Aktualizacja strony: kto odpowiada, hosting czy wykonawca?

W październiku 2026 r. wyszły pilne poprawki dla PHP i Node.js, czyli programów, na których działa duża część stron firmowych i sklepów. Takie dni zawsze rodzą to samo pytanie: kto miał to zaktualizować? Hosting, firma, która zrobiła stronę, czy może Ty?

Odpowiedź zależy od tego, gdzie działa strona i co jest w umowie. W tej poradzie rozkładam stronę na warstwy, pokazuję, kto zwykle odpowiada za każdą z nich na hostingu, na VPS i na platformie w abonamencie, i daję gotowe pytania do hostingu i wykonawcy. Stan wiedzy: 30 października 2026 r. Nie jestem prawnikiem, więc fragmenty o umowach i RODO to nie porada prawna.

Październik 2026: PHP2Shell i Node2Shell

21 października 2026 r. twórcy PHP wydali wersje 8.2.35, 8.3.36, 8.4.27 i 8.5.12. Łatają one dwie krytyczne luki nazwane PHP2Shell, które mogą pozwolić na zdalne wykonanie kodu na serwerze bez logowania. Tego samego dnia projekt Node.js wydał wersje 22.23.4, 24.22.1 i 26.12.1 z poprawką luki Node2Shell w dekoderze Brotli.

Dla PHP 8.1 i starszych twórcy PHP nie wydali nowych wersji. Udostępnili tylko poprawki w kodzie źródłowym dla 7.4, 8.0 i 8.1, z których korzystają osoby samodzielnie kompilujące PHP. Linie Node.js po końcu wsparcia (np. 20.x) poprawki nie dostaną. Niektórzy dostawcy hostingu deklarują, że łatają starsze wersje PHP we własnym zakresie, więc o swoją wersję trzeba zapytać hosting. Szczegóły i sposób sprawdzenia strony opisuję w poradach o luce PHP2Shell w PHP i o luce Node2Shell w Node.js. Później mogą wyjść nowsze wydania, które też zawierają te poprawki, więc przed decyzją sprawdź aktualne wersje na php.net i w komunikacie Node.js.

Ta historia dobrze pokazuje podział obowiązków. Poprawkę PHP na hostingu współdzielonym instaluje hosting. Ale jeśli strona działa na PHP 7.4, bo nikt jej nie przeniósł na nowszą wersję, nowego wydania od twórców PHP nie ma: o łatkę trzeba pytać hosting, a przeniesienie strony to już zadanie właściciela albo wykonawcy.

Z czego składa się strona: 4 warstwy do aktualizowania

Żeby ustalić, kto co aktualizuje, rozbij stronę na warstwy:

1. System i serwer: system operacyjny, serwer WWW, baza danych.
2. Środowisko uruchomieniowe: PHP albo Node.js w konkretnej wersji, np. 8.3 albo 24.x.
3. Aplikacja: WordPress, PrestaShop, WooCommerce, wtyczki, motyw albo własny kod strony z bibliotekami (np. Next.js).
4. Konta i dostępy: hasła, weryfikacja dwuetapowa, lista osób z kontem administratora.

Każda warstwa może mieć innego „właściciela”. Poniżej typowy podział:

To podział typowy, a nie gwarantowany. Wiążący jest regulamin Twojego hostingu i umowa z wykonawcą.

Hosting współdzielony: serwer łata hosting, wersję wybierasz Ty

Na zwykłym hostingu (pakiet z panelem, w którym trzymasz stronę i pocztę) serwer należy do dostawcy. To on aktualizuje system i instaluje nowe wydania PHP. OVHcloud w dokumentacji hostingu pisze, że instaluje na serwerach najnowsze wersje PHP, a klient ma dbać o to, żeby jego strona była aktualna i zgodna z nowymi wersjami (dokumentacja OVHcloud).

Wersję PHP, czyli to, czy strona działa na 8.2, 8.3 czy 8.4, zwykle wybierasz samodzielnie w panelu. Stare wersje hostingi wycofują albo przenoszą do płatnych dodatków. Dwa przykłady według stanu na 30 października 2026 r.:

• nazwa.pl: bez dopłat dostępne są wersje od 8.2 w górę, a starsze (od 5.3 do 8.1) tylko w płatnej usłudze dodatkowej. Zmiana wersji obejmuje cały serwer, czyli wszystkie strony na nim, a nazwa.pl zastrzega, że powrót do poprzedniej wersji nie gwarantuje poprawnego działania stron (pomoc nazwa.pl).
• AZ.pl: według regulaminu usługi wsparcia starszych wersji PHP (obowiązuje od 2.01.2026 r.) samo utrzymywanie niewspieranej wersji oznacza zamówienie płatnej usługi. AZ.pl nie odpowiada za skutki luk w takich wersjach, a gdy stara wersja zagraża jego infrastrukturze, może wymusić zmianę na aktualną, jeśli wcześniejsze wezwanie nie poskutkuje.

Wniosek: hosting dba o maszynę, ale nie przeniesie za Ciebie strony na nowszą wersję PHP i nie zaktualizuje WordPressa ani wtyczek. Jeśli zostaniesz na starej wersji, zapłacisz za dodatek, a ryzyko zostanie po Twojej stronie. Jak bezpiecznie zmienić wersję, pokazuję w poradzie o końcu wsparcia PHP 8.2.

VPS: cały serwer jest Twój, razem z łatkami

VPS (serwer wirtualny) daje pełną kontrolę, ale też pełną odpowiedzialność. OVHcloud pisze wprost, że w przeciwieństwie do hostingu zarządzanego konserwacja serwera, kopie zapasowe i ochrona przed atakami należą do klienta (wprowadzenie do VPS). Dostawca dba o sprzęt i sieć, a system, PHP, Node.js i wszystko, co na nich działa, aktualizuje właściciel albo osoba, której to zlecił.

Tu łatwo o lukę w obowiązkach. Wykonawca stawia stronę na VPS, oddaje projekt, a umowa nic nie mówi o dalszych aktualizacjach. Przy Node2Shell taka strona czekałaby na nową wersję Node.js, dopóki ktoś sam by jej nie zainstalował. Jeśli masz VPS i nie wiesz, kto go aktualizuje, potraktuj to jako pilne pytanie do wykonawcy.

Platformy w abonamencie: Shoper, Wix i podobne

Na platformie w abonamencie nie masz dostępu do serwera ani kodu, więc aktualizacje robi dostawca. Shoper w swoich materiałach pisze, że sklepy w abonamencie dostają nowe wersje oprogramowania na bieżąco. Wix opisuje własny zespół bezpieczeństwa, który monitoruje platformę i reaguje na zagrożenia.

Po Twojej stronie zostają konta. Włącz weryfikację dwuetapową, usuń konta byłych pracowników i wykonawców i nie dziel się jednym hasłem. Przejrzyj też aplikacje innych firm podłączone do sklepu: za ich aktualizacje odpowiada ich autor, ale decyzja, czy z nich korzystać, należy do Ciebie.

Strona na zamówienie: decyduje umowa

Gdy stronę zrobił dla Ciebie wykonawca, hosting nadal łata serwer (chyba że to VPS), ale aplikacja jest „niczyja”, dopóki umowa nie mówi inaczej. Samo wykonanie strony nie obejmuje jej późniejszych aktualizacji. To osobna usługa, zwykle nazywana opieką techniczną.

Nie licz też na to, że WordPress zaktualizuje się sam. Według dokumentacji WordPressa domyślnie instalują się automatycznie drobne wydania rdzenia (z poprawkami bezpieczeństwa) i tłumaczenia, a duże wydania tylko na stronach zainstalowanych od wersji 5.6. Wtyczki i motywy aktualizują się same tylko wtedy, gdy ktoś to włączy, albo w wyjątkowych sytuacjach, o których decyduje zespół bezpieczeństwa WordPressa.

Co wpisać w umowę o wykonanie albo opiekę (więcej o samej umowie piszę w poradzie o umowie na wykonanie strony internetowej):

• Zakres aktualizacji z nazwy: CMS, wtyczki, motyw, biblioteki w kodzie, wersja PHP lub Node.js, a przy VPS także system.
• Rytm i tryb pilny: zwykłe aktualizacje na przykład raz w miesiącu, a przy krytycznej luce osobny czas reakcji podany w godzinach.
• Kopia przed i test po: kopia zapasowa przed każdą aktualizacją i sprawdzenie formularza, koszyka i płatności po niej.
• Koniec wsparcia wersji: kto pilnuje dat (PHP 8.2 traci wsparcie 31.12.2026 r.), kto planuje przejście i jak jest ono wyceniane.
• Co, gdy aktualizacja coś zepsuje: kto naprawia, w jakim czasie i czy w ramach opłaty.
• Raport: lista zainstalowanych aktualizacji, na przykład co miesiąc.
• Dostępy: konto administratora i konto w hostingu na Twoją firmę, a wykonawca jako dodatkowy użytkownik. Jeśli dziś dostępy ma tylko wykonawca, zobacz, jak odzyskać dostęp do strony od agencji.
• Dane osobowe: jeśli wykonawca ma dostęp do danych klientów, potrzebna jest umowa powierzenia (art. 28 RODO).

Pamiętaj, że przekazanie aktualizacji komuś innemu nie przenosi odpowiedzialności za dane klientów. Jako administrator danych Twoja firma musi zapewnić odpowiednie zabezpieczenia (art. 32 RODO), a wykonawca i hosting pomagają Ci w tym na podstawie umów. Regulamin AZ.pl mówi to samo wprost: klient jako administrator danych odpowiada za skutki luk wynikających z niewspieranej wersji PHP.

Jak sprawdzić, kto aktualizuje Twoją stronę

Nie potrzebujesz do tego programisty. Wystarczy kwadrans.

1. Znajdź faktury. Za co płacisz: pakiet hostingu, VPS (serwer wirtualny), abonament platformy, opiekę? Każda faktura to jedna warstwa i jeden adresat pytań.
2. Zaloguj się do panelu hostingu. Jeśli widzisz wybór wersji PHP, masz hosting współdzielony: zapisz numer wersji. Jeśli dostawca pokazuje serwer z systemem (np. Ubuntu albo Debian) i dostęp administratora, masz VPS.
3. Sprawdź, na czyj e-mail przychodzą komunikaty od hostingu. Ostrzeżenia o wycofaniu wersji trafiają tam, a nie do wykonawcy, który dawno zakończył projekt.
4. Otwórz umowę z wykonawcą i poszukaj słów „aktualizacje”, „opieka”, „utrzymanie”. Jeśli ich nie ma, aktualizacje nie są niczyim obowiązkiem.
5. Wyślij dwa pytania, gotowe poniżej.

Do hostingu:

Dzień dobry, mam stronę [domena] w pakiecie [nazwa pakietu]. Proszę o informację: 1) czy poprawki PHP z 21.10.2026 r. (PHP2Shell) są wdrożone dla wersji PHP ustawionej na moim koncie, 2) jaka to wersja i do kiedy będzie dostępna bez dopłat, 3) z jakim wyprzedzeniem i na jaki adres informujecie o wycofaniu wersji, 4) czy robicie kopie zapasowe, jak często i jak długo je przechowujecie.

Do wykonawcy strony:

Dzień dobry, proszę o potwierdzenie, kto odpowiada za aktualizacje strony [domena]: CMS, wtyczek, motywu, bibliotek w kodzie i wersji PHP lub Node.js. Czy obejmuje to nasza umowa? Jeśli nie, proszę o ofertę opieki z czasem reakcji na krytyczne luki i miesięczną listą aktualizacji.

Co zrobić dziś

• Zapisz w jednym miejscu, gdzie działa strona, kto ma dostępy i na czyj e-mail przychodzą komunikaty.
• Sprawdź wersję PHP albo Node.js. Jeśli straciła wsparcie, zaplanuj przejście jeszcze w tym roku.
• Wyślij pytania do hostingu i wykonawcy, nawet jeśli wszystko działa.
• Jeśli nikt nie odpowiada za aktualizacje, przypisz je: sobie, wykonawcy albo firmie od opieki technicznej. I zapisz to w umowie.

Podsumowanie

Na hostingu współdzielonym serwer i poprawki PHP są po stronie hostingu, ale wersja PHP, CMS i wtyczki należą do Ciebie albo do wykonawcy. Na VPS odpowiadasz za cały serwer, a na platformie w abonamencie za konta i dodatki. Wszystko, czego nie ma w umowie, w praktyce nie jest niczyim obowiązkiem.

Jeśli wolisz oddać to w jedne ręce, opieka techniczna w pakiecie Czuwanie kosztuje u mnie od 149 zł netto miesięcznie: monitoring, kopia poza serwerem co tydzień, aktualizacje raz w miesiącu, a pilne w 2 dni. Standard (od 349 zł netto miesięcznie) daje codzienne kopie, aktualizacje 2 razy w miesiącu i reakcję w 1 dzień roboczy, a Pro (od 749 zł) reakcję w 4 godziny, także przy awarii w weekend. Mogę też zapewnić domenę i hosting od 390 zł netto rocznie. Masz pytanie o swoją stronę? Napisz do mnie, odpowiadam w 24 godziny.