Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
Google zaleca, aby właściciele stron opartych na PHP, które wyłączają serwis na czas łatania krytycznej luki PHP2Shell, zwracali kod HTTP 503 zamiast odpowiedzi 404, 500 lub przekroczenia czasu. Zalecenie dotyczy osób, które tymczasowo zamykają witrynę, aby bezpiecznie zainstalować poprawki PHP. Wskazówka pojawiła się 21 października 2026 roku.
Najważniejsze
- Luka PHP2Shell może umożliwić zdalne wykonanie kodu bez logowania; dotyczy wersji od 5.4 do 8.5.11.
- Poprawki wydano w wersjach PHP 8.5.12, 8.4.27, 8.3.36 i 8.2.35.
- Google zaleca kod 503 zamiast timeoutu, 404 lub 500 przy planowanym wyłączeniu strony.
- Kod 503 można ustawić poza kodem PHP, przez zmianę wskazania DNS lub przez CDN.
Czym jest luka PHP2Shell
PHP2Shell to dwie krytyczne luki w języku PHP, które mogą pozwolić atakującemu na zdalne wykonanie kodu bez uwierzytelnienia oraz na ujawnienie fragmentów pamięci. Według komunikatu luki dotyczą wersji od 5.4 do 8.5.11, a ich zasięg szacowany jest na około 70% stron w sieci. Badacze wykryli je z użyciem modeli AI, co przyspieszyło wydanie poprawek.
Doniesienia prasowe podawały, że strony instytucji publicznych, szkół i szpitali w Europie zostały wyłączone, zanim zainstalowano poprawki. Komunikat nie podaje liczby wyłączonych serwisów.
Wersje PHP, które należy zaktualizować
Poprawki PHP2Shell wydano w czterech gałęziach wersji. Aktualizacja do jednej z wersji łatających usuwa podatność w danej gałęzi.
| Gałąź PHP | Wersja z poprawką | Podatne wersje |
|---|---|---|
| 8.5 | 8.5.12 | do 8.5.11 |
| 8.4 | 8.4.27 | do 8.4.26 (wraz z wcześniejszymi) |
| 8.3 | 8.3.36 | do 8.3.35 (wraz z wcześniejszymi) |
| 8.2 | 8.2.35 | do 8.2.34 (wraz z wcześniejszymi) |
| 5.4–8.1 | brak wersji łatającej w komunikacie | cały zakres od 5.4 |
Co Google radzi przy wyłączaniu strony
Google zaleca, aby przy planowanym wyłączeniu witryny używać kodu HTTP 503. Odpowiedzi typu timeout, 404 lub 500 mogą, według tego zalecenia, prowadzić do długotrwałych problemów z rankingiem i indeksowaniem w wyszukiwarce. Wskazówkę przedstawił jeden z przedstawicieli Google we wpisie na Bluesky.
Kod 503 można ustawić poza kodem PHP: na poziomie serwera, przez przekierowanie DNS na inny serwer lub w sieci CDN. Komunikat nie podaje, jak długo kod 503 może być bezpiecznie utrzymywany.
Wcześniejsze wytyczne Google
Dokumentacja Search Central zawiera opracowania dotyczące planowanego wyłączania witryny oraz tymczasowego wstrzymywania jej działania. Google przedstawiło podobne zalecenia w 2021 roku przy okazji luki Log4j.
Co to oznacza w praktyce
- Sprawdź wersję PHP na serwerze lub w panelu hostingu i zaktualizuj ją do 8.2.35, 8.3.36, 8.4.27 lub 8.5.12.
- Jeśli wyłączasz stronę na czas aktualizacji, ustaw kod 503 zamiast 404, 500 lub timeoutu.
- Jeżeli nie możesz zmienić kodu odpowiedzi w PHP, rozważ ustawienie 503 na serwerze, w CDN lub przez zmianę wskazania DNS.
- Nie wyłączaj witryny na dłużej, niż wymaga aktualizacja, a po jej zakończeniu przywróć normalne odpowiedzi.
- Komunikat nie podaje terminu, do którego trzeba zaktualizować PHP; poprawki są jednak już dostępne, więc aktualizację należy wykonać od razu.
Jeśli Twoja strona działa na PHP w wersji od 5.4 do 8.5.11, zaktualizuj ją dziś, a w razie wyłączenia użyj kodu 503. Zachowasz w ten sposób stabilność w wynikach wyszukiwania na czas przestoju.
Komentarz redakcji Info24
Czytaj także
- Zmienność wyników Google 20–21 października 2026 bez potwierdzenia
- Google Ads dodaje test A/B dla grup zasobów
- Zestawienia i porównania wciąż mają wartość. Liczy się cel treści
- Google: robots.txt kontroluje crawlowanie, nie wykorzystanie treści
Najczęstsze pytania
Co Google zaleca przy wyłączaniu strony PHP podczas łatania PHP2Shell?
Google zaleca zwracanie kodu HTTP 503 zamiast odpowiedzi typu timeout, 404 lub 500. Według przekazanych informacji takie podejście ma pomóc uniknąć długotrwałych problemów z rankingiem i indeksowaniem w wyszukiwarce.
Jakie wersje PHP są bezpieczne po aktualizacji w ramach PHP2Shell?
Poprawki wydano w wersjach 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Wersje od 5.4 do 8.5.11 są według komunikatu podatne na lukę.
Czy kod 503 można ustawić bez zmiany kodu PHP?
Tak, kod 503 można ustawić poza PHP, na przykład przez zmianę wskazania DNS na inny serwer lub przez sieć CDN. Komunikat nie podaje szczegółowej instrukcji dla konkretnych hostingów.
Jak długo można utrzymywać kod 503 podczas wyłączenia strony?
Komunikat nie podaje konkretnego limitu czasu dla kodu 503. Google wskazuje w swojej dokumentacji dotyczącej planowanych przestojów, że wyłączenie powinno być jak najkrótsze.
