Časté dotazy

PHP2Shell označuje dvě kritické zranitelnosti přímo v PHP (CVE-2026-109618 a CVE-2026-109619, CVSS 9.2). Mohou útočníkům umožnit spustit na serveru škodlivý kód bez přihlášení. Záplaty jsou k dispozici od 21. 10. 2026.

Opravy obsahují verze PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Hostingové firmy a distribuce někdy nasazují backporty, aniž by změnily číslo verze. Rozhodující je stav balíčku nebo písemné potvrzení poskytovatele.

Ne. Zranitelnost je v PHP, ne v CMS. Aktualizace CMS ji neuzavře. A záplata PHP neodstraní škodlivý kód, který byl vložen dříve.

Pracujeme na dálku a začneme, jakmile budou k dispozici přístupy. Napište nám přes WhatsApp systém, verzi PHP a co jste pozorovali. Další postup pak vyjasníme přímo.

Ano. Pracujeme přímo pro firmy, v pozadí na zakázku agentur a po dohodě s vaším poskytovatelem hostingu, pokud server spravuje on.

Pokud mohou být dotčeny osobní údaje, platí podle čl. 33 GDPR zpravidla lhůta pro hlášení 72 hodin od okamžiku, kdy jste se o incidentu dozvěděli. Zda se vás týká, ujasněte s pověřencem pro ochranu osobních údajů. Technickou dokumentaci k tomu dodáme my.

Ne. Zranitelnosti jsou v PHP, tedy v programovacím jazyce, na kterém běží WordPress, Shopware, TYPO3 a mnoho dalších systémů. Aktualizace CMS je proto neuzavře. Rozhodující je stav PHP na serveru.

U sdíleného hostingu aktualizaci PHP zpravidla nasazuje poskytovatel hostingu. Přesto byste si měli nechat písemně potvrdit, že vámi používaná verze PHP byla záplatována a restartována. Zda se před záplatou něco stalo, aktualizace nevysvětlí.

Název popisuje důsledek: přes PHP může útočník v nejhorším případě získat na serveru příkazovou řádku, tedy shell. Oficiální označení jsou čísla CVE-2026-109618 a CVE-2026-109619.

Ne nutně. Někteří poskytovatelé weby preventivně odpojili od sítě, jak doporučuje německý BSI, pokud aktualizace není okamžitě možná. Je to ochranné opatření, ne doklad útoku.

Může to stačit, pokud poskytovatel hostingu písemně potvrdí stav balíčku a všechny procesy PHP byly restartovány. Zobrazené číslo verze samo o sobě není důkaz, protože distribuce nasazují backporty. Zda byl server napaden již dříve, záplata každopádně nevysvětlí.

Ne nutně. Německý BSI doporučuje webové servery dočasně odpojit od sítě, pokud aktualizace není okamžitě možná. Zda je to ve vašem případě nutné, rozhodneme společně po inventuře.

Ne. PHP2Shell je přímo v PHP, ne v CMS. Aktualizace CMS zůstává užitečná, tuto zranitelnost ale neuzavře.

Pro tyto verze už projekt PHP nevydává oficiální aktualizace, existují jen minimální zdrojové backporty pro 7.4, 8.0 a 8.1. Server přechodně zabezpečíme a společně s vámi naplánujeme přechod na podporovanou verzi.

Podle čl. 33 GDPR od okamžiku, kdy se správce o porušení dozvěděl. Kdy to lze v jednotlivém případě předpokládat, je právní posouzení. Přesně proto zdokumentujte, kdo kdy měl jakou informaci.

Ne. Samotná zranitelnost ještě není porušením zabezpečení osobních údajů. Oznamovací povinnost může vzniknout, pokud existují náznaky, že neoprávněné osoby k takovým údajům měly nebo mohly mít přístup, a z toho vzniká riziko pro dotčené osoby.

Čl. 33 odst. 4 GDPR dovoluje poskytovat informace postupně, pokud je nelze poskytnout současně. Opožděné oznámení je třeba odůvodnit. Čekání na úplnou jasnost proto zpravidla není důvod nechat lhůtu uplynout.

Oznamovací povinnost má správce, tedy zpravidla firma, která web provozuje. Zpracovatel, například poskytovatel hostingu, musí správce podle čl. 33 odst. 2 GDPR bez zbytečného odkladu informovat.

U příslušného dozorového úřadu pro ochranu osobních údajů, u firem většinou u úřadu spolkové země, ve které mají sídlo. Většina úřadů k tomu nabízí online formuláře.