Badanie ekspozycji bezpieczeństwa 2026: PHP, HSTS i ekspozycja na CVE w 268,000 witryn w Japonii, krajach G7, Wietnamie i Malezji

• Wysłaliśmy żądania do 268,485 witryn w 10 regionach (Japonia, USA i domeny generyczne, Wielka Brytania, Niemcy, Francja, Włochy, Kanada, Wietnam, Malezja oraz globalna lista najpopularniejszych witryn), po jednym zwykłym wczytaniu strony na witrynę; odpowiedziało 121,903. Zapisywaliśmy wyłącznie to, co każdy serwer sam mówi o sobie w odpowiedzi.
• Japonia ma najniższy poziom wdrożenia wszystkich 8 zmierzonych zabezpieczeń (wymuszanie HTTPS, HSTS, CSP, X-Frame-Options, X-Content-Type-Options, Referrer-Policy, Permissions-Policy, WAF/CDN przed serwerem). CSP wynosi 7.8%, a HSTS 18.1%; 11.3% japońskich witryn nie wymusza HTTPS, wobec 1.5–4.1% w pozostałych regionach.
• Przestarzałe PHP jest powszechne wszędzie. Wśród witryn ujawniających wersję PHP odsetek tych na wersji, która nie dostaje już poprawek bezpieczeństwa, wynosi od 29.8% (Niemcy) do 64.2% (Wietnam). Japonia ma 52.3%, a 24.0% jej witryn ujawniających PHP wciąż pokazuje PHP 5.x, najwięcej ze wszystkich regionów.
• W większości regionów około sześciu na dziesięć witryn ujawniających PHP wciąż pokazuje wersję starszą niż wydania z poprawkami krytycznych podatności PHP z 2026 roku (CVSS 9.8). Wyjątkiem są Niemcy (34.3%). Japonia ma 59.5%, a wśród najwyżej notowanych japońskich witryn 64.1%.
• W klasach podatności, które mogą prowadzić do zdalnego wykonania kodu (RCE) lub exploitów opartych na uszkodzeniu pamięci, ekspozycja Japonii na CVE klasy RCE jest mniej więcej dwukrotnie wyższa niż w Wielkiej Brytanii, USA i Niemczech (3.5% wobec 1.5%, 1.7%, 1.8%). W przypadku CVE związanych z uszkodzeniem pamięci Japonia (8.1%) wyraźnie przewyższa Wielką Brytanię (3.1%), ale jest na poziomie Niemiec (7.6%) i Francji (8.2%); Włochy (10.1%) i Wietnam (16.2%) wypadają gorzej.

Ten artykuł jest również opublikowany po angielsku na sitescouter.net oraz po japońsku na sitescouter.net. To polskie wydanie w serwisie Site Scouter, przetłumaczone z wersji angielskiej.

Zakres i metoda

Skład próby. Regiony poza Japonią pobrano z listy najpopularniejszych witryn Tranco według krajowej domeny najwyższego poziomu (Wielka Brytania: .uk/.co.uk; Niemcy: .de; Francja: .fr; Włochy: .it; Kanada: .ca; Wietnam: .vn; Malezja: .my). „USA i domeny generyczne” to .us/.com/.net/.org z wyłączeniem ccTLD innych krajów, jest to więc przybliżenie anglojęzycznego internetu, a nie lista witryn hostowanych w USA. „Globalna lista najpopularniejszych witryn” to czołówka listy Tranco. Próbę japońską pobrano z trzech źródeł: Tranco (.jp), Majestic Million (.jp) oraz 130,070 domen z historii wyszukiwań samego SiteScouter, czyli domen wpisywanych przez użytkowników w japońskim narzędziu SEO, wśród których jest wiele wygasłych lub zaparkowanych (odpowiedziało tylko 11.7%, wobec 66.3% dla Tranco i 72.5% dla Majestic). Poniższe porównania między regionami wykorzystują pełne próby; tam, gdzie japońskie źródła istotnie się różnią, pokazujemy je osobno.

Co oznacza tu „ekspozycja”

„Ekspozycja” oznacza w tym raporcie, że ciąg wersji ujawniony przez serwer mieści się w zakresie podatnych wersji publicznego CVE. Dystrybucje Linuksa często przenoszą poprawki wstecz (backport) bez zmiany ciągu wersji, a WAF lub CDN może blokować ścieżkę ataku, więc oznaczona witryna może już być bezpieczna. Podane odsetki to górne granice. Nie testowaliśmy, czy którąkolwiek witrynę da się zaatakować. Działa to też w drugą stronę: witryny ukrywające wersję (74.3% japońskich witryn, które odpowiedziały) są dla tej metody niewidoczne, a ukrywanie wersji to dobra praktyka, ale nie oznacza, że oprogramowanie jest aktualne.

Zabezpieczenia: Japonia ostatnia we wszystkich ośmiu

(% witryn, które odpowiedziały.)

Największa różnica dotyczy HTTPS: 11.3% japońskich witryn (4,068) nie wymusza HTTPS, wobec 1.5–4.1% w pozostałych regionach. Strona, która wciąż wczytuje się przez zwykły HTTP, może zostać zmieniona w trakcie przesyłania, a dane logowania mogą zostać przechwycone.

Dla rzetelnej interpretacji ważne są dwa zastrzeżenia:

• Wysokie wyniki Wielkiej Brytanii w nagłówkach zależą od Cloudflare. 78.2% brytyjskich witryn działa za WAF/CDN, a Cloudflare domyślnie dodaje X-Frame-Options, X-Content-Type-Options i Referrer-Policy. Te liczby odzwierciedlają ustawienie domyślne dostawcy w takim samym stopniu jak decyzje właścicieli witryn. Japonia ma najniższy udział WAF/CDN (20.0%).
• Różnica nie jest efektem „długiego ogona” w japońskiej próbie. Same najwyżej notowane japońskie witryny (Tranco) mają HSTS na poziomie 27.5% i CSP 10.9%. To więcej niż Wielka Brytania w HSTS (22.9%), ale mniej niż każdy inny region w HSTS (30.7–51.9%) i mniej niż wszystkie regiony w CSP (19.8–35.7%).

Nigdzie nie zaobserwowano TLS 1.0 ani 1.1. Odsetek witryn, które kończą się na TLS 1.2 (bez TLS 1.3), wynosi 13.6% w Japonii, 12.1% dla USA i domen generycznych, 4.2% w Wielkiej Brytanii i 20.3% w Wietnamie.

Prosty wskaźnik higieny (po jednym punkcie za wymuszanie HTTPS, HSTS, CSP, X-Frame-Options, X-Content-Type-Options, ukrytą wersję i ważny certyfikat) wynosi średnio 3.17 w Japonii wobec 4.81 w Wielkiej Brytanii, 4.42 w Niemczech i 4.34 dla USA i domen generycznych. 10.9% japońskich witryn uzyskuje 1 punkt lub mniej; w Wielkiej Brytanii jest to 1.3%.

Ujawnianie wersji

Podanie dokładnej wersji ułatwia wybór celu. Nasze stanowisko nie brzmi jednak „ukryj ją”, lecz „najpierw zaktualizuj, potem ukryj”. Ukrycie wersji niczego nie naprawia.

PHP: przestarzałe wersje są powszechne w każdym regionie

Status wsparcia na październik 2026: PHP 8.1 i starsze nie dostają już poprawek bezpieczeństwa (koniec wsparcia); 8.2 dostaje wyłącznie poprawki bezpieczeństwa do 31 grudnia 2026; 8.3 i nowsze mają pełne wsparcie.

(Udział PHP 5.x = witryny z PHP 5.x ÷ witryny ujawniające PHP, obliczony z pokazanych liczb.)

Japonia nie odstaje pod względem ogólnego odsetka przestarzałych wersji (Wietnam i lista globalna mają wyższy), ale odstaje pod względem długiego ogona bardzo starych wersji: 24.0% jej witryn ujawniających PHP pokazuje PHP 5.x, najwięcej ze wszystkich regionów. PHP 5.6, którego ostatnie wydanie (5.6.40) ukazało się w styczniu 2019, jest trzecią najczęstszą wersją pomocniczą w Japonii (453 witryny).

Krytyczne podatności PHP z 2026 roku: ile witryn wciąż pokazuje niezałataną wersję

W 2026 roku dla PHP opublikowano CVE-2026-109618 i CVE-2026-109619 (CVSS 9.8, CRITICAL). To błędy typu use-after-free wywoływane obsługą longjmp() przy wyczerpaniu pamięci, które mogą mieszać zawartość pamięci między żądaniami. Może to ujawnić dane lub sesję innego użytkownika i zostać wykorzystane do przejęcia. Wydania z poprawkami to 8.2.35, 8.3.36, 8.4.27 i 8.5.12.

Japonia według źródła próby: lista Tranco 64.1% (600 z 936), Majestic Million 56.3% (605 z 1,075), historia wyszukiwań 58.6% (638 z 1,088). Znana witryna to nie to samo co załatana witryna.

Niski wynik Niemiec wynika zarówno z młodszego zestawu wersji (500 z 913 niemieckich witryn ujawniających PHP działa na 8.3 lub nowszym), jak i z szybszego łatania. Spośród 1,842 oznaczonych japońskich witryn, które udało się przypisać do serii wersji (o 1 mniej niż w głównej liczbie ze względu na sposób interpretacji ciągów wersji przy ponownym dopasowaniu), 759 jest na 5.x lub starszej, a 549 na 7.4, więc większość wymagałaby przejścia na wspieraną serię, a nie tylko drobnej aktualizacji.

Dopasowanie publicznych CVE

„Klasa RCE” obejmuje CVE, których typy słabości pozwalają na zdalne wykonanie poleceń lub kodu (np. CWE-77/78/94/502/434), czyli rodzaj błędu stojący za instalacją web shelli. „Uszkodzenie pamięci” obejmuje CWE-119/125/787/416 i podobne. Najczęstsze CVE klasy RCE, CVE-2024-3566 (PHP, CVSS 9.8), dotyczy wyłącznie Windows, dlatego główna kolumna RCE je pomija; po jego uwzględnieniu Japonia ma 5.4%.

Mówiąc wprost: ekspozycja Japonii w klasie RCE (3.5%) jest mniej więcej dwukrotnie wyższa niż w Wielkiej Brytanii, USA i Niemczech, podobna do Francji (3.4%) i Kanady (3.5%) oraz niższa niż w Wietnamie (4.5%). W CVE związanych z uszkodzeniem pamięci Japonia (8.1%) ma około 2.6 raza więcej niż Wielka Brytania, ale mniej więcej tyle samo co Niemcy (7.6%) i Francja (8.2%), a mniej niż Włochy (10.1%) i Wietnam (16.2%). Japonia nie jest w tej tabeli najgorsza, ale w obu kategoriach wypada wyraźnie gorzej niż Wielka Brytania i USA.

Wśród serwerów WWW Apache httpd ma bardzo wysokie odsetki CVE we wszystkich regionach (Japonia 92.5%, USA 84.5%, Wielka Brytania 84.7%, Niemcy 77.6% witryn ujawniających wersję). Wynika to głównie z tego, że najnowsze wydanie poprawkowe (2.4.69) nie zostało jeszcze wdrożone po serii CVE związanych z uszkodzeniem pamięci, dotyczących wersji 2.4.68 i starszych, co jest innym problemem niż pozostawione na lata PHP 5.x. Przy ponownym badaniu ten wynik powinien szybko się zmienić. Rdzeń WordPress jest w znacznie lepszym stanie (Japonia: 22.1% witryn ujawniających wersję pasuje do CVE); w całym badaniu bieżące wydanie jest zdecydowanie najczęstszą wersją, a dopasowania koncentrują się na starszych wydaniach 6.x.

Spośród 1,622 japońskich witryn ujawniających PHP na wersji bez wsparcia wszystkie 1,622 mieszczą się w zakresie co najmniej jednego publicznego CVE PHP, w tym 1,568 w zakresie CVE klasy RCE. Wśród witryn na wspieranych seriach odsetki wynoszą 23.3% (8.2) i 13.7% (8.3+), i są to głównie witryny poniżej 8.3.36, które nie wdrożyły poprawek z 2026 roku. Ten sam wzorzec, 100% na wersjach bez wsparcia i znacznie mniej na wspieranych, występuje we wszystkich sześciu porównywanych regionach.

Japonia z bliska: według typu domeny

(Udział PHP bez wsparcia liczony względem witryn ujawniających PHP. Kategorie z liczbą witryn zbyt małą, by uniknąć identyfikacji pojedynczych witryn, pominięto.)

Witryny rządowe wypadają stosunkowo dobrze w nagłówkach (HSTS 42.6%), ale próba liczy tylko 68 witryn. Firmy stanowią największą grupę, a ich wyniki odpowiadają średniej krajowej. Organizacje i uczelnie wypadają gorzej i mają bardzo słabą ochronę WAF/CDN (6.5% dla or.jp).

Co powinni zrobić właściciele witryn

1. Zaktualizuj PHP i oprogramowanie serwera do wspieranej serii, co najmniej do 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12. Najpierw zrób kopię zapasową i sprawdź, czy CMS, motyw i wtyczki obsługują nową wersję.
2. Następnie ukryj ciągi wersji (expose_php = Off, ServerTokens Prod, server_tokens off).
3. Wymuś HTTPS i włącz HSTS. Zacznij od krótkiego max-age i stopniowo go zwiększaj.
4. Dodawaj stopniowo X-Content-Type-Options, X-Frame-Options, Referrer-Policy i CSP. CDN lub WAF przed serwerem często domyślnie dostarcza kilka z nich.
5. Sprawdź automatyczne odnawianie certyfikatu i atrybuty cookie (Secure, HttpOnly, SameSite).

Sprawdź własną witrynę

Sprawdzenie informacji o serwerze w SiteScouter korzysta z tej samej nieinwazyjnej metody co to badanie i pokazuje, co ogłasza Twój serwer: nagłówki Server i X-Powered-By, wersję TLS, certyfikat, nagłówki bezpieczeństwa, atrybuty cookie i obecność na listach DNSBL. Rejestracja nie jest potrzebna.

Uwagi metodologiczne i ograniczenia

Próba. Regiony poza Japonią pochodzą z listy Tranco według krajowej domeny najwyższego poziomu; Japonia łączy Tranco, Majestic Million i historię wyszukiwań SiteScouter. Jak czytać liczby. Każdy wskaźnik ekspozycji to górna granica oparta na ujawnionych ciągach wersji. Szczegóły w poniższym FAQ.

FAQ

Czy to atak?

Nie. Każda witryna otrzymała jedno zapytanie DNS, jeden handshake TLS i jedno żądanie HTTP GET, tak samo jak przy jednorazowym otwarciu w przeglądarce. Nie skanowaliśmy portów, nie sondowaliśmy podatności, nie próbowaliśmy się logować ani nie wysyłaliśmy ruchu z exploitami. Wykorzystano wyłącznie publiczne odpowiedzi HTTP i publiczne dane DNS.

Czy „ekspozycja” oznacza, że witryna jest podatna?

Nie. Oznacza, że ujawniony ciąg wersji mieści się w zakresie podatnych wersji publicznego CVE. Backporty w dystrybucjach, WAF i CDN mogą sprawić, że oznaczona witryna jest bezpieczna, więc każdy wskaźnik ekspozycji to górna granica. Nie testowaliśmy możliwości wykorzystania.

Czy podawane są nazwy konkretnych witryn?

Nie. W żadnym miejscu tego raportu nie publikujemy nazw domen ani nazw firm i nie udostępniamy danych na poziomie hostów.

Co z witrynami, które nie odpowiedziały?

Domeny, które się nie rozwiązały, nie odpowiedziały lub wskazywały na adresy prywatne, wyłączono z mianowników. Większość ze 120,000 japońskich domen bez odpowiedzi to najprawdopodobniej wygasłe domeny z próby z historii wyszukiwań.

Czy dane są niezmienione?

Wyniki są zapisywane wyłącznie przez dopisywanie i agregowane w trybie tylko do odczytu; żadnej wartości nie edytowano ani nie usunięto. Podczas agregacji stwierdziliśmy, że pierwszy przebieg dopasowania CVE porównywał CPE innych produktów, i ponownie dopasowaliśmy wszystkie zapisane ciągi wersji według poprawionej reguły. Liczby z pierwszego przebiegu nie są nigdzie w tym raporcie używane.

Jak zgłosić błąd lub poprosić o korektę?

Skontaktuj się z autorem, korzystając z poniższych danych.

Źródła

Ostatnio sprawdzono: 2026-10-24. Specyfikacje i zasady mogą się zmieniać; przed podjęciem działań sprawdź źródła pierwotne.

• PHP: Supported Versions (php.net)
• NVD - National Vulnerability Database (NIST)
• Tranco: A Research-Oriented Top Sites Ranking
• The Majestic Million