalu wpisz php -v. W cPanelu znajdziesz wersję w MultiPHP Manager, w Plesku w ustawieniach PHP domeny, a w DirectAdmin w PHP Version Manager.

2. Sprawdź, czy SOAP jest załadowany. Na Linuksie wpisz php -m | grep -i soap, a na Windowsie php -m | findstr /i soap. Jeśli polecenie zwróci „soap”, rozszerzenie jest aktywne.

3. Porównaj wersję z tabelą poniżej.

Wersja w terminalu a wersja strony

Na wielu hostingach PHP w terminalu (CLI) to inna wersja niż ta, na której działa strona. Pewniejszy wynik da panel hostingu albo tymczasowy plik z funkcją phpinfo(), który po sprawdzeniu trzeba od razu usunąć z serwera.

Serwery z Ubuntu, Debianem lub Red Hatem

Dystrybucje Linuksa często wprowadzają poprawki bezpieczeństwa do starszych numerów wersji. Na przykład w Ubuntu 24.04 pakiet PHP ma numer 8.3.6, a mimo to dostaje łatki. Sam numer z tabeli nie wystarczy, trzeba sprawdzić biuletyn bezpieczeństwa swojej dystrybucji i to, czy pakiety są aktualne.

PHP 8.1 i starsze

Zespół PHP nie wydaje już poprawek dla gałęzi 8.1 i starszych. Jeśli Twoja strona działa na takiej wersji, a dystrybucja serwera sama jej nie łata, najpewniejszym rozwiązaniem jest przejście na wspieraną gałąź PHP.

Nie masz pewności, czy problem dotyczy Twojej strony? Zrobimy darmowy audyt

Wersja PHP to tylko część układanki. Trzeba jeszcze wiedzieć, czy SOAP jest włączony, czy któryś element strony go używa i czy endpoint jest dostępny z zewnątrz. Jeśli nie chcesz tego sprawdzać samodzielnie, możemy zrobić to za Ciebie.

W ramach darmowego audytu sprawdzimy:

• jaka wersja PHP działa na Twoim serwerze,

• czy rozszerzenie SOAP jest załadowane i wykorzystywane,

• czy Twoja strona lub integracje są narażone na CVE-2026-6722 i pozostałe opisane luki,

• co dokładnie wymaga działania, a co możesz zostawić bez zmian.

Dostaniesz jasną odpowiedź, czy problem Cię dotyczy, bez zobowiązań.

Przejdź do formularza kontaktowego i zamów darmowy audyt →

Najczęstsze pytania (FAQ)

Czy każda strona na PHP jest podatna na CVE-2026-6722?

Nie. Zagrożone są instalacje z załadowanym rozszerzeniem SOAP, a najbardziej te, które udostępniają publiczny endpoint SoapServer. Bez rozszerzenia SOAP tej luki nie da się wykorzystać.

Czy WordPress, PrestaShop lub Shoper są zagrożone?

O ryzyku decyduje wersja PHP na serwerze i to, czy SOAP jest włączony, a nie sam system CMS. WordPress i PrestaShop działają na Twoim hostingu, więc trzeba sprawdzić jego konfigurację. Shoper to sklep w modelu SaaS, w którym serwerami zarządza dostawca platformy.

Czy wystarczy sprawdzić numer wersji PHP?

Nie zawsze. Dystrybucje Linuksa, takie jak Ubuntu, Debian czy Red Hat, wprowadzają poprawki do starszych numerów wersji. Na takim serwerze numer może wyglądać na stary, a pakiet i tak być załatany. Wtedy trzeba sprawdzić biuletyn bezpieczeństwa dystrybucji.

Czy audyt naprawdę jest darmowy?

Tak. Sprawdzamy, czy problem dotyczy Twojej strony, i przekazujemy wynik bez zobowiązań.

Jak zamówić audyt?

Wypełnij formularz kontaktowy. Odezwiemy się, żeby ustalić szczegóły.

Podsumowanie

CVE-2026-6722 to jedna z poważniejszych luk w PHP w tym roku: krytyczna ocena w NVD, możliwość zdalnego wykonania kodu i opublikowany przykład zapytania, które wywołuje błąd. Zaktualizuj PHP do wersji z tabeli lub sprawdź, czy dystrybucja serwera ma już poprawki. Jeśli nie masz pewności, czy luka dotyczy Twojej strony, napisz do nas, a sprawdzimy to za darmo.