PHP2Shell: kritická chyba v PHP a čo má vaša firma urobiť teraz

Čo sa stalo

PHP je programovací jazyk, na ktorom beží veľká časť webov: WordPress, mnohé e-shopy, klientske portály aj webové rozhrania interných systémov. Projekt PHP 21. októbra 2026 vydal bezpečnostné aktualizácie, ktoré opravujú dve kritické zraniteľnosti s označením CVE-2026-109618 a CVE-2026-109619. Spolu sa im hovorí PHP2Shell.

Obe majú skóre závažnosti 9,2 z 10. Útočník ich môže zneužiť na diaľku a bez prihlásenia a spustiť na serveri vlastný kód. Chyba je v samotnom PHP, nie v konkrétnom webe alebo plugine. Ohrozená je preto každá neaktualizovaná inštalácia PHP, ktorá obsluhuje webové požiadavky.

Prečo to nemožno odložiť

Informácie o chybách unikli ešte pred vydaním opráv. Bezpečnostný tím spoločnosti Amazon zaznamenal prvý pokus o zneužitie už 17. októbra, štyri dni pred zverejnením. Ukážky útoku sa objavili ešte v deň vydania opráv a odvtedy tím hlási rozsiahle pokusy o zneužitie.

Nie je jasné, koľko pokusov bolo úspešných. SK-CERT v deň vydania opráv aktívne zneužívanie nepotvrdil. Pri takto rozšírenej chybe však treba počítať s tým, že sa pokusy o útok dostanú aj k vášmu serveru.

Chyby navyše našli výskumníci s pomocou AI modelov. Podľa nich im AI pomohla aj vyvinúť funkčné útoky a za niekoľko hodín ich prispôsobiť rôznym aplikáciám. Zložitosť zneužitia preto podľa nich prestáva byť spoľahlivou prekážkou.

Ktoré verzie sú opravené

Opravené sú verzie PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Čo to znamená pre váš server, závisí od toho, akú verziu PHP dnes používa.

• PHP 8.2 až 8.5: Stačí aktualizovať na najnovšiu verziu v rámci tej istej vetvy. PHP 8.2 však dostáva bezpečnostné opravy len do 31. decembra 2026, preto naplánujte aj prechod na novšiu vetvu.
• PHP 8.1 a staršie: Projekt PHP pre tieto verzie oficiálnu aktualizáciu nevydal. Opravu môžu ponúkať niektoré linuxové distribúcie alebo dodávatelia s rozšírenou podporou. Inak je jediným riešením prechod na podporovanú verziu.
• Aktualizácia webu nestačí: Nová verzia WordPressu, e-shopu alebo pluginov chybu neopraví. Aktualizovať treba samotné PHP na serveri a potom reštartovať všetky jeho procesy.
• Dočasné opatrenia len získajú čas: Podľa projektu PHP žiadna zmena konfigurácie chybu úplne neodstráni. Dočasné nastavenia a pravidlá webového firewallu riziko znižujú, aktualizáciu však nenahradia.

Čo urobiť ešte dnes

Mnohé firmy server samy nespravujú. Web majú u hostingu, e-shop na hotovej platforme alebo ich spravuje agentúra. Vašou úlohou je zistiť, kto je za ktorý systém zodpovedný, a dostať od neho jasnú odpoveď.

• Spíšte všetko, čo beží na PHP: Firemný web, e-shop, klientsky portál, intranet aj webové rozhrania interných systémov. Patria sem aj hotové produkty, ktoré PHP obsahujú.
• Opýtajte sa správcu: Hostingu, agentúry alebo IT dodávateľa sa opýtajte: Akú verziu PHP používame? Kedy bola aktualizovaná na opravenú verziu? Boli potom reštartované všetky procesy PHP?
• Overte hotové platformy: Ak máte web alebo e-shop na platforme, ktorú prevádzkuje dodávateľ, aktualizáciu rieši on. Overte si, či ju potvrdil.
• Ak sa nedá aktualizovať hneď: Zvážte dočasné odstavenie služby alebo obmedzenie prístupu k nej z internetu. SK-CERT to odporúča najmä pri citlivých systémoch a pri službách, ktoré nemožno rýchlo aktualizovať.
• Hľadajte stopy útoku: Požiadajte správcu, aby prešiel záznamy servera aspoň od 17. októbra a hľadal neočakávané súbory, procesy či nové účty. Pri podozrení zmeňte heslá a prístupové kľúče uložené na serveri.

Ako sa pripraviť na ďalšiu chybu

PHP2Shell nebude posledná kritická chyba. Rozhoduje, ako rýchlo dokážete reagovať: či viete, kde vám čo beží, kto to spravuje a ako rýchlo vie nasadiť opravu.

Dohodnite sa so správcom webu a s dodávateľmi, v akom čase nasadzujú kritické bezpečnostné opravy, a majte prehľad o verziách softvéru, na ktorých stoja vaše systémy. Systém, ktorý nemožno aktualizovať, berte ako technický dlh s termínom a zodpovednou osobou, nie ako stav, ktorý môže počkať.