Nezáplatované PHP jsou otevřené dveře. My je zavřeme.
Nouzová pomoc na dálku pro firmy v Evropě: záplatování PHP, kontrola stop po průniku, odstranění škodlivého kódu, hardening serveru. Okamžitě, se specializovanými partnery, dokud není incident uzavřen a zdokumentován.
$ php -v PHP 8.3.35 (cli) (built: Sep 30 2026) ! Stav před záplatou z 21. 10. 2026 $ phpsos pruefen --ziel produktion Provozní režim ... php-fpm CVE-2026-109618 .. otevřeno CVE-2026-109619 .. otevřeno Restart workerů .. čeká $ phpsos absichern [ok] Balíček 8.3.36 nasazen [ok] všichni workeři restartováni [ok] Souborový systém zkontrolován na webshelly [ok] Zpráva pro vedení vytvořena
- Made in GermanyIT bezpečnost z Německa, práce v souladu s evropským právem na ochranu osobních údajů.
- Více než 25 letVíce než 25 let se spolu s naší sítí partnerů specializujeme na IT bezpečnost a provoz serverů.
- Síť partnerůSpecializovaní kybernetičtí odborníci na forenzní analýzu, penetrační testy a zabezpečení serverů, koordinovaní jedním kontaktním místem.
Týká se to Vás? Zavolejte nám. Pomůžeme.
Napadení, zablokování, nalezený webshell, nebo nejistota, zda se Vás PHP2Shell týká: ozvěte se nám hned. Ujímáme se případu od první zprávy, na dálku a bez nutnosti dojíždět.
Je vaše PHP už záplatované?
Zadejte svou verzi PHP. Test ji porovná s bezpečnostními oznámeními z php.net a řekne, co dělat dál. Důležité: ani záplatovaná verze nedokazuje, že se před aktualizací nic nestalo.
Jak naléhavá je vaše situace?
Čtyři otázky, jedno zařazení, první kroky a připravená zpráva pro nás přes WhatsApp. Při stupni 3 platí: nic nemazat, nic znovu nenasazovat, zajistit stopy.
Od tísňového volání po zabezpečený server
Přebíráme techniku a dodáváme doklady, které potřebuje vedení, ochrana osobních údajů i pojišťovna.
Okamžitá pomoc při PHP2Shell: pomoc při zranitelnosti PHP
PHP2Shell uzavíráme na vašich webových serverech na dálku: inventura, záplata nebo přechodné opatření, restart všech workerů a písemný doklad.
Číst dál →02Web napaden, co dělat? Nouzová pomoc na dálku
Je váš web napaden nebo se chová nápadně? Na dálku převezmeme omezení škod, zajištění stop, vyčištění a dokumentaci.
Číst dál →03Služba záplatování PHP: aktualizace, restart a doklad
Nasadíme aktualizaci PHP na vaše servery, restartujeme všechny procesy PHP a dodáme písemný doklad o verzi, stavu balíčku a restartu.
Číst dál →04Hardening serveru pro webové servery s PHP
Vaše webové servery s PHP zabezpečujeme podle pevného plánu: izolace každého webu, bezpečná konfigurace PHP, oprávnění k souborům, přístupy, protokoly a zálohy.
Číst dál →05Odstranění malwaru a webshellů z webu
Odstraňujeme škodlivý kód, webshelly a zadní vrátka z webů a serverů, znovu sestavíme z důvěryhodných zdrojů a uzavřeme vstupní bránu.
Číst dál →06Reakce na incidenty (incident response) při útocích na server
Strukturované zpracování incidentů při útocích na webové servery: obraz situace, omezení škod, odstranění, obnova a následné vyhodnocení s pevnými rolemi.
Číst dál →Jak pracujeme v krizové situaci
Jasné kroky, jeden kontaktní bod, vše na dálku. Specialisté z naší partnerské sítě se přidají, když je potřeba forenzní analýza nebo penetrační test.
Zmapování situace
Napíšete nám přes WhatsApp nebo zavoláte. Zjistíme systém, verzi PHP, hosting a pozorování.
Zajištění a uzavření
Zajistit stopy, záplatovat PHP nebo nasadit přechodná opatření, restartovat všechny workery, doložit stav záplat.
Kontrola a vyčištění
Zkontrolovat soubory, databázi, účty a logy na stopy průniku. Odstranit webshelly a zadní vrátka.
Hardening a zpráva
Zabezpečit konfiguraci, zavést monitoring, zpráva pro vedení, ochranu osobních údajů a pojišťovnu.
Záplatu zatím nelze nasadit? Přechodná opatření
php.net uvádí nastavení, která ztěžují známé cesty útoku, dokud není nasazena aktualizace. Vyberte svůj provozní režim, zkopírujte řádky a poté restartujte všechny procesy PHP.
BSI (německý spolkový úřad pro informační bezpečnost) doporučuje: pokud aktualizace není okamžitě možná, webový server dočasně odpojit od sítě.
Přechodná opatření podle php.net, nenahrazují aktualizaci. memory_limit=-1 pouze spolu s limitem paměti přes kontejner nebo cgroup. Předtím si zazálohujte konfiguraci.
Kdo co dělá? Mezera mezi hostingem a agenturou
Mnoho firem spoléhá na to, že „někdo“ záplatuje. Rozdělení bývá zpravidla takové:
| Úkol | Hosting (sdílený hosting) | Agentura / webdesign | PHP SOS |
|---|---|---|---|
| Aktualizovat balíček PHP | většinou ano | většinou ne | ano, nebo s vaším poskytovatelem hostingu |
| Restartovat všechny workery a doložit | částečně | ne | ano, s dokladem |
| Zkontrolovat, zda k průniku nedošlo před záplatou | zpravidla ne | částečně | ano |
| Odstranit webshelly a zadní vrátka | zpravidla ne | částečně | ano |
| Zpráva pro vedení, ochranu osobních údajů, pojišťovnu | ne | zřídka | ano |
| Hardening a průběžný monitoring | částečně | částečně | ano |
Co je doloženo a co nyní udělat
Fakta z oznámení php.net a německého BSI, zpracovaná pro vedení a administrátory.
Co je PHP2Shell? Zranitelnost srozumitelně
PHP2Shell jsou dvě kritické zranitelnosti přímo v PHP, přes které mohou útočníci bez přihlášení spouštět kód na webových serverech. Situace jasnými slovy.
Číst dál →CVE-2026-109618: RCE přes stav nedostatku paměti
CVE-2026-109618 je jedna ze dvou zranitelností PHP2Shell: stav out of memory může přerušit PHP uprostřed zpracování požadavku. Opraveno od PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.
Číst dál →CVE-2026-109619: RCE přes zastaralý globální stav
CVE-2026-109619 je druhá zranitelnost PHP2Shell: vnitřní stav požadavku může po uvolnění paměti přetrvat a využije ho další požadavek ve stejném workeru.
Číst dál →CVE-2026-115560: upozornění k session upload progress
CVE-2026-115560 je upozornění php.net z 23. 10. 2026: možné spuštění kódu jen při neobvyklé konfiguraci session. Řešení do dalšího vydání: session.upload_progress.enabled=0.
Číst dál →Které verze PHP jsou postižené?
PHP2Shell je opraveno v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pro PHP 8.1 a starší už oficiální aktualizace neexistují. Tabulka ukazuje stav pro každou větev.
Číst dál →Jak správně ověřit verzi PHP a stav záplaty
Zobrazená verze PHP sama neřekne, zda je PHP2Shell uzavřeno. Rozhodují stav balíčku, backporty a to, zda skutečně běží nové procesy.
Číst dál →Pro vaši platformu a váš server
Kde se škodlivý kód ukrývá ve WordPressu, Shopwaru nebo TYPO3 a jak skutečně záplatovat na Plesku, cPanelu nebo v kontejneru.
Platformy
Server a hosting
Každý obor má jiná data, o která může přijít
Zdravotní údaje, důvěrné údaje klientů, platební údaje: kontrolu a zprávu přizpůsobíme vašim povinnostem.
10 kroků, než situaci převezmeme
Odškrtněte, co je hotovo. Seznam zůstane uložen ve vašem prohlížeči.
Zaškrtnutí se ukládá pouze ve vašem prohlížeči.
72 hodin, NIS2, pojištění
Obecná orientace pro vedení firmy. Nejde o právní poradenství.
Oznamovací povinnost podle GDPR: 72 hodin po incidentu
Po útoku na webový server může vzniknout povinnost oznámení dozorovému úřadu. Zde obecně: kdy začíná běžet 72 hodin a co k oznámení patří.
Číst dál →NIS2 a bezpečnost webových serverů
NIS2 ukládá mnoha firmám řízení rizik a oznamování. Zde obecně, co to znamená pro webové servery a kde najdete spolehlivé údaje.
Číst dál →Kyberpojištění: na čem záleží při škodní události
Při útoku často o plnění rozhoduje včasné informování pojišťovny, zajištěné důkazy a sladěné kroky. Zde typické body obecně.
Číst dál →Odpovědnost vedení za IT bezpečnostní mezery
IT bezpečnost je úkolem vedení. Zde obecně, jaké povinnosti péče platí a jak mohou jednatelé při zranitelnostech jako PHP2Shell rozhodovat srozumitelně a dohledatelně.
Číst dál →Odborné články pro administrátory a vývojáře
Časová osa PHP2Shell: chronologie od 17. do 25. října 2026
Všechna doložená data k PHP2Shell přehledně, od prvního pozorovaného pokusu o útok po stav k 25. 10. 2026, a co z nich plyne pro vaši kontrolu.
Číst dál →Potvrzení aktualizace PHP od hostingu: jak se zeptat na stav záplaty
Zobrazená verze PHP po PHP2Shell mnoho nedokazuje. Pomocí tohoto vzoru si od poskytovatele hostingu vyžádáte potvrzení, které můžete zdokumentovat.
Číst dál →Jak poznat a odstranit webshell
Jak vyhledat zadní vrátka na webových serverech s PHP, aniž byste zničili stopy, a proč samotné smazání zřídka stačí.
Číst dál →Jak najít zadní vrátka ve WordPressu: systematické hledání
Kde se zadní vrátka ve WordPressu typicky ukrývají a jak je správci systematicky vyhledají pomocí WP-CLI a několika příkazů.
Číst dál →Jak bezpečně nakonfigurovat php.ini
Která nastavení v php.ini zmenšují plochu pro útok, jak je chránit před přepsáním a co platí navíc po PHP2Shell.
Číst dál →Jak správně nasadit PHP disable_functions
Pomocí disable_functions zakážete rizikové funkce PHP. Jak seznam sestavit podle své aplikace, aniž byste web vyřadili z provozu.
Číst dál →Situace, návody, podklady pro rozhodování
Od výstražného stupně BSI přes changelogy balíčků až po otázku, zda systém nasadit znovu, nebo vyčistit. Každý článek se zdroji.
PHP2Shell: co je doloženo a co ne
Kontrola faktů k PHP2Shell: která tvrzení pocházejí z primárních zdrojů, která z mediálních zpráv a které domněnky se neudrží.
Číst dál →Změna verze PHP v zákaznické sekci hostingu
Jak v zákaznické sekci poskytovatele hostingu přepnout verzi PHP, kterou verzi zvolit a co zkontrolovat předtím a potom.
Číst dál →Varovný signál: webový server spouští shell
Spustí-li proces PHP-FPM nebo webového serveru shell, je to jeden z nejsilnějších varovných signálů průniku. Jak zkontrolovat strom procesů, zařadit výjimky a vzorec trvale sledovat.
Číst dál →Izolace poolů PHP-FPM pro každý web
Vlastní pool pro každý web je začátek, ne konec. Jak zkontrolovat stávající pooly a zabezpečit sockety, přípony, stavové stránky, zdroje a logy.
Číst dál →Bezpečné ukládání hesel v PHP: správné použití password_hash
Jak vývojáři ukládají hesla v PHP pomocí password_hash a password_verify, vybírají vhodný postup a nahrazují staré hashe MD5 nebo SHA-1 bez resetu hesla pro všechny uživatele.
Číst dál →Smlouvy s IT dodavateli: jasně upravit bezpečnostní povinnosti
PHP2Shell ukázalo, jak často je nejasné, kdo má záplatovat. Jaké bezpečnostní povinnosti patří do smluv s agenturou, hostingovou firmou a IT dodavatelem.
Číst dál →Programovací jazyk PHP srozumitelně vysvětlen
Jak PHP vytváří stránku, co jsou SAPI, PHP-FPM a OPcache a proč právě to rozhoduje o bezpečnosti. K tomu slovník všech odborných pojmů.
Co je PHP2Shell?
PHP2Shell označuje dvě kritické zranitelnosti přímo v PHP (CVE-2026-109618 a CVE-2026-109619, CVSS 9.2). Mohou útočníkům umožnit spustit na serveru škodlivý kód bez přihlášení. Záplaty jsou k dispozici od 21. 10. 2026.
Které verze PHP jsou bezpečné?
Opravy obsahují verze PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Hostingové firmy a distribuce někdy nasazují backporty, aniž by změnily číslo verze. Rozhodující je stav balíčku nebo písemné potvrzení poskytovatele.
Stačí aktualizace WordPressu nebo e-shopu?
Ne. Zranitelnost je v PHP, ne v CMS. Aktualizace CMS ji neuzavře. A záplata PHP neodstraní škodlivý kód, který byl vložen dříve.
Jak rychle můžete pomoci?
Pracujeme na dálku a začneme, jakmile budou k dispozici přístupy. Napište nám přes WhatsApp systém, verzi PHP a co jste pozorovali. Další postup pak vyjasníme přímo.
Pracujete i pro agentury a zákazníky hostingových firem?
Ano. Pracujeme přímo pro firmy, v pozadí na zakázku agentur a po dohodě s vaším poskytovatelem hostingu, pokud server spravuje on.
Musíme incident nahlásit?
Pokud mohou být dotčeny osobní údaje, platí podle čl. 33 GDPR zpravidla lhůta pro hlášení 72 hodin od okamžiku, kdy jste se o incidentu dozvěděli. Zda se vás týká, ujasněte s pověřencem pro ochranu osobních údajů. Technickou dokumentaci k tomu dodáme my.
Každá hodina se počítá. Napište nám hned.
Stručně popište systém, verzi PHP a pozorování. Ozveme se, vyjasníme situaci a budeme pracovat na dálku, dokud nebude incident uzavřen a zdokumentován.