Stručně: Zda byste měli kvůli zranitelnosti PHP web vypnout, závisí na jedné otázce: Běží PHP na tomto serveru doložitelně ve stavu s opravou a jsou všechny procesy restartovány? Pokud ano, odstavení není nutné. Pokud aktualizace není okamžitě možná, BSI (německý Spolkový úřad pro informační bezpečnost) doporučuje webový server dočasně odpojit od sítě. Vyčkávat je obhajitelné jen tehdy, pokud systém PHP nepoužívá, není veřejně dostupný, nebo poskytovatel záplatu písemně potvrdil.
Situace, ve které musíte rozhodnout
PHP2Shell zahrnuje dvě zranitelnosti přímo v PHP, CVE-2026-109618 a CVE-2026-109619, obě hodnocené CVSS v4.0 9.2. Umožňují spuštění škodlivého kódu na dálku bez přihlášení. Opravené verze jsou k dispozici od 21. 10. 2026: 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pro PHP 8.1 a starší už oficiální aktualizace neexistují.
BSI vyhlásilo výstražný stupeň oranžový a radí k okamžité aktualizaci, náhradně k dočasnému odstavení. Podle zpráv médií preventivně odpojila weby město Mohuč (Mainz), místa hesenské zemské vlády a další veřejné instituce; hesenská státní kancelář žádný útok nehlásila. Co z toho mohou firmy odvodit, najdete v Úřady odpojují weby od sítě.
Pro odpovědné osoby ve firmách je otázka praktičtější: Co uděláme dnes s naším e-shopem, portálem, firemním webem?
Vypnout web, záplatovat, nebo vyčkat: tři možnosti ve srovnání
Následující tabulka staví možnosti vedle sebe. Nenahrazuje posouzení vašeho konkrétního případu, ale rozvahu zviditelní.
| Kritérium | Ihned záplatovat | Dočasně odstavit | Vyčkat |
|---|---|---|---|
| Ochrana před PHP2Shell | Vysoká, pokud jsou záplata a restart doloženy | Vysoká po dobu odstavení | Žádná, dokud není záplatováno |
| Přerušení provozu | Krátké, na aktualizaci a restart | Hodiny až dny | Žádné |
| Předpoklad | Podporovaná verze PHP, přístup, servisní okno | Rozhodnutí vedení, statická náhradní stránka | Doložený důvod, proč žádné riziko není |
| Náročnost | Nízká až střední | Technicky nízká, organizačně vysoká | Nízká, ale pracnost ověření dokladu |
| Typický případ | Server s PHP 8.2 až 8.5 | Starší systém s PHP 8.1 nebo starším, nejasný stav | Systém bez PHP nebo dostupný jen interně |
| Zbytkové riziko | Předchozí průnik zůstává možný | Předchozí průnik zůstává možný | Plně zachováno |
Jeden řádek zaslouží pozornost: Ani záplata, ani odstavení neřeší, zda se předtím už něco nestalo. Podle zpráv médií byl první pozorovaný pokus o útok 17. 10. 2026, tedy před záplatou. Pohled na možné stopy proto patří ke každé možnosti.
K rozhodnutí v pěti otázkách
Procházejte otázky postupně. První jasná odpověď většinou vede k rozhodnutí.
- Běží na systému vůbec PHP a je dostupné z internetu? Pokud ne, PHP2Shell se systému přímo netýká. Zdokumentujte, jak jste to zjistili.
- Je stav záplat doložen? Doloženo znamená: opravená verze nebo backport s čísly CVE v changelogu balíčku a restart všech procesů PHP. Zobrazení verze v panelu nestačí. Jak to ověřit, najdete v Jak správně ověřit verzi PHP a stav záplat.
- Lze aktualizaci nainstalovat v následujících hodinách? Pokud ano: záplatovat, restartovat, zkontrolovat. Do té doby mohou pomoci přechodná opatření.
- Není to možné, například kvůli PHP 8.1 nebo chybějícímu přístupu? Pak je podle BSI cestou dočasné odstavení. Přechodná opatření podle php.net riziko snižují, ale nechrání úplně; podrobnosti jsou v Okamžitá opatření, když ještě nemůžete záplatovat.
- Existují příznaky kompromitace? Pak už nejde o „záplatovat, nebo odstavit“, ale o „zpracovat incident“. Odstavit, zajistit důkazy, nemazat předčasně.
Když odstavujete: odstavit správně
Odstavení má odstranit útočnou plochu, ne jen schovat úvodní stránku. Údržbová stránka, která se dál generuje přes PHP, tento účel neplní. Lepší je statická stránka HTML, kterou webový server doručuje bez PHP, nebo přesměrování na jiný server.
Myslete na vše, co je navázáno na totéž PHP: podstránky, rozhraní pro aplikace nebo ekonomický systém, administrátorské oblasti, zpětná volání plateb. Pokud je dotčen e-shop, promluvte si předem s poskytovatelem plateb a logistikou. A informujte zaměstnance i zákazníky jasnými slovy: Web je preventivně offline, kontakt probíhá telefonem a e-mailem. To je lepší než mlčení, které živí spekulace.
Důležitý je i konec odstavení. Stanovte, za jaké podmínky půjde web zase online, například „PHP ve stavu s opravou, restart zkontrolován, první kontrola stop bez nálezu“. Z nouzové brzdy se tak stane uspořádaný postup.
Odstavit není porážka. Několik veřejných míst to podle zpráv médií udělalo, aniž by došlo k útoku. Preventivní odstavení automaticky neznamená, že byl web napaden.
Kdy dodavatele nepotřebujete
Ne každé rozhodnutí vyžaduje externí pomoc. Pokud váš web leží u poskytovatele hostingu, který stav záplat a restart písemně potvrdil, a nejsou žádné nápadnosti, jste s krátkou dokumentací dobře postaveni. Totéž platí, pokud vaše vlastní IT dokáže server s podporovanou verzí PHP samo záplatovat a ovládá kontrolu.
Pomoc se vyplatí, pokud běží systémy se starou verzí PHP, stav je nejasný, je dotčeno více serverů nebo existují příznaky průniku.
Jak konkrétně pomáhá PHP SOS?
- S vámi rychle ujasníme, které systémy jsou dotčeny a jaký stav záplat je doložen.
- Vedení dodáme podklad k rozhodnutí na jedné stránce: možnosti, rizika, doporučená cesta.
- Zvolenou cestu provedeme, tedy záplatu s restartem, přechodná opatření nebo čisté odstavení se statickou náhradní stránkou, jako součást naší okamžité pomoci při PHP2Shell.
- Kontrolujeme stopy od 17. 10. 2026 a výsledek dokumentujeme.
Závěr
Záplatování je normální případ, odstavení správná nouzová brzda, vyčkávání obhajitelné jen s dokladem. Kdo na pět otázek odpoví upřímně a rozhodnutí písemně zaznamená, jedná v duchu doporučení BSI a může později ukázat proč.
Časté dotazy
Musím kvůli PHP2Shell vypnout web?
Ne, pokud PHP už běží ve stavu s opravou a všechny procesy jsou restartovány. BSI doporučuje dočasné odstavení pro případ, že okamžitá aktualizace není možná.
Co stojí odstavení víc: tržby, nebo riziko?
To lze posoudit jen v konkrétním případě. Výpadek několika hodin se obvykle plánuje lépe než průnik, jehož následky a délku nezná nikdo. Rozvahu zaznamenejte písemně, bez ohledu na to, jak dopadne.
Smí údržbová stránka běžet na stejném serveru?
Ano, pokud se doručuje jako statický soubor bez PHP. Pokud se údržbová stránka dál generuje přes PHP, útočná plocha zůstává.
Je vyčkání někdy správná volba?
Ano, v jasně vymezených případech: pokud na systému PHP neběží, pokud není dostupný z internetu, nebo pokud poskytovatel záplatu a restart písemně potvrdil. Vyčkávání bez takových dokladů není možnost, ale riziko.
Kdo by měl rozhodnutí učinit?
Osoba, která odpovídá za podnikatelské riziko, zpravidla vedení firmy nebo majitel. IT dodává fakta. Kdo rozhoduje, by mělo být předem uvedeno v krizovém plánu.