Stručně: PHP2Shell je název dvou kritických bezpečnostních zranitelností přímo v PHP, CVE-2026-109618 a CVE-2026-109619. Přes ně mohou útočníci na zranitelných webových serverech bez přihlášení spouštět škodlivý kód. Nápravu přináší jen aktualizace na opravenou verzi PHP s následným restartem všech procesů PHP.
Co je PHP2Shell?
PHP je programovací jazyk, na kterém běží velká část všech webů: firemní stránky s WordPressem nebo TYPO3, e-shopy se Shopwarem nebo WooCommerce, interní portály a vlastní vývoje. Dne 21. října 2026 vydal projekt PHP bezpečnostní aktualizace pro dvě zranitelnosti, které se staly známými pod názvem PHP2Shell.
Obě zranitelnosti jsou hodnoceny CVSS v4.0 9.2, tedy jako kritické. Důsledek je v obou případech stejný: spuštění škodlivého kódu na dálku, aniž by se útočník musel přihlásit. Odborníci mluví o „unauthenticated Remote Code Execution“. Kdo může na serveru spouštět kód, může v nejhorším případě číst data, zabudovat zadní vrátka nebo server využít k dalším útokům.
Důležité pro pochopení: zranitelnost není v konkrétním CMS ani pluginu, ale v PHP. Aktualizace WordPressu, Shopwaru nebo TYPO3 ji proto neuzavře.
Proč je zranitelnost tak závažná?
Tři body dělají PHP2Shell z pohledu bezpečnostních úřadů obzvlášť citlivým:
- Rozsah: Postiženy jsou běžné provozní režimy PHP, a to PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Palo Alto Networks (Unit 42) napočítalo více než 22,6 milionu exponovaných, potenciálně zranitelných instancí.
- Přihlášení není potřeba: Útočník nepotřebuje heslo ani uživatelský účet.
- Brzký okamžik: U Apache s mod_php byl podle týmu PHP předveden exploit ještě předtím, než se vůbec spustí kód aplikace. Ochranné funkce uvnitř webu pak nezabírají.
BSI (německý Spolkový úřad pro informační bezpečnost) vyhlásil výstražný stupeň 3 (oranžový). Doporučuje okamžitou aktualizaci a, pokud ta není okamžitě možná, postižené webové servery dočasně odpojit od sítě.
Které servery PHP2Shell postihuje?
Zranitelnosti jsou opraveny v PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35. Starší stavy těchto větví jsou postižené. Pro PHP 8.1 a starší už oficiální aktualizace neexistují; podle odborného tisku jsou postiženy téměř všechny verze zpětně až po PHP 5.4. Úplný přehled najdete na stránce Které verze PHP jsou postižené?.
Zvláštnost: distribuce Linuxu a poskytovatelé hostingu opravy někdy nasazují jako backport. Plesk pak dál zobrazuje například 8.2.34, přestože je chyba opravena. Rozhodující jsou stav balíčku a potvrzení poskytovatele. Jak to ověřit, vysvětlujeme na stránce Jak správně ověřit verzi PHP a stav záplaty.
Co je doloženo a co zůstává otevřené?
Doložena jsou obě čísla CVE, opravené verze a přechodná opatření, která php.net zveřejnil. Dne 23. října přibylo upozornění na další zranitelnost, CVE-2026-115560, která se uplatní jen při neobvyklé konfiguraci.
Pravděpodobné je, že útočníci nezáplatované servery dál aktivně vyhledávají. Podle zpráv médií byl první pokus o útok pozorován již 17. října, tedy před vydáním záplat. Cloudflare hlásil pokusy o útok a nasadil ochranná pravidla, upozorňuje však, že pravidla jen podle dat požadavku nestačí.
Otevřené je, kolik serverů již bylo úspěšně napadeno. Potvrzené úspěšné útoky v širokém měřítku nebyly podle BSI zpočátku známy. Neexistují zveřejněné potvrzené indikátory kompromitace (IOC). Zda byl server postižen, lze proto posoudit jen analýzou chování. Časový průběh shrnuje Chronologie od 17. do 25. října.
Co by firmy měly udělat nyní
- Ujasnit, kdo je odpovědný: vlastní server, spravovaný server nebo poskytovatel hostingu.
- Aktualizovat PHP na opravenou verzi nebo potvrzený backport.
- Restartovat všechny procesy PHP. Samotné nové soubory nestačí, dokud staré procesy běží v paměti.
- Zajistit logy, a to od 20. října. Odborný tisk radí tato data uchovat.
- Zkontrolovat stopy. Záplata neodstraní již vložený škodlivý software a nedokazuje, že se předtím nic nestalo. Pokyny najdete na stránce Jsem už napaden?.
Aktualizace dveře zavře, ale neuklidí. Pokud byl váš server mezi 17. říjnem a záplatou dostupný, je kontrola stop povinností, ne volbou.
Jak konkrétně pomáhá PHP SOS?
Prostřednictvím okamžité pomoci při PHP2Shell přebíráme kroky, které mnoho firem interně v krátké době nezvládne:
- Inventura: Zjistíme verzi PHP, provozní režim a stav balíčku každého postiženého serveru.
- Záplata nebo přechod: Nasadíme aktualizaci, nebo tam, kde to zatím nejde, nastavíme přechodná opatření z php.net a vyjasníme otázku, zda musí být server dočasně odpojen od sítě.
- Restart a doklad: Restartujeme všechny procesy PHP a zdokumentujeme stav před a po.
- Kontrola stop: Zajistíme logy od 20. října a kontrolujeme nesrovnalosti, dokud není incident uzavřen a zdokumentován.
Časté dotazy
Je PHP2Shell zranitelnost WordPressu?
Ne. Zranitelnosti jsou v PHP, tedy v programovacím jazyce, na kterém běží WordPress, Shopware, TYPO3 a mnoho dalších systémů. Aktualizace CMS je proto neuzavře. Rozhodující je stav PHP na serveru.
Musím jako zákazník poskytovatele hostingu něco udělat sám?
U sdíleného hostingu aktualizaci PHP zpravidla nasazuje poskytovatel hostingu. Přesto byste si měli nechat písemně potvrdit, že vámi používaná verze PHP byla záplatována a restartována. Zda se před záplatou něco stalo, aktualizace nevysvětlí.
Odkud pochází název PHP2Shell?
Název popisuje důsledek: přes PHP může útočník v nejhorším případě získat na serveru příkazovou řádku, tedy shell. Oficiální označení jsou čísla CVE-2026-109618 a CVE-2026-109619.
Byl můj web už napaden, pokud byl odpojen od sítě?
Ne nutně. Někteří poskytovatelé weby preventivně odpojili od sítě, jak doporučuje německý BSI, pokud aktualizace není okamžitě možná. Je to ochranné opatření, ne doklad útoku.