Wyobraź sobie, że ktoś w nocy podmienia na stronie Twojej parafii numer konta na ofiary, a nikt tego nie zauważa przez miesiąc. 21 października 2026 roku wykryto dwie poważne dziury w PHP, czyli oprogramowaniu, na którym działa prawie każda strona zbudowana na WordPressie, w tym tysiące stron parafii i wspólnot. Przez te dziury obca osoba może przejąć stronę, nie znając żadnego hasła. Na szczęście naprawa jest już dostępna, a sprawdzenie, czy Twoja strona jest bezpieczna, zajmuje kilka minut.
Czym jest krytyczna luka w PHP i dlaczego jest tak groźna
PHP to coś w rodzaju silnika, który napędza większość stron internetowych na świecie. Korzysta z niego WordPress, a więc także ogromna część stron parafii, wspólnot i duszpasterstw. Badacze z firmy Wiz, pracując z pomocą sztucznej inteligencji, znaleźli w tym silniku dwa poważne błędy, nazwane wspólnie PHP2Shell (oficjalne oznaczenia to CVE-2026-109618 i CVE-2026-109619). Eksperci ocenili je na 9,2 w dziesięciopunktowej skali zagrożenia. Najważniejsze jest to, że nie zawinił ani twórca strony, ani żadna wtyczka. Problem tkwi w samym fundamencie, więc narażona była nawet porządnie zrobiona strona.
Co to oznacza w praktyce? Obca osoba może dostać się na serwer, na którym stoi strona, i robić tam, co zechce, bez logowania się. Może też podglądać fragmenty pamięci serwera, a tam mogą znajdować się hasła oraz dane osób, które korzystały ze strony. Co ciekawe, ten błąd ukrywał się w PHP od 2012 roku, czyli przez prawie czternaście lat.
Dlaczego strony parafii i wspólnot są szczególnie narażone
Większość stron parafialnych powstała dzięki zaangażowaniu jednej osoby, często wolontariusza, ministranta z zacięciem informatycznym albo znajomego, który „zna się na komputerach”. Strona działa, ogłoszenia się pojawiają, więc nikt nie zagląda pod maskę. Tymczasem takie witryny bywają latami nieaktualizowane, a osoba, która je stworzyła, dawno zajęła się czymś innym. To właśnie zapomniane strony są najłatwiejszym celem, bo nikt nie zauważy, że coś się na nich zmieniło.
Dodatkowe ryzyko dotyczy stron działających na starszych wersjach PHP. Poprawki wydano wyłącznie dla wspieranych gałęzi, czyli PHP 8.2, 8.3, 8.4 i 8.5. Witryny na PHP 7.4, 8.1 lub jeszcze starszych wersjach nie otrzymają już żadnej łatki i pozostaną podatne, dopóki ktoś nie przeniesie ich na nowszą wersję. Warto też pamiętać, że PHP 8.2 przestanie otrzymywać poprawki bezpieczeństwa z końcem 2026 roku, więc i ta wersja wymaga zaplanowania aktualizacji.
Co może zrobić włamywacz na stronie parafialnej
Łatwo pomyśleć, że strona parafii nie jest dla nikogo atrakcyjnym celem, bo nie ma na niej pieniędzy ani tajemnic. To złudzenie, i to bardzo kosztowne. Jednym z najgroźniejszych scenariuszy jest podmiana numeru konta, na który wierni przekazują ofiary na remont kościoła, misje czy pomoc potrzebującym. Ludzie ufają stronie swojej parafii, więc nie sprawdzają numeru drugi raz. Taka zmiana może pozostać niezauważona przez wiele tygodni, a pieniądze trafią prosto do oszustów i najczęściej przepadną bezpowrotnie.
Przejęta strona to także doskonałe narzędzie do oszukiwania samych parafian. Włamywacz może rozesłać wiadomości wyglądające na oficjalne komunikaty proboszcza, na przykład z prośbą o pilną wpłatę na chorego kapłana albo na zbiórkę po pożarze. Formularze zamawiania intencji mszalnych czy zapisy na bierzmowanie, pielgrzymki i rekolekcje zawierają imiona, nazwiska, adresy i numery telefonów, często także dane dzieci i młodzieży. W rękach oszustów takie informacje pozwalają przygotować bardzo wiarygodne wiadomości i telefony, na które szczególnie łatwo dają się nabrać osoby starsze. Wyciek danych to również utrata zaufania, którą wspólnota odbudowuje latami.
Włamywacz może też po cichu umieścić na stronie złośliwy kod, który infekuje komputery i telefony odwiedzających, przekierowuje ich na fałszywe strony lub wyświetla niechciane reklamy. Często dodaje się również niewidoczne dla zwykłego czytelnika linki do kasyn, pornografii czy podejrzanych sklepów z lekami. Dla wyszukiwarki Google taka strona staje się niebezpieczna, więc zamiast ogłoszeń parafialnych wierni zobaczą czerwone ostrzeżenie, a strona spadnie w wynikach wyszukiwania. Bywa i tak, że ktoś podmienia treść strony na obraźliwe hasła, a zrzuty ekranu szybko krążą po mediach społecznościowych.
Kolejny problem to wykorzystanie serwera do własnych celów przestępców, na przykład do rozsyłania tysięcy spamowych e-maili lub do atakowania innych stron. Firma hostingowa reaguje wtedy zwykle blokadą konta i strona po prostu znika z internetu, często razem ze skrzynką pocztową parafii. Jeśli nikt nie robił kopii zapasowych, odbudowa oznacza utratę wieloletniego archiwum ogłoszeń, galerii zdjęć i historii wspólnoty. Do tego dochodzi koszt pracy specjalisty, który musi stronę wyczyścić, a nie zawsze da się to zrobić szybko i tanio.
Najgorsze w zaniedbanej stronie jest to, że włamanie zwykle wychodzi na jaw dopiero po tygodniach lub miesiącach. Każda nieaktualna wtyczka, stare konto administratora czy przestarzała wersja PHP to kolejne otwarte drzwi. Im dłużej nikt do nich nie zagląda, tym więcej szkód zdąży wyrządzić nieproszony gość.
Jak w kilka minut sprawdzić, czy strona parafii jest bezpieczna
Nie trzeba być informatykiem, żeby zweryfikować, czy strona ma już poprawkę. Jeśli parafia korzysta z WordPressa, wystarczy zalogować się do panelu administracyjnego, wejść w menu Narzędzia, wybrać pozycję Stan witryny, a następnie zakładkę Informacje i rozwinąć sekcję Serwer. Znajdziesz tam wiersz „Wersja PHP”. Strona jest zabezpieczona przed PHP2Shell, jeśli widnieje tam wersja co najmniej 8.5.12, 8.4.27, 8.3.36 lub 8.2.35, zależnie od gałęzi, z której korzysta serwer.
Jeżeli wersja jest niższa, najprostszym rozwiązaniem jest kontakt z firmą hostingową. Większość dużych dostawców aktualizuje PHP samodzielnie i błyskawicznie, ale nie zawsze dotyczy to wszystkich wersji udostępnianych klientom. Wielu hostingodawców pozwala też zmienić wersję PHP w panelu klienta jednym kliknięciem. Jeśli strona działa na PHP 7.x lub 8.1, przejście na nowszą wersję jest konieczne, choć warto je poprzedzić wykonaniem kopii zapasowej i sprawdzeniem, czy motyw i wtyczki są zgodne z nowym PHP. W przypadku stron utrzymywanych na własnym serwerze lub VPS-ie aktualizację musi wykonać jego administrator.
Ponieważ luka mogła umożliwiać wyciek danych z pamięci serwera, przy okazji warto zmienić hasła do panelu administracyjnego, bazy danych i powiązanych usług, takich jak skrzynka pocztowa czy system newslettera. To kilka minut pracy, które dają spokój na długo.
Bezpieczeństwo strony parafialnej to stała troska, a nie jednorazowa akcja
PHP2Shell nie jest ostatnią taką luką. Narzędzia sztucznej inteligencji coraz skuteczniej wyszukują błędy w starym, uchodzącym za sprawdzony kodzie, a te same możliwości mają do dyspozycji zarówno badacze, jak i przestępcy. Dlatego strona parafii powinna mieć konkretną osobę odpowiedzialną za jej bezpieczeństwo, która regularnie zagląda do panelu, instaluje aktualizacje WordPressa, motywu i wtyczek, dba o kopie zapasowe i usuwa konta osób, które przestały współpracować przy stronie.
Dobrą praktyką jest także stosowanie silnych, niepowtarzalnych haseł oraz włączenie logowania dwuetapowego dla wszystkich administratorów. Raz na kwartał warto zajrzeć na stronę oczami zwykłego odwiedzającego i sprawdzić, czy numer konta, dane kontaktowe i formularze wyglądają tak, jak powinny. Strona internetowa jest dziś często pierwszym miejscem spotkania z parafią, dlatego zasługuje na taką samą troskę jak drzwi kościoła, które przecież ktoś zamyka na noc.
Źródła:
