PHP2Shell: vše o kritické zranitelnosti PHP
Dvě kritické zranitelnosti přímo v PHP, CVSS 9.2, škodlivý kód bez přihlášení. Zde najdete, co je doloženo, které verze jsou bezpečné a co nyní udělat.
Co je PHP2Shell? Zranitelnost srozumitelně
PHP2Shell jsou dvě kritické zranitelnosti přímo v PHP, přes které mohou útočníci bez přihlášení spouštět kód na webových serverech. Situace jasnými slovy.
Číst dál →02CVE-2026-109618: RCE přes stav nedostatku paměti
CVE-2026-109618 je jedna ze dvou zranitelností PHP2Shell: stav out of memory může přerušit PHP uprostřed zpracování požadavku. Opraveno od PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.
Číst dál →03CVE-2026-109619: RCE přes zastaralý globální stav
CVE-2026-109619 je druhá zranitelnost PHP2Shell: vnitřní stav požadavku může po uvolnění paměti přetrvat a využije ho další požadavek ve stejném workeru.
Číst dál →04CVE-2026-115560: upozornění k session upload progress
CVE-2026-115560 je upozornění php.net z 23. 10. 2026: možné spuštění kódu jen při neobvyklé konfiguraci session. Řešení do dalšího vydání: session.upload_progress.enabled=0.
Číst dál →05Které verze PHP jsou postižené?
PHP2Shell je opraveno v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Pro PHP 8.1 a starší už oficiální aktualizace neexistují. Tabulka ukazuje stav pro každou větev.
Číst dál →06Jak správně ověřit verzi PHP a stav záplaty
Zobrazená verze PHP sama neřekne, zda je PHP2Shell uzavřeno. Rozhodují stav balíčku, backporty a to, zda skutečně běží nové procesy.
Číst dál →07Proč nese mod_php nejvyšší riziko
U Apache s mod_php hodnotí tým PHP riziko PHP2Shell jako nejvyšší: tam byl předveden exploit dřív, než se spustí kód aplikace. Jak zkontrolovat a jednat.
Číst dál →08Po aktualizaci: restart PHP-FPM a všech workerů
Aktualizace PHP začne působit až po restartu všech procesů PHP. Zde jsou příkazy pro PHP-FPM, Apache, LiteSpeed a kontejnery a jak restart ověřit.
Číst dál →09Okamžitá opatření, když zatím nelze záplatovat
Pokud aktualizace PHP zatím není možná, přechodná opatření z php.net riziko snižují, ale plně nechrání. Jak je správně nastavit.
Číst dál →10PHP 8.1 a starší: co nyní platí
Pro PHP 8.1, 8.0, 7.4 a starší verze neexistují proti PHP2Shell oficiální aktualizace. Co zdrojové backporty zvládnou a jak vypadá cesta k podporované verzi.
Číst dál →11Záplatování PHP v kontejnerech Dockeru
Kontejnery se samy nezáplatují. Proti PHP2Shell musíte image PHP znovu sestavit nebo stáhnout a každý kontejner vytvořit z nového image.
Číst dál →12Jsem už napaden? Známky po PHP2Shell
Pro PHP2Shell neexistují potvrzená IOC. Podle čeho přesto poznáte, zda byl váš server napaden, a jak kontrolovat, aniž byste zničili stopy.
Číst dál →Každá hodina se počítá. Napište nám hned.
Stručně popište systém, verzi PHP a pozorování. Ozveme se, vyjasníme situaci a budeme pracovat na dálku, dokud nebude incident uzavřen a zdokumentován.