Sprawdzanie bezpieczeństwa strony
Sprawdzanie bezpieczeństwa strony
Sprawdzaj tylko strony, których jesteś właścicielem lub masz zgodę na testowanie. To narzędzie czyta tylko to, co widzi zwykła wizyta przeglądarki; nigdy nie wysyła ładunków exploitów.
Martwisz się głośną luką w PHP? W październiku 2026 ujawniono dwa poważne błędy w samym PHP, nazwane PHP2Shell (CVE-2026-109618 i CVE-2026-109619). Ponieważ tkwią w silniku PHP, dotyczą każdej strony opartej na PHP: Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla i innych, nawet gdy Twój kod jest nienaganny. To narzędzie daje szybki, prosty ogląd tej części problemu, którą widać z zewnątrz, czyli czy Twoja strona nadal ujawnia starą wersję PHP, oraz ogólny stan bezpieczeństwa.
Jak bardzo się martwić? Błędy mają wysoką ocenę (9,2 na 10) i w najgorszym razie mogłyby pozwolić atakującemu uruchomić kod na serwerze bez logowania. Ale firma bezpieczeństwa e-commerce Sansec 22 października dookreśliła: masowe automatyczne ataki są mniej prawdopodobne, niż się obawiano, publiczne exploity nie działają przeciw zwykłej instalacji PHP, a nie musisz wyłączać sklepu. Wszyscy zgadzają się co do jednego: zaktualizuj PHP. Tego problemu nie da się naprawić z kodu sklepu, motywu ani wtyczek, tylko aktualizując PHP na serwerze lub prosząc o to dostawcę hostingu.
Co to narzędzie mówi o Twojej stronie. Wykonuje zwykłe żądanie, dokładnie jak przeglądarka, i zamienia wynik w krótki, kolorowy raport: czy Twoja wersja PHP jest widoczna i czy jest przestarzała lub po końcu życia; czy ruch jest szyfrowany ważnym certyfikatem HTTPS; czy odwiedzający pozostają na bezpiecznej wersji; czy ustawiono typowe nagłówki ochronne; i czy z przodu jest firewall lub CDN jak Cloudflare. Każde sprawdzenie jest pasywne: żadnego ataku, tylko odczyt tego, co każdy odwiedzający już widzi. Wersja odczytana z zewnątrz to sygnał, a nie ostateczny wyrok: potwierdź ją na serwerze poleceniem php -v. Aktualne poprawione wersje PHP to 8.2.35, 8.3.36, 8.4.27 i 8.5.12; PHP 8.1 i starsze są po końcu życia i wymagają aktualizacji lub pakietu z backportem od hostingu.
- Luka PHP z października 2026 w prostych słowach: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) to błąd w samym PHP, więc dotyczy każdej strony na PHP, w tym Magento, Shopware, WooCommerce i WordPress, niezależnie od czystości Twojego kodu.
- Bez paniki, ale zaktualizuj: masowe ataki są mniej prawdopodobne, niż się obawiano, i nie musisz zamykać sklepu, ale rozwiązaniem jest aktualizacja PHP na serwerze (poprawione 8.2.35, 8.3.36, 8.4.27, 8.5.12). Z kodu sklepu się tego nie załata.
- Stan PHP na pierwszy rzut oka: narzędzie pokazuje, czy Twoja wersja PHP jest publiczna i czy wygląda na przestarzałą, niezłataną lub po końcu życia, pierwsze, na co patrzy atakujący.
- HTTPS i certyfikat: potwierdza, że ruch jest szyfrowany, a certyfikat ważny, zaufany i nie wygasa lada chwila.
- Nagłówki i firewall: sprawdza HSTS, Content-Security-Policy, ochronę przed clickjackingiem i MIME-sniffing oraz czy chroni Cię WAF/CDN jak Cloudflare, Sucuri, Akamai, Fastly lub CloudFront.
- Pasywnie i prywatnie: jedno zwykłe żądanie, bez exploitów, nic nie jest zapisywane, a wynik możesz pobrać w PDF.
Jak korzystać ze sprawdzania bezpieczeństwa strony?
Wpisz adres swojej strony (na przykład example.com) w pole i naciśnij Sprawdź. W kilka sekund otrzymasz raport prostym językiem z kolorowym werdyktem i listą punktów. Przyciskiem Pobierz PDF możesz go zapisać.
Czy pokaże, czy jestem narażony na lukę PHP z października 2026 (PHP2Shell)?
Daje mocny pierwszy sygnał: jeśli serwer nadal ujawnia wersję PHP, narzędzie sprawdza, czy ta wersja jest przestarzała, niezłatana lub po końcu życia dla poprawki z października 2026. Nie potwierdzi możliwości wykorzystania, bo to zależy od konfiguracji serwera. Ostateczne sprawdzenie jest na serwerze: php -v i changelog pakietu (poprawione 8.2.35, 8.3.36, 8.4.27, 8.5.12). Jeśli wersja jest ukryta lub za firewallem, narzędzie jej nie odczyta, sprawdź na serwerze.
Moje PHP jest przestarzałe, co robić?
Zaktualizuj PHP do wspieranej, poprawionej wersji (8.2.35, 8.3.36, 8.4.27 lub 8.5.12). Jeśli używasz PHP 8.1 lub starszego, przejdź na wspieraną gałąź lub poproś hosting o pakiet z backportem, a następnie zrestartuj PHP-FPM lub Apache. Jeśli hosting zarządza PHP, po prostu poproś o zastosowanie aktualizacji z października 2026. To najskuteczniejsza poprawka.
Często Zadawane Pytania
Czy to skaner podatności?
Nie. Nigdy nie wysyła exploitów ani nie próbuje wywołać podatności. Czyta tylko nagłówki odpowiedzi HTTP i certyfikat TLS, które i tak otrzymuje każda przeglądarka, i je objaśnia. Aby ostatecznie sprawdzić konkretną lukę jak PHP2Shell, postępuj zgodnie z oficjalnym advisory i testuj na serwerze.
Czy muszę wyłączyć sklep z powodu PHP2Shell?
Według aktualizacji Sansec z 22 października, nie. Masowe wykorzystanie jest mniej prawdopodobne, niż się obawiano, a publiczne exploity nie działają przeciw zwykłej instalacji PHP. Właściwym działaniem jest aktualizacja PHP do poprawionej wersji, a nie zamykanie sklepu.
Narzędzie nie może odczytać mojej wersji PHP, czy to źle?
Zwykle przeciwnie. Wiele serwerów ukrywa wersję przez expose_php=Off lub stoi za firewallem blokującym automatyczne żądania, obie rzeczy dobre dla bezpieczeństwa. Jeśli wersji nie widać z zewnątrz, potwierdź ją na serwerze poleceniem php -v.
Moje PHP pokazuje się jako koniec wsparcia, co teraz?
PHP 8.1 i starsze nie otrzymują już oficjalnych aktualizacji bezpieczeństwa (na 2026) i nie ma oficjalnej poprawki luki z października 2026 dla tych gałęzi. Przejdź na wspieraną gałąź (8.2 lub nowszą) albo poproś hosting o pakiet z backportem. Używanie wersji po końcu życia pozostawia znane luki niezłatane, to najważniejsze.
Sprawdzanie bezpieczeństwa strony
Sprawdzaj tylko strony, których jesteś właścicielem lub masz zgodę na testowanie. To narzędzie czyta tylko to, co widzi zwykła wizyta przeglądarki; nigdy nie wysyła ładunków exploitów.
Martwisz się głośną luką w PHP? W październiku 2026 ujawniono dwa poważne błędy w samym PHP, nazwane PHP2Shell (CVE-2026-109618 i CVE-2026-109619). Ponieważ tkwią w silniku PHP, dotyczą każdej strony opartej na PHP: Magento, Shopware, WooCommerce, WordPress, Drupal, Joomla i innych, nawet gdy Twój kod jest nienaganny. To narzędzie daje szybki, prosty ogląd tej części problemu, którą widać z zewnątrz, czyli czy Twoja strona nadal ujawnia starą wersję PHP, oraz ogólny stan bezpieczeństwa.
Jak bardzo się martwić? Błędy mają wysoką ocenę (9,2 na 10) i w najgorszym razie mogłyby pozwolić atakującemu uruchomić kod na serwerze bez logowania. Ale firma bezpieczeństwa e-commerce Sansec 22 października dookreśliła: masowe automatyczne ataki są mniej prawdopodobne, niż się obawiano, publiczne exploity nie działają przeciw zwykłej instalacji PHP, a nie musisz wyłączać sklepu. Wszyscy zgadzają się co do jednego: zaktualizuj PHP. Tego problemu nie da się naprawić z kodu sklepu, motywu ani wtyczek, tylko aktualizując PHP na serwerze lub prosząc o to dostawcę hostingu.
Co to narzędzie mówi o Twojej stronie. Wykonuje zwykłe żądanie, dokładnie jak przeglądarka, i zamienia wynik w krótki, kolorowy raport: czy Twoja wersja PHP jest widoczna i czy jest przestarzała lub po końcu życia; czy ruch jest szyfrowany ważnym certyfikatem HTTPS; czy odwiedzający pozostają na bezpiecznej wersji; czy ustawiono typowe nagłówki ochronne; i czy z przodu jest firewall lub CDN jak Cloudflare. Każde sprawdzenie jest pasywne: żadnego ataku, tylko odczyt tego, co każdy odwiedzający już widzi. Wersja odczytana z zewnątrz to sygnał, a nie ostateczny wyrok: potwierdź ją na serwerze poleceniem php -v. Aktualne poprawione wersje PHP to 8.2.35, 8.3.36, 8.4.27 i 8.5.12; PHP 8.1 i starsze są po końcu życia i wymagają aktualizacji lub pakietu z backportem od hostingu.
- Luka PHP z października 2026 w prostych słowach: PHP2Shell (CVE-2026-109618 / CVE-2026-109619) to błąd w samym PHP, więc dotyczy każdej strony na PHP, w tym Magento, Shopware, WooCommerce i WordPress, niezależnie od czystości Twojego kodu.
- Bez paniki, ale zaktualizuj: masowe ataki są mniej prawdopodobne, niż się obawiano, i nie musisz zamykać sklepu, ale rozwiązaniem jest aktualizacja PHP na serwerze (poprawione 8.2.35, 8.3.36, 8.4.27, 8.5.12). Z kodu sklepu się tego nie załata.
- Stan PHP na pierwszy rzut oka: narzędzie pokazuje, czy Twoja wersja PHP jest publiczna i czy wygląda na przestarzałą, niezłataną lub po końcu życia, pierwsze, na co patrzy atakujący.
- HTTPS i certyfikat: potwierdza, że ruch jest szyfrowany, a certyfikat ważny, zaufany i nie wygasa lada chwila.
- Nagłówki i firewall: sprawdza HSTS, Content-Security-Policy, ochronę przed clickjackingiem i MIME-sniffing oraz czy chroni Cię WAF/CDN jak Cloudflare, Sucuri, Akamai, Fastly lub CloudFront.
- Pasywnie i prywatnie: jedno zwykłe żądanie, bez exploitów, nic nie jest zapisywane, a wynik możesz pobrać w PDF.
Jak korzystać ze sprawdzania bezpieczeństwa strony?
Wpisz adres swojej strony (na przykład example.com) w pole i naciśnij Sprawdź. W kilka sekund otrzymasz raport prostym językiem z kolorowym werdyktem i listą punktów. Przyciskiem Pobierz PDF możesz go zapisać.
Czy pokaże, czy jestem narażony na lukę PHP z października 2026 (PHP2Shell)?
Daje mocny pierwszy sygnał: jeśli serwer nadal ujawnia wersję PHP, narzędzie sprawdza, czy ta wersja jest przestarzała, niezłatana lub po końcu życia dla poprawki z października 2026. Nie potwierdzi możliwości wykorzystania, bo to zależy od konfiguracji serwera. Ostateczne sprawdzenie jest na serwerze: php -v i changelog pakietu (poprawione 8.2.35, 8.3.36, 8.4.27, 8.5.12). Jeśli wersja jest ukryta lub za firewallem, narzędzie jej nie odczyta, sprawdź na serwerze.
Moje PHP jest przestarzałe, co robić?
Zaktualizuj PHP do wspieranej, poprawionej wersji (8.2.35, 8.3.36, 8.4.27 lub 8.5.12). Jeśli używasz PHP 8.1 lub starszego, przejdź na wspieraną gałąź lub poproś hosting o pakiet z backportem, a następnie zrestartuj PHP-FPM lub Apache. Jeśli hosting zarządza PHP, po prostu poproś o zastosowanie aktualizacji z października 2026. To najskuteczniejsza poprawka.
Często Zadawane Pytania
Czy to skaner podatności?
Nie. Nigdy nie wysyła exploitów ani nie próbuje wywołać podatności. Czyta tylko nagłówki odpowiedzi HTTP i certyfikat TLS, które i tak otrzymuje każda przeglądarka, i je objaśnia. Aby ostatecznie sprawdzić konkretną lukę jak PHP2Shell, postępuj zgodnie z oficjalnym advisory i testuj na serwerze.
Czy muszę wyłączyć sklep z powodu PHP2Shell?
Według aktualizacji Sansec z 22 października, nie. Masowe wykorzystanie jest mniej prawdopodobne, niż się obawiano, a publiczne exploity nie działają przeciw zwykłej instalacji PHP. Właściwym działaniem jest aktualizacja PHP do poprawionej wersji, a nie zamykanie sklepu.
Narzędzie nie może odczytać mojej wersji PHP, czy to źle?
Zwykle przeciwnie. Wiele serwerów ukrywa wersję przez expose_php=Off lub stoi za firewallem blokującym automatyczne żądania, obie rzeczy dobre dla bezpieczeństwa. Jeśli wersji nie widać z zewnątrz, potwierdź ją na serwerze poleceniem php -v.
Moje PHP pokazuje się jako koniec wsparcia, co teraz?
PHP 8.1 i starsze nie otrzymują już oficjalnych aktualizacji bezpieczeństwa (na 2026) i nie ma oficjalnej poprawki luki z października 2026 dla tych gałęzi. Przejdź na wspieraną gałąź (8.2 lub nowszą) albo poproś hosting o pakiet z backportem. Używanie wersji po końcu życia pozostawia znane luki niezłatane, to najważniejsze.