Ktoś włamał się na moją stronę przez lukę w PHP: co robić prawnie?

Włamanie na stronę to przestępstwo, a Ty jesteś w nim pokrzywdzonym. Jeśli jednak na serwerze były dane klientów, jesteś też administratorem danych z twardym terminem: 72 godziny na zgłoszenie naruszenia Prezesowi UODO.

Kolejność działań jest prosta: odetnij atakującego i zabezpiecz dowody, oceń, czy wyciekły dane osobowe, i sprawdź, czy obejmuje Cię ustawa o krajowym systemie cyberbezpieczeństwa. Na koniec złóż zawiadomienie o przestępstwie z wnioskiem o ściganie, bo bez wniosku samo włamanie nie będzie ścigane.

Najczęstszy błąd to sprzątanie przed dokumentowaniem. Najpierw kopia serwera i logów, potem czyszczenie. Punktem wyjścia są luki w PHP z października 2026 r., przez które instytucje w Europie wyłączały swoje serwisy, o czym pisał m.in. Onet.

Czy luka w PHP dotyczy Twojej strony?

Dotyczy, jeśli strona działa na PHP w wersji od 5.4 do 8.5.11 i nie została zaktualizowana. Zespół PHP ogłosił 20 października 2026 r. dwie krytyczne podatności, CVE-2026-109618 i CVE-2026-109619, nazywane PHP2Shell. Obie mają ocenę 9,2 w skali CVSS i pozwalają atakującemu uruchomić dowolny kod na serwerze bez logowania.

Poprawki wyszły 21 października w wersjach 8.5.12, 8.4.27, 8.3.36 i 8.2.35. Gałęzie 8.1 i starsze nie są już wspierane: dla 7.4–8.1 projekt PHP udostępnił tylko łatki do samodzielnej kompilacji, a część dystrybucji Linuksa przygotowała własne poprawki. Błąd tkwi w samym PHP, nie w CMS-ie, więc sama aktualizacja WordPressa czy sklepu luki nie usuwa.

Cloudflare widziało próby ataków jeszcze przed publikacją poprawki, a 21 października watchTowr zgłosił aktywne próby wykorzystania obu luk. Strony instytucji prewencyjnie wyłączano m.in. w Holandii i Finlandii, a w Polsce Centralny Ośrodek Informatyki czasowo wyłączył strony BIP działające w systemie SSDIP.

Ministerstwo Cyfryzacji podkreśla, że jedyną skuteczną ochroną jest instalacja poprawionej wersji PHP.

Pierwsze 72 godziny: co, gdzie i kiedy

Twarde terminy wyznaczają dwa reżimy: RODO daje 72 godziny na zgłoszenie do UODO, a ustawa o krajowym systemie cyberbezpieczeństwa (KSC), jeśli Cię obejmuje, 24 i 72 godziny na zgłoszenia do CSIRT.

Działanie	Gdzie	Termin	Co daje
Odcięcie strony lub aktualizacja PHP, kopia serwera i logów	hosting, informatyk	od razu	zatrzymujesz atak i zachowujesz dowody
Zgłoszenie naruszenia ochrony danych	Prezes UODO, formularz na biznes.gov.pl	do 72 h od stwierdzenia naruszenia	wypełniasz art. 33 RODO
Zawiadomienie klientów	e-mail, komunikat na stronie	bez zbędnej zwłoki, gdy ryzyko jest wysokie	klienci zmieniają hasła i uważają na phishing
Wczesne ostrzeżenie i zgłoszenie incydentu poważnego	właściwy CSIRT, system S46	24 h i 72 h od wykrycia, sprawozdanie do miesiąca od zgłoszenia	wypełniasz KSC (tylko podmioty kluczowe i ważne)
Zgłoszenie incydentu	CERT Polska, incydent.cert.pl	jak najszybciej	pomoc w analizie, ostrzeżenie innych
Zawiadomienie o przestępstwie z wnioskiem o ściganie	policja lub prokuratura	jak najszybciej, zanim znikną logi	rusza postępowanie karne
Zgłoszenie szkody	ubezpieczyciel	według warunków polisy	zachowujesz prawo do wypłaty

Terminy RODO i KSC liczą się niezależnie: pierwszy od stwierdzenia naruszenia, drugi od wykrycia incydentu.

Krok 1: zabezpiecz stronę i dowody, zanim zaczniesz sprzątać

Zatrzymaj atak, ale nie niszcz śladów. Każdy usunięty plik to dowód mniej dla policji i mniej wiedzy o tym, co wyciekło. Bez tej wiedzy nie ocenisz ryzyka na potrzeby zgłoszenia do UODO.

Jeśli nie możesz od razu zaktualizować PHP, wyłącz stronę albo odetnij ją od internetu. Takie zalecenie wydał m.in. CERT-EU.
Przed czyszczeniem zrób kopię serwera (snapshot) i zapisz logi: serwera WWW, PHP, panelu hostingu i zapory.
Poproś hosting e-mailem o zabezpieczenie logów z ostatnich tygodni. Dostawcy przechowują je tylko przez pewien czas.
Spisz oś czasu: publikacja poprawki, Twoja aktualizacja, pierwsze objawy ataku. Podawaj godziny i strefę czasową.
Zmień hasła i klucze: do bazy danych, panelu, kont administratorów, poczty i API. Luka pozwala też odczytać pamięć procesów PHP, w której mogą być hasła, tokeny i klucze.
Stronę odtwórz z czystej kopii, ale dopiero na załatanym PHP.

Jeśli stroną zarządza agencja albo hosting, wydaj te polecenia na piśmie i zachowaj korespondencję. Przyda się w sporze o to, kto i kiedy powinien był zareagować.

Nie atakuj sprawcy w odwecie. Wejście do cudzego systemu bez uprawnień to przestępstwo z art. 267 § 2 Kodeksu karnego, także gdy chcesz tylko odzyskać dane.

Krok 2: RODO – 72 godziny na zgłoszenie do UODO

Jeśli atakujący mógł dotrzeć do danych osobowych, masz naruszenie ochrony danych w rozumieniu art. 4 pkt 12 RODO. Przy luce, która daje kontrolę nad serwerem, zwykle trzeba założyć dostęp do bazy danych. Dane osobowe masz nie tylko w sklepie, ale też w formularzu kontaktowym, na liście newslettera i w kontach użytkowników.

Zgłoszenie składasz Prezesowi UODO bez zbędnej zwłoki, najpóźniej w 72 godziny od stwierdzenia naruszenia, a nie od samego ataku. Najprościej zrobić to przez formularz elektroniczny na biznes.gov.pl, do którego odsyła UODO. Spóźnione zgłoszenie musisz uzasadnić.

Nie czekaj na pełną wiedzę. Gdy nie znasz jeszcze wszystkich szczegółów, złóż zgłoszenie wstępne z tym, co wiesz, i uzupełnij je później (art. 33 ust. 4 RODO). W zgłoszeniu podaj:

charakter naruszenia, kategorie i przybliżoną liczbę osób oraz rekordów,
kontakt do inspektora ochrony danych lub innej osoby,
możliwe konsekwencje dla klientów,
środki, które podjąłeś lub planujesz.

Zgłoszenia nie musisz składać tylko wtedy, gdy jest mało prawdopodobne, by naruszenie skutkowało ryzykiem dla osób, których dane dotyczą. Przedstawiciele UODO podkreślają, że z obowiązku zwalnia dopiero brak ryzyka, a nie samo niskie ryzyko. Każde naruszenie, także niezgłoszone, opisz w wewnętrznym rejestrze (art. 33 ust. 5).

Przy wysokim ryzyku zawiadom też klientów, bez zbędnej zwłoki (art. 34). Chodzi np. o wyciek haseł, danych płatniczych, numerów PESEL czy danych o zdrowiu. Napisz prostym językiem, co się stało, co zrobiłeś i co klienci powinni zrobić: zmienić hasła, uważać na fałszywe wiadomości, a przy wycieku PESEL zastrzec numer.

Agencja albo hosting, które obsługują stronę, są zwykle podmiotem przetwarzającym i muszą Cię powiadomić bez zbędnej zwłoki (art. 33 ust. 2). Obowiązek zgłoszenia do UODO zostaje jednak po Twojej stronie.

Za naruszenie obowiązków zgłoszeniowych grozi kara do 10 mln euro albo 2% rocznego światowego obrotu. Przy jej wymiarze liczy się też to, czy UODO dowiedział się o naruszeniu od Ciebie, czy np. z mediów.

Krok 3: KSC – czy musisz zgłosić incydent do CSIRT?

Jeśli prowadzisz małą firmę, najpewniej nie, ale sprawdź to. Od 3 kwietnia 2026 r. obowiązuje nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa (Dz.U. 2026 poz. 252), która wdraża dyrektywę NIS2. Obejmuje podmioty kluczowe i ważne, czyli co do zasady średnie i duże firmy z wymienionych w niej sektorów.

Za co najmniej średnią uznaje się firmę z 50 lub więcej pracownikami albo z ponad 10 mln euro rocznego obrotu i sumy bilansowej. Sektory to m.in. energetyka, transport, bankowość, ochrona zdrowia, infrastruktura cyfrowa, usługi ICT, poczta, odpady oraz produkcja żywności i chemikaliów. Część podmiotów, np. niektórzy dostawcy usług cyfrowych, podlega ustawie bez względu na wielkość.

Podmiot kluczowy lub ważny zgłasza incydent poważny do właściwego CSIRT, docelowo przez system S46:

wczesne ostrzeżenie – do 24 godzin od wykrycia incydentu,
zgłoszenie – do 72 godzin od wykrycia,
sprawozdanie końcowe – do miesiąca od zgłoszenia.

Te terminy biegną niezależnie od RODO, więc przy wycieku danych prowadzisz dwa zgłoszenia naraz. Sektor finansowy i telekomunikacja mają jeszcze własne przepisy: rozporządzenie DORA i Prawo komunikacji elektronicznej.

Jeśli KSC Cię nie obejmuje, zgłoś incydent dobrowolnie do CERT Polska przez formularz na incydent.cert.pl. Ministerstwo Cyfryzacji prosi o to każdego administratora, który widzi ślady wykorzystania luk w PHP.

Krok 4: zawiadomienie o przestępstwie z wnioskiem o ściganie

Złóż zawiadomienie na policji lub w prokuraturze i napisz w nim wprost: wnoszę o ściganie sprawcy. Podstawowe przestępstwa hakerskie z art. 267 i 268a Kodeksu karnego są ścigane tylko na wniosek pokrzywdzonego. Pokrzywdzonym jest Twoja firma, także gdy jest spółką.

Co zrobił sprawca	Przepis	Kara	Ściganie
Wszedł do systemu bez uprawnień	art. 267 § 2 KK	grzywna, ograniczenie wolności albo do 2 lat pozbawienia wolności	na wniosek
Przełamał lub ominął zabezpieczenia i dotarł do danych	art. 267 § 1 KK	jak wyżej	na wniosek
Ujawnił zdobyte dane, np. opublikował bazę klientów	art. 267 § 4 KK	jak wyżej	na wniosek
Usunął, zmienił lub zaszyfrował dane, podmienił treść strony	art. 268a KK	do 3 lat; przy znacznej szkodzie majątkowej od 3 miesięcy do 5 lat	na wniosek
W istotnym stopniu zakłócił pracę systemu	art. 269a KK	od 3 miesięcy do 5 lat	z urzędu
Zmienił dane dla zysku, np. podmienił numer konta do płatności	art. 287 KK	od 3 miesięcy do 5 lat	z urzędu

Zawiadomienie złożysz ustnie do protokołu albo na piśmie. Poważniejszymi atakami zajmuje się Centralne Biuro Zwalczania Cyberprzestępczości. Tak było np. po ataku ransomware na Herbapol-Lublin, który zgłosił incydent do CBZC, CERT Polska i Prezesa UODO.

Do zawiadomienia dołącz:

opis zdarzenia z osią czasu,
kopie logów z adresami IP, najlepiej na nośniku,
zrzuty ekranu podmienionej strony lub wiadomości od sprawcy,
numery CVE luki i datę Twojej aktualizacji,
listę danych, które mogły wyciec, i szacunek strat.

Od złożenia wniosku postępowanie toczy się z urzędu. Wniosek cofniesz tylko za zgodą prokuratora, a później sądu, i drugi raz go nie złożysz. Jeśli w ciągu 6 tygodni nie dostaniesz informacji o wszczęciu albo odmowie wszczęcia postępowania, możesz złożyć zażalenie do prokuratora nadrzędnego (art. 306 § 3 KPK).

Sprawy hakerskie często kończą się umorzeniem z powodu niewykrycia sprawcy. Zawiadomienie i tak warto złożyć: postanowienie przyda się ubezpieczycielowi, w kontakcie z UODO i w sporze z klientami. Jeśli sprawca żąda okupu, opisz to w zawiadomieniu.

Krok 5: odszkodowanie – od sprawcy, dostawcy i z polisy

Koszty włamania możesz próbować odzyskać z trzech źródeł; każde wymaga dokumentów zebranych w krokach 1–4.

Od sprawcy. Odpowiada za szkodę wyrządzoną czynem niedozwolonym (art. 415 KC). Gdy sprawa trafi do sądu karnego, złóż wniosek o naprawienie szkody (art. 46 KK), najpóźniej do zakończenia pierwszego przesłuchania pokrzywdzonego na rozprawie głównej (art. 49a KPK). Roszczenie o naprawienie szkody z przestępstwa przedawnia się po 20 latach od jego popełnienia (art. 442¹ § 2 KC).

Od hostingu lub agencji. Sprawdź umowę. Jeśli dostawca zobowiązał się aktualizować PHP lub CMS i tego nie zrobił, odpowiada za niewykonanie lub nienależyte wykonanie umowy (art. 471 KC), w granicach umownych limitów odpowiedzialności. Wezwij go na piśmie do przekazania raportu z incydentu i logów. Gdy sam wybrałeś w panelu starą wersję PHP albo zrezygnowałeś z opieki technicznej, ten argument słabnie.

Z polisy. Ubezpieczenie cyber lub OC może pokryć koszty przywrócenia strony i roszczenia klientów. Zgłoś szkodę w terminie z warunków polisy i nie podejmuj decyzji o okupie bez ubezpieczyciela.

Czy sam możesz odpowiadać za niezałataną lukę?

Tak, jeśli na stronie są dane osobowe. Art. 32 RODO wymaga zabezpieczeń dopasowanych do ryzyka i stanu wiedzy technicznej oraz regularnego testowania ich skuteczności. Trudno będzie obronić serwer na niewspieranej wersji PHP albo poprawkę wdrożoną tygodnie po publikacji.

Trybunał Sprawiedliwości UE w wyroku z 14 grudnia 2023 r. (C-340/21) przesądził cztery kwestie:

sam fakt ataku hakerskiego nie dowodzi, że zabezpieczenia były nieodpowiednie, sąd musi ocenić je konkretnie,
to administrator musi udowodnić, że jego zabezpieczenia były odpowiednie,
gdy włamania dokonali cyberprzestępcy, administrator może zapłacić odszkodowanie, chyba że udowodni, że w żaden sposób nie ponosi winy,
sama obawa klienta przed nadużyciem jego danych może być szkodą niemajątkową.

Dlatego dokumentacja to Twoja obrona. Zachowaj dowód, kiedy dowiedziałeś się o luce, kiedy zaktualizowałeś PHP i co sprawdziłeś po aktualizacji. Odstęp między 21 października a Twoją aktualizacją może przesądzić o odpowiedzialności.

Za niewystarczające zabezpieczenia Prezes UODO może też nałożyć karę, niezależnie od roszczeń klientów.

FAQ: najczęstsze pytania po włamaniu na stronę

Strona stoi na hostingu współdzielonym. Kto odpowiada za aktualizację PHP? Zależy od umowy. Dostawca zwykle aktualizuje PHP na serwerach, ale wersję dla swojej strony często wybierasz sam w panelu. Jeśli to gałąź 8.1 lub starsza, przejdź na wspieraną wersję albo potwierdź na piśmie, że hosting ma własną poprawkę na oba numery CVE.

Zaktualizowałem PHP w dniu publikacji poprawki. Czy muszę coś zgłaszać? Najpierw sprawdź, czy nikt nie zdążył się włamać, bo próby ataków pojawiły się jeszcze przed poprawką. Przejrzyj logi oraz nieznane pliki, procesy, konta i połączenia wychodzące. Jeśli rzetelny przegląd nie wykaże śladów włamania, nie ma czego zgłaszać, ale jego wynik zapisz jako dowód należytej staranności.

Nie wiem, czy coś wyciekło. Zgłaszać do UODO? Jeśli nie możesz wykluczyć dostępu do danych, zgłoś. Złóż zgłoszenie wstępne w 72 godziny i uzupełnij je, gdy poznasz skalę. Spóźnione zgłoszenie bez uzasadnienia jest gorsze niż wstępne, które potem doprecyzujesz.

Ktoś napisał, że znalazł lukę na mojej stronie. To przestępca? Niekoniecznie. Art. 269c KK zwalnia z kary za wejście do systemu (art. 267 § 2) i zakłócenie jego pracy (art. 269a), jeśli ktoś działał wyłącznie po to, by zabezpieczyć system, niezwłocznie Cię powiadomił, nie wyrządził szkody i nie naruszył niczyjego interesu. Pobieranie lub ujawnianie danych albo żądanie pieniędzy za milczenie z tej ochrony nie korzysta.

Klient żąda zadośćuczynienia po wycieku. Co musi wykazać? Naruszenie RODO, szkodę i związek między nimi. Szkodą może być nawet uzasadniona obawa przed nadużyciem danych. Ty bronisz się, wykazując, że zabezpieczenia były odpowiednie i w żaden sposób nie ponosisz winy (art. 82 ust. 3 RODO).

Czy policja w ogóle szuka takich sprawców? Tak, ale wykrywalność jest niska: według „Rzeczpospolitej” przeważająca większość spraw hakerskich pozostaje niewykryta. Zawiadomienie i tak dokumentuje, że jesteś ofiarą przestępstwa, a nie stroną, która zaniedbała sprawę.

Podstawy prawne

Kodeks karny (art. 46, 267, 268a, 269a, 269c, 287); Kodeks postępowania karnego (art. 12 – wniosek o ściganie, art. 49a – wniosek o naprawienie szkody, art. 306 § 3 – zażalenie po 6 tygodniach); RODO (art. 4 pkt 12, art. 32–34, 82, 83); ustawa o krajowym systemie cyberbezpieczeństwa po nowelizacji z 23 stycznia 2026 r. (Dz.U. 2026 poz. 252, w mocy od 3 kwietnia 2026 r.); Kodeks cywilny (art. 415, 442¹, 471); wyrok TSUE z 14 grudnia 2023 r., C-340/21.

Artykuł ma charakter informacyjny i nie stanowi porady prawnej. Stan prawny: 23 października 2026 r. Ktoś włamał się na Twoją stronę i nie wiesz, co i komu zgłosić? Opisz sprawę na prostasprawa.pl i otrzymaj oferty od zweryfikowanych prawników zajmujących się ochroną danych i prawem nowych technologii.