PHP2Shell: kritická chyba v PHP a co má vaše firma udělat hned teď

Co se stalo

PHP je programovací jazyk, na kterém běží velká část webů: WordPress, mnoho e-shopů, klientské portály i webová rozhraní interních systémů. Projekt PHP 21. října 2026 vydal bezpečnostní aktualizace, které opravují dvě kritické zranitelnosti s označením CVE-2026-109618 a CVE-2026-109619. Společně se jim říká PHP2Shell.

Obě mají skóre závažnosti 9,2 z 10. Útočník je může zneužít na dálku a bez přihlášení a spustit na serveru vlastní kód. Chyba je v samotném PHP, ne v konkrétním webu nebo pluginu. Ohrožená je proto každá neaktualizovaná instalace PHP, která obsluhuje webové požadavky.

Proč to nelze odkládat

Informace o chybách unikly ještě před vydáním oprav. Bezpečnostní tým společnosti Amazon zaznamenal první pokus o zneužití už 17. října, čtyři dny před zveřejněním. Ukázky útoku se objevily ještě v den vydání oprav a od té doby tým hlásí rozsáhlé pokusy o zneužití.

Není jasné, kolik pokusů bylo úspěšných. NÚKIB upozornil, že informace umožňující zneužití jsou veřejně dostupné. U takto rozšířené chyby je proto třeba počítat s tím, že se pokusy o útok dostanou i k vašemu serveru.

Chyby navíc našli výzkumníci s pomocí AI modelů. Podle nich jim AI pomohla také vyvinout funkční útoky a během několika hodin je přizpůsobit různým aplikacím. Složitost zneužití proto podle nich přestává být spolehlivou překážkou.

Které verze jsou opravené

Opravené jsou verze PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Co to znamená pro váš server, záleží na tom, jakou verzi PHP dnes používá.

• PHP 8.2 až 8.5: Stačí aktualizovat na nejnovější verzi v rámci stejné větve. PHP 8.2 však dostává bezpečnostní opravy jen do 31. prosince 2026, proto naplánujte i přechod na novější větev.
• PHP 8.1 a starší: Projekt PHP pro tyto verze oficiální aktualizaci nevydal. Opravu mohou nabízet některé linuxové distribuce nebo dodavatelé s rozšířenou podporou. Jinak je jediným řešením přechod na podporovanou verzi.
• Aktualizace webu nestačí: Nová verze WordPressu, e-shopu nebo pluginů chybu neopraví. Aktualizovat je potřeba samotné PHP na serveru a poté restartovat všechny jeho procesy.
• Dočasná opatření jen získají čas: Podle projektu PHP žádná změna konfigurace chybu zcela neodstraní. Dočasná nastavení a pravidla webového firewallu riziko snižují, aktualizaci ale nenahradí.

Co udělat ještě dnes

Mnoho firem server samo nespravuje. Web mají u hostingu, e-shop na hotové platformě, nebo je spravuje agentura. Vaším úkolem je zjistit, kdo je za který systém odpovědný, a dostat od něj jasnou odpověď.

• Sepište vše, co běží na PHP: Firemní web, e-shop, klientský portál, intranet i webová rozhraní interních systémů. Patří sem i hotové produkty, které PHP obsahují.
• Zeptejte se správce: Hostingu, agentury nebo IT dodavatele se zeptejte: Jakou verzi PHP používáme? Kdy byla aktualizována na opravenou verzi? Byly poté restartovány všechny procesy PHP?
• Ověřte hotové platformy: Pokud máte web nebo e-shop na platformě, kterou provozuje dodavatel, aktualizaci řeší on. Ověřte si, zda ji potvrdil.
• Pokud nelze aktualizovat hned: Zvažte dočasné odstavení služby nebo omezení přístupu k ní z internetu. Slovenský SK-CERT to doporučuje zejména u citlivých systémů a služeb, které nelze rychle aktualizovat.
• Hledejte stopy útoku: Požádejte správce, aby prošel záznamy serveru alespoň od 17. října a hledal neočekávané soubory, procesy nebo nové účty. Při podezření změňte hesla a přístupové klíče uložené na serveru.

Jak se připravit na další chybu

PHP2Shell nebude poslední kritická chyba. Rozhoduje, jak rychle dokážete reagovat: zda víte, kde vám co běží, kdo to spravuje a jak rychle umí nasadit opravu.

Domluvte se se správcem webu a s dodavateli, v jakém čase nasazují kritické bezpečnostní opravy, a mějte přehled o verzích softwaru, na kterých stojí vaše systémy. Systém, který nelze aktualizovat, berte jako technický dluh s termínem a odpovědnou osobou, ne jako stav, který může počkat.