Stručně: Týden po prvním pozorovaném pokusu o útok je PHP2Shell aktuálně především otázkou provedení: Záplaty pro PHP 8.2 až 8.5 existují od 21. října, velké distribuce se přidaly, BSI (německý Spolkový úřad pro informační bezpečnost) varuje oranžovým stupněm. Pokusy o útok byly pozorovány, potvrzené úspěšné útoky v širokém měřítku BSI zpočátku nehlásilo. Otevřené zůstávají staré verze, nerestartované servery a otázka, co se stalo před záplatou.
Situace ve třech větách
PHP2Shell jsou dvě kritické zranitelnosti přímo v interpretu PHP, CVE-2026-109618 a CVE-2026-109619, každá hodnocená CVSS v4.0 9.2. Umožňují spuštění kódu na dálku bez přihlášení, tedy případ, kterého se bezpečnostní odborníci obávají nejvíc. Postiženy jsou PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed; nejvyšší riziko vidí tým PHP u mod_php.
Tento přehled řadí stav k 25. říjnu 2026 podle aktérů. Průběh den po dni najdete v chronologii PHP2Shell, zde jde o celkový obraz.
Co je po týdnu doloženo
Jisté jsou údaje projektu PHP: Vydání 8.5.12, 8.4.27, 8.3.36 a 8.2.35 z 21. října uzavírají obě zranitelnosti. Pro PHP 7.4, 8.0 a 8.1 existují jen minimální zdrojové backporty, žádná oficiální vydání. php.net zdůrazňuje, že úplná přechodná opatření neexistují a aktualizace je jedinou bezpečnou cestou.
Dne 23. října přibylo upozornění k CVE-2026-115560. Týká se jen neobvyklé konfigurace session; jako nápravu uvádí php.net session.upload_progress.enabled=0 do dalšího pravidelného bugfixového vydání.
Také velké distribuce zaujaly stanovisko. Oficiální oznámení jsme prověřili:
| Poskytovatel | Stav podle oficiálního oznámení |
|---|---|
| Ubuntu | USN-8948-1 pro 22.04, 24.04, 26.04 a 26.10; USN-8948-2 pro 14.04 až 20.04 přes Ubuntu Pro |
| Debian | Opravené balíčky pro bookworm (php8.2, DLA-4848-1) a trixie (php8.4, DSA-6574-1) |
| Red Hat | Bulletin RHSB-2026-013 pro RHEL 7 až 10; některé aktualizace k dispozici, další rozpracovány |
Red Hat hodnotí CVE-2026-109618 vlastním hodnocením jako „Important“ a zdůvodňuje to vyšší složitostí útoku. Je to jiná metoda hodnocení než u projektu PHP a není to důvod aktualizaci odkládat.
Jak situaci hodnotí úřady
BSI vyhlásilo výstražný stupeň 3 / oranžový. Doporučuje okamžitou aktualizaci a, pokud to hned nejde, postižené webové servery dočasně odpojit od sítě. BSI počítalo s rychlým plošným zneužíváním. Co zařazení znamená, vysvětluje stránka Co BSI k PHP2Shell doporučuje.
Podle zpráv považuje CERT-EU (tým pro kybernetickou bezpečnost institucí EU) za možné, že jsou postiženy verze od PHP 5, a radí izolovat veřejně dostupné aplikace, pokud je nelze záplatovat v krátké době. Varovaly také CERT-Bund (německý vládní CERT) a bezpečnostní firma Huntress.
Doporučení v nouzi odstavit se viditelně uplatnilo. Podle mediálních zpráv město Mohuč preventivně odpojilo svůj centrální webový portál; úřady zůstaly dostupné telefonicky a e-mailem. V Hesensku byly podle hessenschau dočasně offline stránky zemské vlády, BKA (německý Spolkový kriminální úřad) a měst Kassel a Wiesbaden. Státní kancelář žádný útok nenahlásila, stránky byly večer opět dostupné. Další obce, vysoké školy a kliniky jednaly podle zpráv podobně.
Co je známo o útocích
Zde je oddělení mezi pozorováním a potvrzením obzvlášť důležité.
- Pozorováno: Podle mediálních zpráv byl 17. října první pokus o útok, který pozoroval Amazon. Cloudflare a Patchstack informovaly o pokusech o útok; Cloudflare navíc zaznamenal změněné vzorce útoků.
- Zreprodukováno: watchTowr podle zpráv CVE-2026-109618 podle vlastních údajů zreprodukoval.
- Nepotvrzeno: BSI zpočátku nehlásilo žádné potvrzené úspěšné zneužití v širokém měřítku. Huntress v době svého oznámení v prostředích partnerů žádné útoky nezaznamenal.
- Neznámo: Neexistují žádná zveřejněná, potvrzená indicators of compromise. Kdo chce zjistit, zda je server dotčen, musí sledovat vzorce chování.
K rozsahu kolují dvě čísla. Výzkumníci Unit 42 ze společnosti Palo Alto Networks došli k více než 22,6 milionu potenciálně zranitelných instancí dostupných z internetu. CybelAngel uvádí zhruba 2,24 milionu dostupných hostů s PHP, z toho podle vlastního vyhodnocení 59 procent na verzích bez oficiální opravy v dohledu. Obě měří různé věci a nelze je přímo srovnávat. Zařazení nabízí článek Jak čísla správně zařadit.
Co zůstává otevřené
Tři otázky určují příští týdny:
- Staré verze: Velká část dostupných instalací PHP běží podle uvedených vyhodnocení na větvích bez oficiální opravy. Zda komerční nabídky dlouhodobé podpory PHP2Shell pokrývají, je třeba vždy písemně potvrdit u poskytovatele.
- Neúplné aktualizace: Nové balíčky působí teprve tehdy, když jsou všechny procesy PHP restartovány. Red Hat výslovně upozorňuje, že pouhé znovunačtení nestačí.
- Doba před záplatou: Mezi 17. a 21. říjnem byly servery zranitelné, zatímco už probíhaly pokusy o útok. Záplata nedokazuje, že se v této době nic nestalo.
Uchovejte logy webového serveru a PHP od 20. října, jak radí odborný tisk. Bez logů nelze nejdůležitější otevřenou otázku pro váš server později zodpovědět.
Co by provozovatelé měli nyní zkontrolovat
Pro vlastní posouzení situace stačí čtyři kontrolní body pro každý server: Je PHP na opraveném stavu nebo potvrzeném backportu? Běží všechny procesy od aktualizace? Je session.upload_progress.enabled vypnuto na straně serveru, dokud advisory k CVE-2026-115560 chybí? Existují nápadnosti od 17. října?
K poslednímu bodu pomůže stránka Jsem už napaden?. Proces webového serveru, který spouští shell, nové soubory PHP ve složkách pro nahrávání, neznámé cron úlohy nebo klíče SSH jsou varovné signály, které opodstatňují podrobnější vyšetření.
Jak konkrétně pomáhá PHP SOS?
- Hodnotíme stav záplat každého serveru podle stavu balíčků, changelogu a časů spuštění procesů.
- Kde záplata není k dispozici, nastavujeme přechodná opatření z php.net a vyjasňujeme cestu k podporované verzi.
- Zajišťujeme logy od 20. října a hledáme stopy z doby před záplatou.
- Prostřednictvím okamžité pomoci při PHP2Shell tyto kroky spojujeme pro firmy, které rychle potřebují jasno.
Časté dotazy
Je PHP2Shell už aktivně zneužíváno?
Cloudflare a Patchstack informovaly o pokusech o útok. Potvrzené úspěšné útoky v širokém měřítku BSI zpočátku nehlásilo. Huntress v době svého oznámení v prostředích partnerů žádné útoky nezaznamenal.
Je po záplatách nebezpečí pryč?
Ne. Záplaty chrání jen servery, které je nainstalovaly a restartovaly všechny procesy PHP. Systémy na PHP 8.1 a starším zůstávají bez potvrzeného backportu zranitelné a záplata neodstraní dříve vložený škodlivý software.
Proč byly weby úřadů offline?
Podle mediálních zpráv preventivně odstavily své weby mimo jiné město Mohuč (Mainz) a několik míst v Hesensku. Odpovídá to doporučení BSI pro servery, které nelze hned aktualizovat. Odstavení neznamená, že došlo k útoku.
Existují rozpoznávací znaky útoku PHP2Shell?
Zveřejněné, potvrzené indicators of compromise zatím neexistují. Rozpoznání se opírá o analýzu chování, například procesy PHP, které spouštějí shell, nebo nové soubory PHP ve složkách pro nahrávání.