PHP2Shell: kritické chyby v PHP a čo majú urobiť majitelia webov

Ak váš web, blog alebo e-shop beží na PHP, a väčšina webov na WordPresse či podobných systémoch na ňom beží, treba si overiť verziu. Dve kritické zraniteľnosti v samotnom jadre PHP, označované ako PHP2Shell, umožňujú v niektorých konfiguráciách spustiť na serveri útočníkov kód bez prihlásenia. Opravy vyšli 21. októbra 2026. Čo je isté, čo je sporné a čo treba urobiť?

Čo sa stalo

Zraniteľnosti majú označenia CVE-2026-109618 a CVE-2026-109619 a obe majú skóre závažnosti CVSS v4.0 9,2, teda kritické. Ide o chyby v samotnom interpreteri PHP, nie v konkrétnej aplikácii. Preto sa týkajú aj webov, ktorých vlastný kód je v poriadku.

Priebeh

• Podľa časovej osi z bezpečnostných analýz objavil prvé cesty k vzdialenému spusteniu kódu výskumný tím Calif začiatkom augusta 2026 a o niekoľko dní informoval vývojárov PHP. Koncom augusta chyby nahlásil aj tím firmy Wiz.
• Podrobnosti unikli verejnosti 20. októbra 2026, pred plánovaným koordinovaným zverejnením.
• Vývojári PHP vydali opravy 21. októbra 2026.

Ktoré verzie sú opravené

Bezpečnostné vydania sú PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Oficiálne vyjadrenie vývojárov znie, že úplné zmiernenie neexistuje a aktualizácia je jediná bezpečná voľba.

Staršie verzie

Verzie PHP 8.1 a staršie sú podľa bezpečnostného poradenstva ukončené z hľadiska podpory a zostávajú zraniteľné. Pre 7.4, 8.0 a 8.1 vývojári zverejnili len zdrojové opravy (backporty) bez hotových inštalačných balíkov. Systémy na týchto verziách je potrebné povýšiť na podporovanú vetvu. Chyba sa podľa analýz týka PHP od verzie 5.4 z roku 2012.

Poznámka k balíkom distribúcií

Poskytovatelia hostingu a distribúcie Linuxu často opravy zavádzajú do vlastných balíkov, pri ktorých sa číslo verzie môže líšiť od oficiálneho. Nestačí preto porovnať číslo verzie, treba si overiť, či poskytovateľ opravu nasadil. To je všeobecná poznámka, nie tvrdenie z jedného zdroja.

Je už zneužívaná

Tu sa zdroje líšia v detailoch, preto uvádzame, čo vieme:

• Bezpečnostné tímy hlásili pokusy o zneužitie ešte pred zverejnením opráv: jeden z veľkých poskytovateľov cloudových služieb zaznamenal pokus už 17. októbra a poskytovateľ siete na doručovanie obsahu hlásil prvé útoky 21. októbra, pričom nasadil dočasné pravidlá webového firewallu. Ďalšia bezpečnostná firma uviedla, že pozorovala zneužívanie v reálnej prevádzke.
• Americká agentúra CISA vydala 21. októbra výzvu na okamžité nasadenie opráv. K 22. októbru však podľa jedného zdroja obe zraniteľnosti nezaradila do katalógu aktívne zneužívaných zraniteľností.
• Jedna analýza z 22. októbra uvádza, že verejne dostupné exploity nefungujú proti predvolenej inštalácii PHP a útok vyžaduje znalosť cieľa a konkrétne podmienky, takže hromadné zneužitie je menej pravdepodobné, než sa pôvodne čakalo. Podľa dokumentácie PHP však bolo vzdialené spustenie kódu overené pri predvolených limitoch cez Apache s modulom mod_php. Zdroje sa teda v odhade pravdepodobnosti rozchádzajú.

Pre majiteľa webu z toho plynie jednoduchý záver: nečakať, kým sa spor vyrieši, a opravu nasadiť.

Ktoré konfigurácie sú najrizikovejšie

Podľa poradenstva sú najviac ohrozené inštalácie s Apache a modulom mod_php. Zraniteľné sú však aj PHP-FPM, php-cgi, FrankenPHP a LiteSpeed. Jedna zo zraniteľností sa týka spracovania pamäte pri chybe nedostatku pamäte a druhá nesprávneho stavu pri čistení požiadavky. Technické detaily tu nerozoberáme, lebo pre ochranu nie sú potrebné.

Čo majú urobiť majitelia webov

Ak máte zdieľaný hosting

• Opýtajte sa poskytovateľa, či nasadil opravy PHP a pre ktoré verzie. Je to jeho zodpovednosť.
• Skontrolujte v administrácii hostingu, akú verziu PHP má váš web nastavenú. Ak je to 8.1 alebo staršia, požiadajte o prechod na podporovanú verziu a po zmene web otestujte.

Ak spravujete vlastný server

• Aktualizujte PHP na opravené vydanie alebo na balík distribúcie, ktorý opravu obsahuje, a reštartujte príslušné služby.
• Staršie verzie povýšte. Zotrvanie na ukončenej verzii je dlhodobé riziko.
• Čiastočné opatrenia, napríklad obmedzenie limitov pamäte a veľkosti požiadaviek, uvádza jeden bezpečnostný rozbor ako zmenšenie plochy útoku. Nenahrádzajú aktualizáciu.

Po aktualizácii

• Skontrolujte záznamy servera a hľadajte nezvyčajné požiadavky či nové súbory v priečinkoch s webom.
• Ak existuje podozrenie na kompromitáciu, zmeňte heslá a prístupové kľúče a obnovte web z čistej zálohy.

Prečo sa spomína umelá inteligencia

V niektorých správach sa píše, že zraniteľnosti odhalila umelá inteligencia. V zdrojoch, ktoré sme našli, sa medzi objaviteľmi a oznamovateľmi spomínajú výskumné tímy a aj spoločnosť OpenAI, no úloha AI pri samotnom objave z nich nevyplýva jednoznačne. Preto to ako fakt neuvádzame.

Čo nemáme potvrdené

• Že chyby našla AI. Zdroje nehovoria jednoznačne.
• Rozsah zneužívania. Zdroje sa líšia a CISA ich k 22. októbru podľa jedného zdroja nezaradila medzi aktívne zneužívané zraniteľnosti.
• Situáciu na slovenských hostingoch. Údaje o tom, ktorí poskytovatelia už nasadili opravy, nemáme.

Záver

PHP2Shell je ukážka toho, že kritická chyba v základnom nástroji sa týka obrovského množstva webov naraz. Nemusíte rozumieť technickým detailom: overte verziu PHP, požiadajte poskytovateľa o opravu a opustite ukončené verzie. Situácia sa mení každý deň, preto si pred nasadením overte najnovšie poradenstvo vývojárov PHP.