Pilna aktualizacja PHP: co robimy w IdoSell i czego możesz się spodziewać w najbliższych dniach

Co się wydarzyło?

Międzynarodowy zespół rozwoju języka PHP ogłosił wczoraj (20 października 2026 r.) wykrycie dwóch krytycznych podatności w interpreterze PHP o numerach: CVE-2026-109618 oraz CVE-2026-109619. Publikacja poprawek została zapowiedziana na 21 października 2026 r. na godz. 16:00 czasu polskiego. Obie podatności otrzymały ocenę 9,2 w 10 stopniowej skali CVSS v4.0, co oznacza bardzo wysoki poziom ryzyka i wymaga szybkiej aktualizacji środowisk korzystających z podatnych wersji PHP. 

Co to oznacza w praktyce? 

PHP jest technologią serwerową wykorzystywaną przez wiele serwisów i aplikacji internetowych. Problem dotyczy samego interpretera PHP, a nie konkretnego sklepu czy aplikacji. Dlatego po udostępnieniu poprawionych wersji dostawcy korzystający z PHP powinni odpowiednio zaktualizować swoje środowiska. 

Szczegółowe informacje techniczne oraz listę wersji zawierających poprawki projekt PHP opublikuje wkrótce, razem z wydaniem aktualizacji. 

Co robimy w IdoSell

IdoSell działa w modelu SaaS. Oznacza to, że to my odpowiadamy za utrzymanie i bezpieczeństwo platformy oraz przygotowanie i wdrażanie niezbędnych aktualizacji jej infrastruktury. 

W związku z zapowiedzianymi poprawkami PHP: 

• monitorujemy sytuację i komunikaty projektu PHP od momentu pierwszego ostrzeżenia, 

• przygotowaliśmy proces, aby rozpocząć wdrażanie poprawek niezwłocznie po ich publikacji, 

• wzmocniliśmy monitoring infrastruktury pod kątem nietypowej aktywności, 

• po wdrożeniu weryfikujemy skuteczność aktualizacji na wszystkich serwerach. 

Co to oznacza dla Ciebie 

Nie musisz samodzielnie aktualizować PHP ani wykonywać zmian w swoim sklepie IdoSell. Aktualizacje infrastruktury IdoSell przygotowujemy i wdrażamy po naszej stronie. 

Niezależnie od aktualizacji zapewniamy również: 

• całodobowy monitoring serwerów, 

• wielopoziomowy backup danych, 

• regularne testy penetracyjne systemu, 

• bezpieczeństwo płatności kartowych na poziomie certyfikowanym PCI DSS Level 1. 

Dzięki temu kwestie technicznego zabezpieczenia i aktualizacji platformy pozostają po stronie IdoSell, a Ty możesz skupić się na prowadzeniu i rozwoju swojego sklepu. 

Czego możesz się spodziewać w najbliższych dniach 

Wdrożenie aktualizacji PHP wymaga ponownego uruchomienia usług działających na aktualizowanych serwerach. Dlatego 21 października oraz w kolejnych dniach mogą wystąpić krótkotrwałe przerwy w działaniu niektórych elementów platformy, np. panelu administracyjnego, API, sklepu, Composera, panelu BOK (CSC) itp. 

Aktualizację przeprowadzamy w sposób ograniczający wpływ prac na działanie sklepów: 

• pojedyncze przerwy planujemy tak, aby trwały możliwie krótko, zazwyczaj kilka minut, 

• aktualizacje wdrażamy etapami, dlatego nie wszystkie sklepy i usługi będą niedostępne jednocześnie, 

• w przypadku niektórych mniej krytycznych usług jak Composer czy CSC przerwy mogą przyjąć czasowy charakter, 

• aktualizacja może wpłynąć na operacje w tle np. pobieranie zamówień z marketplace.

Wiemy, że każda minuta niedostępności sklepu ma znaczenie. W tej sytuacji krótka i kontrolowana przerwa związana z wdrożeniem poprawki bezpieczeństwa oznacza jednak mniejsze ryzyko niż pozostawienie środowiska bez aktualizacji po publicznym ujawnieniu szczegółów podatności. 

Działania po stronie użytkownika IdoSell 

Jeżeli Twój sklep działa na platformie IdoSell, nie musisz wykonywać żadnych działań związanych z aktualizacją PHP. Aktualizację infrastruktury przeprowadzamy po naszej stronie. 

Warto natomiast zwrócić uwagę na rozwiązania, które działają poza infrastrukturą IdoSell i są utrzymywane przez Ciebie lub zewnętrznego dostawcę. Może to być np.: 

• własna strona firmowa, 

• blog, 

• zewnętrzny serwer obsługujący integracje, 

• dodatkowe aplikacje lub narzędzia wykorzystujące PHP. 

Jeżeli korzystasz z takich rozwiązań, skontaktuj się z ich hostingodawcą lub wykonawcą i sprawdź, czy korzystają z PHP oraz czy planują wdrożenie odpowiednich poprawek. 

To element podziału odpowiedzialności pomiędzy platformą a sprzedawcą, który szerzej opisujemy w artykule Bezpieczeństwo sklepu internetowego: co zabezpiecza platforma, a co zależy od sprzedawcy. 

Uważaj na wiadomości phishingowe o „pilnej aktualizacji” 

Informacje o poważnych podatnościach mogą być wykorzystywane przez przestępców do tworzenia wiadomości phishingowych. IdoSell nie poprosi Cię e-mailem ani telefonicznie o podanie hasła lub kodu 2FA ani o samodzielne instalowanie aktualizacji PHP. 

Jeżeli otrzymasz wiadomość, która nakłania Cię do szybkiego zalogowania się przez przesłany link, podania danych dostępowych lub zainstalowania „poprawki bezpieczeństwa”, nie klikaj w znajdujące się w niej linki i zgłoś wiadomość do naszego działu wsparcia. 

To również dobry moment, aby sprawdzić, czy wszystkie konta mające dostęp do panelu IdoSell korzystają z weryfikacji dwuetapowej (2FA). 

Najważniejsze w skrócie 

1. Masz sklep w IdoSell → nie musisz samodzielnie aktualizować PHP. Aktualizację infrastruktury wykonujemy po naszej stronie. 

2. Korzystasz dodatkowo z własnych serwerów lub zewnętrznych aplikacji opartych na PHP → sprawdź u ich dostawców, czy i kiedy zostaną zaktualizowane. 

3. Możliwe są krótkie przerwy w dostępności → aktualizacje wdrażamy etapami, aby ograniczyć ich wpływ na działanie sklepów. 

4. Nie instaluj „aktualizacji IdoSell” otrzymanych w wiadomościach → aktualizacji PHP nie wykonuje się z poziomu Twojego panelu ani na podstawie linku przesłanego e-mailem.