Stručně: BSI (německý Spolkový úřad pro informační bezpečnost) k PHP2Shell vyhlásil výstražný stupeň 3 (oranžový). Doporučení je jednoznačné: PHP okamžitě aktualizovat a pokud to hned nejde, dotčené webové servery dočasně odpojit od sítě. BSI počítalo s rychlým plošným zneužitím; potvrzené úspěšné útoky v širokém měřítku nebyly zprvu známy.
Varování BSI k PHP ve zkratce
Spolkový úřad pro informační bezpečnost je ústřední odborný úřad pro kybernetickou bezpečnost v Německu. K PHP2Shell vydal varování stupně 3 (oranžový). Důvodem jsou dvě kritické zranitelnosti v samotném PHP: CVE-2026-109618 a CVE-2026-109619, obě hodnoceny CVSS v4.0 9,2. Umožňují útočníkům spustit na serveru škodlivý kód bez přihlášení.
Hlavní sdělení varování lze shrnout takto:
| Sdělení | Význam pro provozovatele |
|---|---|
| Výstražný stupeň 3 / oranžový | vážná situace, nutné jednat |
| Doporučena okamžitá aktualizace | nasadit opravené verze PHP |
| Jinak dočasně odpojit od sítě | dostupnost podřídit ochraně |
| Očekáváno rychlé plošné zneužití | nečekat na první hlášení škod |
| Úspěšné útoky v širokém měřítku zprvu nepotvrzeny | není důvod k uklidnění |
Aktuální znění najdete vždy na webu BSI.
Co „okamžitě aktualizovat“ prakticky znamená
Projekt PHP vydal opravené verze dne 21. 10. 2026 ve 14:00 UTC (16:00 německého času): PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pro PHP 8.1 a starší už oficiální aktualizace neexistují, pouze minimální backporty ve zdrojovém kódu pro 7.4, 8.0 a 8.1.
Aktualizace je účinná teprve tehdy, když byly restartovány všechny procesy PHP. Nové soubory samy nestačí, dokud staré workery běží v paměti. Navíc platí: distribuce a poskytovatelé hostingu opravy částečně nasazují jako backport. Pak například Plesk dál zobrazuje 8.2.34, přestože je zazáplatováno. Rozhodující jsou stav balíčků a potvrzení poskytovatele. A aktualizace CMS, například WordPressu, zranitelnost PHP neuzavře.
Pokud aktualizace není okamžitě možná
Pro tento případ BSI doporučuje webové servery dočasně odpojit od sítě. Je to tvrdé opatření, ale jasné. Pro mnoho firem je plánovaný výpadek několika hodin méně škodlivý než průnik s únikem dat.
php.net navíc uvádí přechodná opatření, která riziko snižují, ale výslovně neposkytují úplnou ochranu. Patří sem session.upload_progress.enabled=0 v konfiguraci serveru, omezené hodnoty post_max_size, limity paměti přes kontejnery nebo cgroups a na PHP 8.5 fatal_error_backtraces=0, pokaždé s následným restartem všech workerů. Podrobnosti najdete na stránce Okamžitá opatření bez záplaty.
Pokud veřejně dostupný webový server stále běží s nezazáplatovaným PHP a bez přechodných opatření, vyplývá z doporučení BSI: server odpojit od sítě, dokud není nasazena aktualizace a restartovány všechny procesy.
Zařazení situace
BSI se svým hodnocením nestojí osamoceně. Cloudflare hlásil pozorované pokusy o útok a nasadil ochranná pravidla, varuje ale, že pravidla jen na základě dat požadavku nestačí. Palo Alto Networks (Unit 42) napočítalo více než 22,6 milionu exponovaných, potenciálně zranitelných instancí. Podle zpráv médií byl první pokus o útok pozorován již 17. 10. 2026, tedy před zveřejněním záplat.
Pro provozovatele z toho plyne střízlivé hodnocení: kdo dosud nezáplatoval, měl by nejen záplatovat, ale také ověřit, zda se už něco nestalo. Záplata nezavlečený škodlivý software neodstraní. Zveřejněné, potvrzené indikátory kompromitace (Indicators of Compromise) neexistují; detekce spočívá na analýze chování. Odborný tisk radí uchovávat logy serveru od 20. 10. 2026. Pokyny k hledání najdete na stránce Jsem už kompromitován?.
Co doporučení znamená pro odpovědné osoby
Varování BSI není zákon. Je to ale hodnocení příslušného odborného úřadu a při pozdějším posuzování rozhodnutí, například ze strany pojišťoven nebo kontrolorů, může hrát roli. Vedení společností by proto mělo zdokumentovat, kdy se o varování dozvědělo, jak vyhodnotilo vlastní systémy a jaká opatření přijalo. Obecné pokyny najdete na stránce Odpovědnost jednatele; nejde o právní poradenství.
V praxi se doporučuje varování nečíst jen jednou. BSI svá hlášení aktualizuje, když se situace změní, například při nových poznatcích o zneužití nebo o dalších zranitelnostech. Od 23. 10. 2026 navíc existuje upozornění od php.net k CVE-2026-115560, které se týká jen neobvyklých konfigurací a také se zmírňuje pomocí session.upload_progress.enabled=0. Určete osobu, která bude BSI a php.net až do uzavření situace denně kontrolovat a změny předávat technice a vedení. Tak nevznikne rozdíl ve znalostech mezi těmi, kdo rozhodují, a těmi, kdo provádějí.
Jak konkrétně pomáhá PHP SOS?
- Porovnáme vaše webové servery s doporučením BSI: verze, stav balíčků, restart, dostupnost.
- V rámci okamžité pomoci při PHP2Shell zazáplatujeme, restartujeme všechny procesy a dodáme doklad.
- Kde aktualizace hned nejde, nastavíme přechodná opatření a podle potřeby poskytneme statickou náhradní stránku.
- Zajistíme logy a hledáme stopy, abyste mohli situaci po záplatě spolehlivě posoudit.
Časté dotazy
Co znamená výstražný stupeň 3 (oranžový) u BSI?
Barva popisuje zvýšenou, vážnou hrozbu s potřebou jednat. U PHP2Shell to BSI odůvodňuje kritičností zranitelností a očekávaným rychlým zneužitím. Přesnou definici stupňů najdete na webu BSI.
Musím doporučení BSI dodržet?
Varování BSI je doporučení, nikoli zákon. Je to ale závažné hodnocení příslušného odborného úřadu, o které se mohou opírat pojišťovny, kontroloři a soudy. Kdo se odchýlí, měl by důvody zdokumentovat. Nejde o právní poradenství.
Byly podle BSI už úspěšné útoky?
Potvrzené úspěšné útoky v širokém měřítku nebyly podle BSI zprvu známy. BSI ale počítalo s rychlým plošným zneužitím. Jiná pracoviště již hlásila pokusy o útok.
Kde najdu aktuální znění varování?
Na webu BSI mezi aktuálními bezpečnostními varováními. Situace se může měnit; nejnovější stav pravidelně kontrolujte tam a na php.net.