Stručně: K doloženým faktům o PHP2Shell patří obě čísla CVE, hodnocení CVSS v4.0 9.2, opravené verze PHP a přechodná opatření z php.net. Doložen je také výstražný stupeň oranžový od BSI (německý Spolkový úřad pro informační bezpečnost). Doloženo není hodnocení CVSS 10, potvrzené úspěšné útoky v širokém měřítku ani seznam rozpoznávacích znaků. Kdo tyto tři úrovně odděluje, rozhoduje lépe.
Proč je kontrola faktů k PHP2Shell nutná
Jen málokterá bezpečnostní zranitelnost posledních let vyvolala tak rychle tolik titulků. Už předtím, než tým PHP 21. října 2026 zveřejnil aktualizace, kolovaly podle zpráv příspěvky na fórech, snímky obrazovky a údajné podrobnosti. Poté následovala varování úřadů, blogy výrobců, sčítání exponovaných serverů a záplava rad.
Pro provozovatele to znamená: Ne každé číslo a ne každá rada mají stejnou kvalitu. Část pochází z primárních zdrojů, část z seriózního zpravodajství, část ze spekulací. Tento článek třídí, co můžete pro svá rozhodnutí použít jako jisté. Základy samotné zranitelnosti vysvětluje stránka Co je PHP2Shell?.
Jakou váhu mají které zdroje
Při čtení každé zprávy pomůže jednoduché pořadí:
- php.net: Projekt PHP je primárním zdrojem čísel CVE, hodnocení, postižených provozních režimů, opravených verzí a přechodných opatření. Jak projekt s bezpečnostními oznámeními obecně nakládá, popisuje náš článek o bezpečnostním procesu PHP.
- Úřady: BSI poskytuje zařazení situace v Německu a doporučení postupu, doplňují ho CERT-EU (tým pro kybernetickou bezpečnost institucí EU) a CERT-Bund (německý vládní CERT).
- Distribuce a poskytovatelé: Debian, Ubuntu, Red Hat, hostingové firmy a platformní služby závazně vypovídají jen o svých vlastních balíčcích a službách.
- Bezpečnostní firmy: Cloudflare, Unit 42, CybelAngel a další informují z vlastních měření. Cenné, ale vždy s vlastní metodikou.
- Média a sociální sítě: Dobré pro rychlost, slabé v podrobnostech. Tvrzení odtud potřebují potvrzení z vyšších úrovní.
Doloženo, uvedeno, nedoloženo: přehled
Následující tabulka řadí nejčastější tvrzení. „Doloženo“ znamená: primární zdroj nebo úřad. „Uvedeno“ znamená: z médií nebo od výrobců, nezávisle nepotvrzeno.
| Tvrzení | Zařazení | Podklad |
|---|---|---|
| Dvě zranitelnosti, CVE-2026-109618 a CVE-2026-109619 | doloženo | php.net |
| Hodnocení CVSS v4.0 9.2, kritické | doloženo | php.net |
| Hodnocení CVSS 10 | neudržitelné | podle zpráv z příspěvku na fóru před oznámením |
| Opraveno v 8.5.12, 8.4.27, 8.3.36, 8.2.35 | doloženo | php.net |
| mod_php s nejvyšším rizikem, exploit předveden před kódem aplikace | doloženo | php.net |
| Postiženy téměř všechny verze zpětně až po PHP 5.4 | uvedeno | odborný tisk |
| První pokus o útok 17. 10. | uvedeno | mediální zprávy s odvoláním na Amazon |
| Více než 22,6 mil. exponovaných instancí | uvedeno | Unit 42, podle TechTarget |
| Úspěšné útoky v širokém měřítku | nedoloženo | podle BSI zpočátku nebyly známy |
| Potvrzené indicators of compromise | neexistují | žádné zveřejnění |
| Přechodná opatření chrání zcela | nepravda | php.net je výslovně označuje za neúplná |
Je nápadné, jak brzy se čísla osamostatňují. Hodnocení 10.0 z příspěvku na fóru se objevovalo v článcích ještě po několika dnech, přestože tým PHP už dávno zveřejnil 9.2.
Kde je skutečná nejistota
Největší otevřená otázka není technická, ale časová: Co se stalo mezi prvním uváděným pokusem o útok a záplatou na jednotlivých serverech? Obecná odpověď neexistuje. Cloudflare a Patchstack informovaly o pokusech o útok, watchTowr podle vlastních údajů CVE-2026-109618 zreprodukoval. Huntress naopak v době svého oznámení v prostředích partnerů žádné útoky nezaznamenal.
Tato tvrzení si neodporují. Popisují různé výseky: velkou proxy službu, firmu zaměřenou na bezpečnost pluginů, výzkumný tým a firmu s vlastní zákaznickou základnou. Celkový obraz z nich nevznikne.
Podobně je tomu u otázky, které verze jsou postiženy. Pro 8.2 až 8.5 je situace jasná. Pro starší větve existují minimální zdrojové backporty pro 7.4, 8.0 a 8.1, ale žádná oficiální vydání. Co leží před nimi, je podle odborného tisku postiženo téměř bez výjimky. Pro vaše plánování to téměř nic nemění: Server s PHP 8.1 nebo starším bez potvrzeného backportu je nutné považovat za ohrožený.
Chybějící doklady o útocích nejsou dokladem bezpečí. Protože neexistují potvrzené rozpoznávací znaky, lze útok na jednotlivý server posoudit jen kontrolou chování, ne podle seznamu.
Co z toho vyvodit pro vaše servery
Z doložených faktů plyne několik jasných kroků. Z nedoložených plyne především opatrnost.
- Zkontrolovat stav záplat: opravená verze nebo backport potvrzený poskytovatelem. Samotné zobrazené číslo verze nestačí.
- Restartovat všechny procesy PHP: Nové soubory se projeví teprve tehdy, když už neběží žádné staré procesy.
- Zajistit logy od 20. 10.: Odborný tisk to doporučuje, aby zůstala možná pozdější kontrola.
- Hledat stopy: Nové soubory PHP ve složkách pro nahrávání, neznámé cron úlohy, procesy webového serveru se shellem. Kontrolou vás provede stránka Jsem už napaden?.
- Rady ověřovat: Tipy z fór a sociálních sítí uplatňujte jen tehdy, když je lze vysledovat k php.net nebo k úřadu. Která doporučení právě škodí, shromažďuje článek Nebezpečné falešné rady k PHP2Shell.
Pro interní komunikaci pomáhá stejné oddělení. Kdo vedení předloží „doloženo“, „uvedeno“ a „otevřeno“ odděleně, vyhne se jak poplašnosti, tak falešnému uklidnění.
Jak konkrétně pomáhá PHP SOS?
- Situace pro vaše systémy: Doložená fakta přenášíme na vaše servery a v dokumentaci oddělujeme, co bylo změřeno, co se uvádí a co je otevřené.
- Záplata a doklad: Kontrolujeme stav balíčků a restart každé služby PHP a písemně to zaznamenáváme.
- Kontrola stop: Zajišťujeme logy od 20. října a hledáme nápadnosti v chování, dokud není incident uzavřen a zdokumentován.
- Průběžné zařazování: Nové zprávy pro vás zařazujeme dříve, než se z nich stanou opatření.
Postup popisuje okamžitá pomoc při PHP2Shell.
Závěr
PHP2Shell je vážné a je to dobře doloženo. Právě proto stojí za to střízlivý pohled: Primární zdroje stačí pro všechna důležitá rozhodnutí. Co koluje nad to, je často rychlejší než přesné. Záplatovat, restartovat, zajistit logy a hledat stopy zůstává odpovědí bez ohledu na to, které číslo právě koluje.
Časté dotazy
Je PHP2Shell hodnoceno CVSS 10?
Ne. Číslo 10 pochází podle zpráv z příspěvku na fóru, který koloval před oficiálním oznámením. Tým PHP hodnotí obě zranitelnosti CVSS v4.0 9.2. I to je kategorie kritická.
Existuje seznam rozpoznávacích znaků útoků PHP2Shell?
Zatím ne. Nebyly zveřejněny žádné potvrzené indicators of compromise. Kdo chce zjistit, zda byl server dotčen, musí sledovat nápadnosti v chování, například procesy webového serveru, které spouštějí shell, nebo nové soubory PHP ve složkách pro nahrávání.
Který zdroj je u PHP2Shell nejspolehlivější?
Pro technická fakta oznámení na php.net, pro odhad situace v Německu BSI. Mediální zprávy a blogy výrobců obraz doplňují, ale měly by být označeny jako zprávy a čteny ve srovnání s primárním zdrojem.
Jsou opravdu postiženy všechny verze PHP od PHP 5?
Doložená je situace pro větve 8.2 až 8.5, pro které existují aktualizace. Podle odborného tisku jsou postiženy téměř všechny verze zpětně až po PHP 5.4; CERT-EU podle zpráv považoval za možné i verze od PHP 5. Pro starší verze žádné oficiální aktualizace neexistují, a proto je v každém případě považujte za ohrožené.