PHP 8.1 bez poprawek bezpieczeństwa - PrestaShop 1.7 i 8

PHP 8.1 nie dostaje poprawek bezpieczeństwa od 1 stycznia 2026, a PrestaShop 8 oficjalnie nie obsługuje nowszego PHP. Sklep na PrestaShop 8 lub 1.7 działa więc na PHP, którego twórcy już nie łatają. Docelowe wyjście to PrestaShop 9 na PHP 8.4 lub 8.5, a do tego czasu ryzyko ogranicza hosting z łatanym PHP, WAF i ograniczony dostęp do panelu. Jako IThandy (Stanisław Sterkowski) prowadzę sklepy PrestaShop małych i średnich firm, w Warszawie i zdalnie, i tak samo planuję ich przejście na nowe wersje. Poniżej fakty na 4 listopada 2026, ryzyka, opcje i checklista.

Fakty: wsparcie PHP i PrestaShop w listopadzie 2026

Dziś każda gałąź PHP ma dwa lata aktywnego wsparcia i dwa lata samych poprawek bezpieczeństwa (gałęzie 7.x miały na poprawki tylko rok). Po tym terminie projekt PHP nie wydaje już żadnych poprawek. Stan według php.net:

Teraz zestaw to z wymaganiami PrestaShop. Tabele zgodności z dokumentacji PrestaShop pokazują, gdzie jest problem:

Wniosek: najwyższe PHP, na którym oficjalnie działa PrestaShop 8, to 8.1, a ono już nie jest łatane. W PrestaShop 1.7 jest gorzej, bo PHP 7.4 nie ma poprawek od listopada 2022, a sam sklep od czerwca 2025. PrestaShop przy wydaniu 8.2.8 wprost zachęca do planowania przejścia na linię 9.

Luki php2shell z października 2026

21 października 2026 projekt PHP wydał poprawki dwóch krytycznych luk (CVE-2026-109618 i CVE-2026-109619, ocena CVSS 9.2), nazwanych php2shell. Pozwalają zdalnie, bez logowania, wykonać własny kod na serwerze. Ważne fakty z komunikatu PrestaShop z tego samego dnia:

• Luki są w samym PHP, nie w PrestaShop ani w modułach. Zabezpieczenia na poziomie aplikacji, w PrestaShop ani w modułach, nie są w stanie tego ataku zablokować.
• Poprawione wersje to PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12. PHP 8.1 i starsze nie dostają już oficjalnych wydań; projekt PHP opublikował dla 7.4, 8.0 i 8.1 jedynie minimalne poprawki (backporty), a część dystrybucji i dostawców wydłużonego wsparcia wydała łatane pakiety.
• Dystrybucje Linuksa często łatają PHP bez zmiany numeru wersji, więc niższy numer nie musi oznaczać podatności. Pewność daje tylko pisemne potwierdzenie od hostingu.
• PrestaShop podkreśla, że aktualizacja sklepu do nowej wersji głównej nie jest poprawką awaryjną na te luki i nie należy jej robić w pośpiechu.
• Cloudflare włączył reguły WAF blokujące php2shell domyślnie od 21 października, 3:02 UTC.

To dobry przykład, dlaczego stare PHP jest problemem: przy następnej takiej luce sklep na PHP 8.1 lub 7.4 może nie dostać poprawki wcale albo dostać ją z opóźnieniem.

Ryzyka sklepu na niełatanym PHP

• Przejęcie serwera. Luka w PHP pozwalająca wykonać kod to dostęp do plików sklepu, bazy klientów i kluczy API bramek płatności.
• Wyciek danych klientów. Naruszenie ochrony danych osobowych, które może powodować ryzyko dla klientów, trzeba zgłosić do UODO w ciągu 72 godzin od jego stwierdzenia (art. 33 RODO). Więcej w checkliście RODO dla sklepu.
• Podmienione formularze płatności i skrypty kradnące dane kart lub przekierowujące płatności.
• Hosting wyłączy starą wersję PHP. Firmy hostingowe co jakiś czas usuwają nieobsługiwane wersje, a wtedy sklep na 1.7 przestaje działać z dnia na dzień.
• Brak poprawek PrestaShop w 1.7: nawet przy łatanym PHP luki w samym sklepie zostają otwarte.

Opcje: co możesz zrobić

1. Aktualizacja do PrestaShop 9 (rozwiązanie docelowe)

Tylko linia 9 obsługuje wspierane PHP. Z 1.7 droga wiedzie przez wersję 8 albo przez migrację danych na czystą instalację; szczegóły opisuję w poradniku Migracja PrestaShop 1.7 do 9 krok po kroku, a różnice między 8 i 9 w artykule Aktualizacja PrestaShop 8 do 9.

2. Hosting z wydłużonym wsparciem PHP

Niektóre hostingi oferują łatane kompilacje starszych wersji PHP. W panelach cPanel i Plesk działa to na przykład przez usługę TuxCare ELS, a dystrybucje Linuksa z długim wsparciem utrzymują swoje pakiety (PHP 8.1 jest w repozytorium głównym Ubuntu 22.04 LTS). Zapytaj hosting wprost i poproś o odpowiedź na piśmie: czy PHP mojego sklepu dostaje poprawki bezpieczeństwa, od kogo i do kiedy, oraz czy są w nim poprawki CVE-2026-109618 i CVE-2026-109619. To kupuje czas, ale nie zastąpi aktualizacji.

3. Izolacja i ograniczenie powierzchni ataku

• WAF przed sklepem. Na przykład Cloudflare z zarządzanymi regułami; PrestaShop przy php2shell zaleca, by w planach płatnych zestaw reguł działał w trybie blokowania, a serwer przyjmował ruch tylko od dostawcy WAF.
• Panel administracyjny dostępny tylko z zaufanych adresów IP, z unikalnymi kontami pracowników i silnymi hasłami.
• Odinstalowane nieużywane moduły, bo każdy to dodatkowy kod do zaatakowania.
• Osobne konto hostingowe dla sklepu, bez innych starych stron na tym samym serwerze.
• Kopie zapasowe poza serwerem i monitoring zmian w plikach. Pełną listę zabezpieczeń znajdziesz w checkliście bezpieczeństwa sklepu PrestaShop.

Plan na najbliższe miesiące

1. Teraz: sprawdź wersję PHP w panelu sklepu (Zaawansowane > Informacja) i zapytaj hosting o poprawki php2shell. Jeśli korzystasz z Cloudflare, sprawdź reguły WAF.
2. Przed Black Week: żadnych dużych aktualizacji po 20 listopada. Zabezpieczenia z punktu 1 i kopie zapasowe tak, migracja nie. Więcej w checkliście na Black Friday 2026.
3. Grudzień i początek 2027: spis modułów i motywu, wycena, migracja do PrestaShop 9 na kopii, przełączenie w spokojnym okresie.
4. Sklepy już na PrestaShop 9 z PHP 8.2: przejście na PHP 8.4 lub 8.5 przed 31 grudnia 2026, kiedy PHP 8.2 traci wsparcie.

Checklista dla właściciela sklepu

• Znam wersję PrestaShop i PHP mojego sklepu.
• Mam od hostingu pisemne potwierdzenie, że PHP jest łatane, i wiem, do kiedy.
• Poprawki php2shell są wgrane, a PHP zostało zrestartowane.
• Przed sklepem działa WAF, a serwer nie przyjmuje ruchu z pominięciem WAF.
• Panel administracyjny jest dostępny tylko z zaufanych adresów, każdy pracownik ma własne konto.
• Nieużywane moduły są odinstalowane, a nie tylko wyłączone.
• Mam kopię bazy i plików poza serwerem i sprawdziłem, że da się ją odtworzyć.
• Mam termin i wycenę przejścia na PrestaShop 9 z PHP 8.4 lub 8.5.

FAQ

Czy PHP 8.1 dostaje jeszcze poprawki bezpieczeństwa?

Nie od projektu PHP. Wsparcie PHP 8.1 skończyło się 31 grudnia 2025, ostatnie wydanie to 8.1.34. Poprawki do PHP 8.1 dostarczają już tylko dystrybucje Linuksa z długim wsparciem i płatne usługi wydłużonego wsparcia, z których korzysta część hostingów.

Czy PrestaShop 8 działa na PHP 8.2 lub 8.3?

Oficjalnie nie. Według dokumentacji PrestaShop wersje 8.0-8.2 obsługują PHP od 7.2.5 do 8.1, zalecane jest 8.1, a PHP 8.2 i nowsze są oznaczone jako nieobsługiwane. Uruchomienie sklepu na nowszym PHP to ryzyko błędów, z którym zostajesz sam.

Na jakim PHP działa PrestaShop 1.7?

PrestaShop 1.7.8 obsługuje PHP od 7.1 do 7.4 (zalecane 7.4), a starsze wydania 1.7 kończą na PHP 7.3 lub niżej. PHP 8 nie jest obsługiwane w żadnej wersji 1.7. PHP 7.4 nie dostaje poprawek od 28 listopada 2022, a PHP 7.3 od 6 grudnia 2021.

Czy PrestaShop 1.7 dostaje jeszcze poprawki?

Nie. PrestaShop zapowiedział, że utrzymanie gałęzi 1.7.8 kończy się z wydaniem PrestaShop 9.0.0, które ukazało się 10 czerwca 2025. Ostatnie wydanie 1.7.8.11 pochodzi z 2 stycznia 2024. Sklep na 1.7 nie ma więc ani łatanego PHP, ani łatanego PrestaShopa.

Czy mój sklep jest podatny na luki php2shell z października 2026?

Poprawki są w PHP 8.2.35, 8.3.36, 8.4.27 i 8.5.12. PHP 8.1 i starsze nie dostały nowych wydań, a projekt PHP opublikował dla 7.4, 8.0 i 8.1 jedynie minimalne poprawki (backporty). Dystrybucje Linuksa mogą łatać PHP bez zmiany numeru wersji, więc zapytaj hosting na piśmie, czy poprawki CVE-2026-109618 i CVE-2026-109619 są wgrane w PHP Twojego sklepu i czy PHP zostało zrestartowane.

Czy muszę natychmiast aktualizować sklep do PrestaShop 9?

Nie w panice. Sam PrestaShop pisze, że aktualizacja do nowej wersji głównej nie jest poprawką awaryjną na luki w PHP. Najpierw zabezpiecz PHP przez hosting, a migrację do PrestaShop 9 zaplanuj spokojnie, na kopii sklepu i poza okresem dużych akcji, na przykład po Cyber Monday.

Na jaką wersję PHP przejść po aktualizacji do PrestaShop 9?

PrestaShop 9.1 i 9.2 obsługują PHP 8.1-8.5. Wybieram PHP 8.4 (wsparcie do 31 grudnia 2028) albo 8.5 (do 31 grudnia 2029), jeśli moduły sklepu to obsługują. PHP 8.2 traci wsparcie 31 grudnia 2026, więc nie ma sensu na nim kończyć.

Ile kosztuje wyjście ze starego PHP i PrestaShop?

Audyt techniczny sklepu z oceną ryzyka zaczyna się od 599 zł netto, a migracja i aktualizacja PrestaShop od 2 159 zł netto. Zakres zależy od modułów, motywu i zmian w kodzie. Drobne prace, jak konfiguracja WAF czy rozmowa z hostingiem, rozliczam stawką 120 zł netto za godzinę.

Chcesz najpierw wiedzieć, na czym stoisz? Zamów audyt techniczny PrestaShop. Samo przejście na nową wersję robię w ramach migracji i aktualizacji PrestaShop, a stały nadzór nad aktualizacjami w opiece i utrzymaniu sklepu. Przy okazji migracji warto też zmierzyć szybkość: optymalizacja i przyspieszenie sklepu.

Powiązane artykuły z bazy wiedzy

• Migracja PrestaShop 1.7 do 9 krok po kroku (2026)
• PrestaShop 9.2 i One Page Checkout: czy warto aktualizować
• Bezpieczeństwo sklepu PrestaShop - checklista ochrony
• Błąd 500 PrestaShop i biała strona - jak szybko naprawić

Stanisław Sterkowski (IThandy)

Administrator IT i wykonawca e-commerce. Warszawa i zdalnie. Opublikowano 4.11.2026.