Jak sprawdzić wersję PHP i na czym działa Twoja strona

Gdy pojawia się wiadomość o luce w PHP, Node.js albo popularnej wtyczce, pierwsze pytanie brzmi: czy to dotyczy mojej strony? Odpowiedź zależy od kilku numerów wersji, które rzadko są gdzieś zapisane. Bez nich nie ocenisz ryzyka, a rozmowa z hostingiem albo wykonawcą zaczyna się od wymiany maili z pytaniami.

W tej poradzie pokazuję, jak sprawdzić wersję PHP, Node.js, CMS i wtyczek, w większości bez programisty, i zapisać wszystko w jednej krótkiej metryczce. Stan wiedzy: 6 listopada 2026 r. Daty wsparcia i wersje z poprawkami mogą się zmienić, dlatego przed decyzją sprawdź je na stronie producenta.

Cztery rzeczy, które musisz wiedzieć o stronie

Każda strona to kilka warstw oprogramowania. Każda ma własny numer wersji i własne poprawki bezpieczeństwa, a luka zwykle dotyczy tylko jednej z nich.

1. Serwer WWW, czyli program, który wysyła stronę do przeglądarki: najczęściej nginx, Apache albo LiteSpeed.
2. Język, w którym działa strona: PHP (WordPress, WooCommerce, PrestaShop, Joomla) albo Node.js (Next.js, Nuxt, Express).
3. CMS albo framework: WordPress, PrestaShop, Next.js i podobne.
4. Dodatki: wtyczki, motyw, moduły sklepu i biblioteki.

Na hostingu współdzielonym serwerem WWW zajmuje się zwykle hosting, wersję PHP często wybierasz samodzielnie w panelu, a CMS i wtyczki to sprawa właściciela strony albo wykonawcy. Podział obowiązków opisuję w poradzie o tym, kto odpowiada za aktualizację strony.

Sposób 1: panel hostingu i panel strony

To najpewniejsza metoda, bo widzisz dane od środka, a nie domysły.

Panel hostingu

Zaloguj się do panelu hostingu i szukaj pozycji w rodzaju „Wersja PHP”, „Konfiguracja PHP” albo „PHP i Node.js”. W panelach cPanel służy do tego narzędzie MultiPHP Manager, które pokazuje wersję PHP przy każdej domenie. Dokładne ścieżki dla OVHcloud, home.pl i nazwa.pl opisuję w poradzie o końcu wsparcia PHP 8.2.

Panel często pokazuje tylko gałąź, na przykład 8.3. Przy lukach liczy się pełny numer wydania, na przykład 8.3.x, bo poprawka trafia do konkretnego wydania. Pełny numer zobaczysz w panelu CMS albo dostaniesz od hostingu.

Strona na Node.js działa zwykle na serwerze VPS albo na platformie w rodzaju Vercel czy Netlify. Wersję Node.js widać wtedy w ustawieniach projektu albo w jego plikach, więc najprościej zapytać wykonawcę (gotowa wiadomość jest niżej).

WordPress i WooCommerce

• Kokpit → Aktualizacje pokazuje wersję WordPressa oraz wtyczki i motywy, które czekają na aktualizację.
• Narzędzia → Stan witryny → Informacja to najwygodniejsze miejsce. W sekcji „WordPress” jest wersja systemu, w sekcji „Serwer” pełna wersja PHP i oprogramowanie serwera, a w sekcjach „Wtyczki włączone” i „Wtyczki wyłączone” każda wtyczka z numerem wersji.
• Wtyczki → Zainstalowane wtyczki pokazuje wersje i to, czy działają automatyczne aktualizacje.

Przycisk „Skopiuj informacje o witrynie do schowka” na tej samej stronie daje komplet danych do wklejenia w mail. Wysyłaj go tylko zaufanej osobie, bo zawiera szczegóły techniczne serwera.

Jeśli w kokpicie widzisz ramkę „Zalecana aktualizacja PHP”, WordPress sam podpowiada, że PHP na serwerze jest za stare. Według wordpress.org zalecane jest dziś PHP 8.3 lub nowsze.

PrestaShop

W panelu PrestaShopa wejdź w Zaawansowane → Informacja (w menu w grupie „Konfiguruj”). Zobaczysz tam wersję PrestaShopa, dane serwera, wersję PHP i bazy danych. Wersje modułów sprawdzisz w Moduły → Menedżer modułów.

Sposób 2: co strona zdradza na zewnątrz

Ta metoda działa bez logowania, ale widzisz tylko to, co strona sama pokazuje. Jeśli dobrze ukrywa wersje, niewiele się dowiesz, i to akurat dobra wiadomość.

Nagłówki serwera

Każda odpowiedź serwera ma nagłówki, czyli krótką metryczkę niewidoczną na stronie. O oprogramowaniu mówią dwa z nich:

• Server: nginx i Apache w ustawieniach domyślnych podają tu nazwę i numer wersji, na przykład nginx/1.24.0.
• X-Powered-By: PHP w ustawieniach domyślnych wpisuje tu swoją wersję, na przykład PHP/8.3.x. Express wpisuje Express, a Next.js Next.js, w obu przypadkach bez numeru.

Jak je obejrzeć w Chrome: naciśnij F12, otwórz zakładkę Network (w polskiej wersji „Sieć”), odśwież stronę, kliknij pierwszą pozycję na liście i znajdź nagłówki odpowiedzi. Część hostingów ukrywa numery wersji, więc pusty wynik niczego nie przesądza.

Kod źródłowy strony

Naciśnij Ctrl+U, potem Ctrl+F i wpisz generator. WordPress domyślnie wstawia do kodu znacznik z numerem wersji, na przykład:

<meta name="generator" content="WordPress 7.1.4">

Adresy plików zdradzają resztę: /wp-content/plugins/nazwa-wtyczki/ pokazuje nazwy wtyczek, /_next/static/ oznacza Next.js, a /_nuxt/ Nuxt. Wtyczki bezpieczeństwa często usuwają znacznik generator, więc jego brak niczego nie dowodzi.

Rozszerzenie przeglądarki

Najszybciej rozpoznasz technologie rozszerzeniem Wappalyzer albo BuiltWith (oba są dostępne dla Chrome i Firefoksa). Po kliknięciu ikony widzisz CMS, framework, serwer i biblioteki. To rozpoznanie po śladach: wersję pokażą tylko wtedy, gdy strona ją zdradza, i czasem się mylą.

To samo widzą automaty, które szukają w sieci stron ze starymi wersjami, dlatego warto, żeby serwer nie podawał numerów. To nie jest pełna ochrona (dokumentacja Express wprost pisze, że doświadczony atakujący i tak rozpozna oprogramowanie), ale utrudnia proste skanowanie.

Zbadaj stronę

Moje darmowe narzędzie Zbadaj stronę robi część tej pracy za Ciebie. Ostrzega, gdy nagłówek Server albo X-Powered-By zawiera numer wersji, i podpowiada, żeby go ukryć. Rozpoznaje też platformę po znaczniku generator i adresach plików (między innymi WordPress, WooCommerce, PrestaShop, Shopify, Shoper i Next.js) i pokazuje ją przy wyniku. Nie odczytuje jednak wersji CMS ani listy wtyczek i nie loguje się do panelu, więc nie zastąpi sprawdzenia od środka.

Gdzie szukać wersji: tabela dla popularnych stron

Czy Twoja wersja PHP i Node.js jest jeszcze wspierana

Sam numer niewiele mówi. Ważne jest, czy producent nadal wydaje do tej wersji poprawki bezpieczeństwa. Stan na 6.11.2026 według tabeli wspieranych wersji na php.net i harmonogramu wydań Node.js:

Node.js 27 jest dopiero w fazie testowej (alfa). Według nodejs.org na serwerach produkcyjnych powinno się używać tylko wersji z długim wsparciem (LTS).

Druga sprawa to pełny numer. Poprawki dla PHP 8.3 trafiają do kolejnych wydań 8.3.x, a gdy producent ogłasza lukę, podaje wersje z poprawką. Twoja musi być taka sama albo nowsza. Na hostingu współdzielonym nowe wydania w ramach gałęzi instaluje zwykle hosting, ale warto to potwierdzić mailem.

Przy wtyczkach WordPressa nazwę i wersję możesz wpisać w bazie podatności Patchstack albo w bazie Wordfence. Zobaczysz znane luki i wersję, w której je poprawiono.

Co zrobić dziś: metryczka strony w 15 minut

Zapisz wyniki w jednym miejscu. Przy następnej wiadomości o luce sprawdzisz w minutę, czy Cię dotyczy. Wzór do skopiowania:

Strona: twojafirma.pl Hosting i pakiet: … Kto aktualizuje: CMS i wtyczki …, serwer i PHP … Serwer WWW: … (wersja, jeśli jest znana) PHP albo Node.js: … (pełny numer) CMS albo framework: … (wersja) Wtyczki, motyw, moduły: nazwa i wersja każdego Data sprawdzenia: …

Potem przejdź tę listę:

1. Porównaj wersje PHP i Node.js z tabelą powyżej. Wersja bez poprawek to pierwsze zadanie do zlecenia.
2. Zaktualizuj CMS i wtyczki, zaczynając od kopii zapasowej. Kolejność opisuję w poradzie o bezpiecznej aktualizacji WordPressa.
3. Usuń wtyczki, których nie używasz. WordPress sam ostrzega w Stanie witryny, że wyłączone wtyczki są łatwym celem.
4. Sprawdź wtyczki w bazie podatności, zwłaszcza dawno nieaktualizowane.
5. Przepuść stronę przez Zbadaj stronę i sprawdź, czy serwer nie zdradza wersji.
6. Wpisz do kalendarza przegląd metryczki raz w miesiącu.

Co zlecić hostingowi albo wykonawcy

Jeśli czegoś nie znajdziesz albo strona działa na Node.js, wyślij krótką wiadomość:

Dzień dobry, proszę o informację, na jakim oprogramowaniu działa strona twojafirma.pl: pełna wersja PHP albo Node.js, wersja CMS lub frameworka, lista wtyczek albo zależności z wersjami i wersja serwera WWW. Proszę też napisać, kto i jak szybko instaluje poprawki bezpieczeństwa oraz czy serwer ukrywa numery wersji w nagłówkach. Dziękuję.

Wykonawca z dostępem do serwera sprawdzi to kilkoma poleceniami:

curl -sI https://twojafirma.pl | grep -iE "^(server|x-powered-by):"
node -v
npx next -v
php -v

Uwaga: php -v pokazuje wersję PHP używaną w konsoli. Na hostingu z kilkoma wersjami bywa inna niż wersja strony, więc pewniejszy jest Stan witryny albo panel hostingu.

Numery wersji ukrywa się zwykle w konfiguracji: expose_php = Off w PHP, server_tokens off; w nginx, ServerTokens Prod w Apache, poweredByHeader: false w Next.js i app.disable('x-powered-by') w Express. Na hostingu współdzielonym część tych ustawień może zmienić tylko hosting.

Gdy okaże się, że strona ma lukę, plan działania znajdziesz w kolejnej poradzie z tej serii: „Luka w stronie firmy: co robić w pierwszych 24 godzinach”.

Gdy w PHP pojawia się poważna luka, wersja ma znaczenie od razu. Przykład i plan działania opisuję w poradzie Luka w PHP (PHP2Shell): co sprawdzić i zlecić hostingowi.

Podsumowanie

Na pytanie „czy ta luka mnie dotyczy?” odpowiesz w minutę, jeśli masz zapisane cztery rzeczy: serwer, wersję PHP albo Node.js, wersję CMS i listę dodatków. Większość znajdziesz w panelu hostingu i w kokpicie WordPressa, resztę podpowie Zbadaj stronę albo mail do wykonawcy.

Jeśli wolisz, żeby ktoś pilnował tego za Ciebie, wybierz opiekę techniczną. W pakiecie Czuwanie (od 149 zł netto miesięcznie) monitoruję stronę, robię kopie zapasowe i aktualizacje bezpieczeństwa, a co miesiąc wysyłam raport. Pakiety Standard (od 349 zł netto miesięcznie) i Pro (od 749 zł netto miesięcznie) dodają częstsze kopie i aktualizacje, godziny prac w miesiącu i szybszą reakcję. Gdy chcesz sprawdzić odporność strony na typowe ataki, zamów audyt bezpieczeństwa (od 990 zł netto) albo napisz do mnie. Odpowiadam w 24 godziny.