Stručně: Pro zranitelnost PHP2Shell v PHP 8.1 neexistuje oficiální aktualizace. Projekt PHP dodává pro 7.4, 8.0 a 8.1 jen minimální zdrojové backporty, žádná hotová vydání. Kdo tyto verze provozuje, potřebuje potvrzený backport od svého poskytovatele nebo přechodná opatření a měl by nyní naplánovat přechod na podporovanou verzi.
Existuje proti zranitelnosti PHP 8.1 aktualizace?
Ne od projektu PHP. Dne 21. října 2026 vyšly oficiální opravy jen pro podporované větve: 8.5.12, 8.4.27, 8.3.36 a 8.2.35. PHP 8.1 a starší verze už oficiální aktualizace nedostávají.
Postiženy jsou přesto. Podle odborného tisku sahají zranitelné verze téměř souvisle až po PHP 5.4. Kdo některou z těchto verzí provozuje veřejně dostupně, má tedy kritickou zranitelnost s CVSS v4.0 9.2 bez hotové záplaty.
Pro mnoho firem je to překvapení, protože takové systémy často roky běží stabilně a nenápadně. Že verze už nedostává aktualizace, si v každodenním provozu nikdo nevšimne, dokud se neobjeví zranitelnost jako PHP2Shell. Zdrojové backporty pro 7.4, 8.0 a 8.1 jsou výjimka, ne obnovení řádné péče.
Co zdrojové backporty znamenají
Pro 7.4, 8.0 a 8.1 existují minimální zdrojové backporty. Jsou to opravy ve zdrojovém kódu, které byly přeneseny do těchto starších větví. Nejsou oficiálním vydáním s číslem verze, otestovaným balíčkem a changelogem.
Prakticky to znamená: někdo musí backport převzít, znovu z něj sestavit PHP, otestovat a nasadit. To se může stát třemi cestami:
- Vaše distribuce převezme opravu do svých balíčků, například v rámci dlouhodobé péče.
- Váš poskytovatel hostingu sestavuje vlastní balíčky PHP a backport nasazuje.
- Vy sami nebo dodavatel sestavíte PHP ze zdrojových kódů. To je náročné a musí se to opakovat u každé další zranitelnosti.
Zda váš systém backport obdržel, ověříte podle changelogu balíčku:
apt changelog php8.1-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619" # Debian/Ubuntu
rpm -q --changelog php-fpm | grep -i -E "CVE-2026-109618|CVE-2026-109619" # rodina RHEL
Názvy balíčků se liší podle distribuce a zdroje balíčků. Pokud záznam chybí, zeptejte se poskytovatele. Jak kontrola funguje podrobně, najdete na stránce Jak správně ověřit verzi PHP a stav záplaty.
Zabezpečení starého serveru do migrace
Dokud neběží potvrzený backport, platí přechodná opatření z php.net: nepřepsatelné memory_limit=-1 s limitem paměti přes cgroup, post_max_size 8M nebo 32M s nižším upload_max_filesize a session.upload_progress.enabled=0 v konfiguraci serveru, poté restartovat všechny workery. Nejsou úplnou ochranou. Podrobnosti na stránce Okamžitá opatření, když zatím nelze záplatovat.
K tomu přistupují opatření, která snižují dostupnost: administrátorské oblasti jen přes VPN nebo povolené IP adresy, vypnout nepotřebné weby, přístupy k serveru úzce omezit. BSI (německý Spolkový úřad pro informační bezpečnost) doporučuje servery bez aktualizace dočasně odpojit od sítě. U staré, těžko migrovatelné aplikace může být odizolované řešení poctivější odpovědí než provoz v otevřeném internetu.
Pokud server s PHP 8.1 nebo starším běžel od 17. října nechráněně v síti, berte to vážně: BSI počítal s rychlým plošným zneužíváním. Zajistěte logy od 20. října a nechte server zkontrolovat na stopy, než začnete migrovat.
Plánování migrace: na kterou verzi?
Cílem je verze, kterou projekt PHP podporuje a kterou vaše aplikace snese. PHP 8.2 zranitelnost uzavírá od 8.2.35, ale 31. 12. 2026 dosáhne konce podpory. Kdo nyní migruje, měl by proto pokud možno přejít na 8.3 nebo novější, pokud to aplikace dovolí. Aktuální stav uvádí php.net na stránce podporovaných verzí.
Kterou verzi PHP podporuje vaše CMS nebo e-shop, ověřte podle systémových požadavků výrobce, například na wordpress.org, shopware.com nebo typo3.org. Často je nutné nejprve aktualizovat samotnou aplikaci, než lze PHP změnit. Typickým případem jsou starší e-shopy, které popisujeme na stránce Shopware 5. Souvislosti důsledků zastaralých verzí najdete na stránce Konec životnosti PHP: rizika zastaralých verzí.
| Krok | Obsah |
|---|---|
| Stav | verze PHP, aplikace, rozšíření, vlastní úpravy |
| Požadavky | podporované verze PHP podle výrobce |
| Testovací prostředí | kopie s novou verzí PHP, vyhodnocení chybového protokolu |
| Přepnutí | plánované servisní okno, připravená cesta zpět |
| Dokončení | zkontrolovat přechodné hodnoty, zavést sledování |
Jak konkrétně pomáhá PHP SOS?
Prostřednictvím migrace z PHP 8.1 a starší vás provedeme od staré verze k podporované:
- Ihned zabezpečit: zkontrolovat stav backportu, nastavit přechodná opatření, snížit dostupnost.
- Zkontrolovat stopy: zajistit logy od 20. října a vyhodnotit je na nesrovnalosti.
- Připravit migraci: ujasnit kompatibilitu podle výrobce, vytvořit testovací prostředí, opravit chyby.
- Přepnout a doložit: nasadit novou verzi PHP, restartovat všechny procesy, zdokumentovat stav.
Časté dotazy
Týká se PHP2Shell i PHP 8.1?
Podle odborného tisku jsou postiženy téměř všechny verze zpětně až po PHP 5.4, včetně PHP 8.1. Projekt PHP pro 8.1 už oficiální aktualizace nevydává, jen minimální zdrojové backporty.
Co je zdrojový backport?
Oprava ve zdrojovém kódu, která byla přenesena do starší větve verzí. Není to hotové vydání: někdo ji musí převzít, znovu sestavit PHP, otestovat a nasadit. To může provést váš poskytovatel distribuce, poskytovatel hostingu nebo dodavatel.
Stačí přejít na PHP 8.2?
Krátkodobě PHP 8.2.35 zranitelnost uzavře. PHP 8.2 ale dosáhne 31. 12. 2026 konce podpory. Kdo stejně migruje, měl by proto ověřit, zda aplikace podle výrobce podporuje i 8.3 nebo novější.
Můj e-shop běží jen na PHP 7.4. Co teď?
Pak jsou nutné dvě věci souběžně: zabezpečit server přechodnými opatřeními a odizolováním a dostat aplikaci na verzi, která snese podporovanou verzi PHP. Která to je, stojí v systémových požadavcích výrobce.