# Časová osa PHP2Shell: chronologie od 17. do 25. října 2026

> Časová osa PHP2Shell stručně: od prvního pokusu o útok 17. 10. po stav k 25. 10. 2026. Co každé datum znamená pro vaše logy a kontroly serveru.

Zdroj: https://phpsos.de/cs/ratgeber/php2shell-chronologie/  
Stav: 25.10.2026  
Poskytovatel: PHP SOS, Nouzová pomoc pro PHP a bezpečnost serverů. Okamžitá pomoc přes WhatsApp: https://wa.me/491736494914?text=Dobr%C3%BD%20den%2C%20PHP%20SOS%2C%20pot%C5%99ebujeme%20pomoc%20s%20na%C5%A1%C3%ADm%20PHP%20serverem.%20Firma%3A%20%E2%80%A6%20Web%3A%20%E2%80%A6

**Stručně:** Časová osa PHP2Shell zahrnuje dosud čtyři doložená data: první pozorovaný pokus o útok 17. 10., předběžné oznámení na php.net 20. 10., záplaty 21. 10. v 16 hodin německého času a další upozornění k CVE-2026-115560 z 23. 10. 2026. Pro provozovatele z toho plyne: záplatovat, restartovat všechny procesy PHP a zajistit logy nejpozději od 20. 10.

## Proč je časová osa PHP2Shell pro provozovatele důležitá

U zranitelnosti této závažnosti nezáleží jen na tom, zda je váš server dnes záplatovaný. Rozhodující je také to, jak dlouho byl předtím zranitelný. Toto časové okno určuje, které logy zajistíte, které soubory zkontrolujete a zda můžete kompromitaci s dobrým důvodem vyloučit.

PHP2Shell se týká samotného PHP, nikoli jednoho CMS. Dvě kritické zranitelnosti, CVE-2026-109618 a CVE-2026-109619, umožňují spuštění škodlivého kódu na dálku bez přihlášení. Obě jsou hodnoceny CVSS v4.0 9.2. Srozumitelný úvod najdete v článku [Co je PHP2Shell?](https://phpsos.de/cs/php2shell/was-ist-php2shell/).

Následující chronologie obsahuje jen data, která jsou k 25. 10. 2026 doložena. Kde se údaj opírá o zprávy médií, je to uvedeno.

| Datum | Událost | Podklad |
|---|---|---|
| 17. 10. 2026 | První pozorovaný pokus o útok (Amazon) | Zprávy médií |
| 20. 10. 2026 | Předběžné oznámení na php.net | php.net |
| 21. 10. 2026, 14:00 UTC | Vydání záplat (16 hodin německého času) | php.net |
| 23. 10. 2026 | Upozornění k CVE-2026-115560 | php.net |
| 25. 10. 2026 | Stav tohoto přehledu | – |

## 17. října: první pozorovaný pokus o útok

Podle zpráv médií byl 17. 10. 2026 pozorován první pokus o útok, který ohlásil Amazon. Bylo to čtyři dny před vydáním záplat. Existovalo tedy období, kdy se už útoky zkoušely, ale aktualizace ještě neexistovala.

Zda a kolik útoků bylo v této fázi úspěšných, doloženo není. Důležitý je důsledek pro vaši vlastní kontrolu: server, který je dnes záplatovaný, mohl být kompromitován už dříve. Záplata neodstraní podstrčený škodlivý software a nedokazuje, že se předtím nic nestalo.

## 20. a 21. října: předběžné oznámení a záplaty

Dne 20. 10. 2026 projekt PHP oznámil bezpečnostní aktualizace na php.net. Dne 21. 10. 2026 ve 14:00 UTC, tedy v 16 hodin německého času, následovaly opravené verze.

| Větev | Poslední zranitelný stav | Opraveno ve verzi |
|---|---|---|
| PHP 8.5 | 8.5.11 | 8.5.12 |
| PHP 8.4 | 8.4.26 | 8.4.27 |
| PHP 8.3 | 8.3.35 | 8.3.36 |
| PHP 8.2 | 8.2.34 | 8.2.35 |

Pro PHP 8.1 a starší už oficiální aktualizace neexistují, jen minimální zdrojové backporty pro 7.4, 8.0 a 8.1. Podle odborného tisku jsou postiženy téměř všechny verze zpětně až po PHP 5.4. Postiženy jsou provozní režimy PHP-FPM, Apache s mod_php, php-cgi, FrankenPHP a LiteSpeed. Nejvyšší riziko vidí tým PHP u mod_php, kde byl exploit předveden dříve, než se vůbec spustí kód aplikace.

Distribuce a poskytovatelé hostingu někdy nasazují backporty. Plesk pak například dál zobrazuje 8.2.34, přestože je server záplatovaný. Rozhodující je stav balíčku a potvrzení poskytovatele, nikoli zobrazené číslo verze. Jak to správně ověřit, vysvětluje článek [Jak správně ověřit verzi PHP a stav záplaty](https://phpsos.de/cs/php2shell/php-version-pruefen/).

## 23. října: upozornění k CVE-2026-115560

Dne 23. 10. 2026 vydal projekt PHP další upozornění, tentokrát k CVE-2026-115560. Zneužití je podle něj možné jen při neobvyklé konfiguraci: v konfiguraci je serialize_handler `php_binary` nebo `php_serialize`, aplikace jej před `session_start()` pomocí `ini_set()` přepne na `php` a je aktivní session upload progress.

Nápravné opatření je jednoduché a mělo by se nastavit bez ohledu na to, zda tuto konstelaci u sebe znáte:

```ini
; v php.ini, v poolu FPM nebo v konfiguraci serveru
; ne přes ini_set() ani .user.ini
session.upload_progress.enabled = 0
```

Poté restartujte všechny workery PHP. Úplné bezpečnostní upozornění (advisory) má vyjít s dalším řádným bugfix vydáním. Do té doby zůstává toto nastavení doporučeným přechodným řešením.

## Stav k 25. říjnu: situace a otevřené otázky

BSI (německý spolkový úřad pro informační bezpečnost) vyhlásil varovný stupeň 3 / oranžový. Doporučuje okamžitou aktualizaci a, pokud není možná hned, webové servery dočasně odpojit od sítě. BSI počítal s rychlým plošným zneužitím; potvrzené úspěšné útoky v širokém rozsahu nebyly podle BSI zprvu známy. Zařazení ze strany BSI shrnuje stránka [Co BSI k PHP2Shell doporučuje](https://phpsos.de/cs/compliance/bsi-empfehlungen/).

Cloudflare ohlásil pozorované pokusy o útok a nasadil ochranná pravidla, upozorňuje však, že pravidla založená jen na datech požadavku nestačí. Palo Alto Networks (Unit 42) napočítal více než 22,6 milionu exponovaných, potenciálně zranitelných instancí. Potvrzené indikátory kompromitace nejsou zveřejněny; detekce se opírá o analýzu chování.

Někteří poskytovatelé webové stránky preventivně vypnuli. To automaticky neznamená, že tyto stránky byly napadeny. K datu tohoto přehledu zůstává otevřené hlavně to, kolik serverů bylo v době před záplatou skutečně kompromitováno.

## Co časová osa znamená pro vaše logy a kontroly

Z dat vyplývají tři období: před 17. 10., mezi 17. 10. a okamžikem vaší vlastní záplaty a restartu, a poté. Prostřední období je kritické. Čím déle u vás trvalo, tím důkladnější by měla být kontrola.

> **Důležité:**
> Odborný tisk radí uchovávat logy serveru od 20. 10. 2026. Zajistěte i starší dostupné logy, než je smaže automatická rotace.

Jednoduchý způsob, jak logy zajistit beze změny a zaznamenat stav:

```bash
# Logy zajistit společně (cesty upravte podle svého systému)
sudo tar czf /root/logs-sicherung-$(date +%F).tar.gz /var/log/apache2 /var/log/nginx /var/log/php*
# Kontrolní součet pro pozdější doklad
sha256sum /root/logs-sicherung-*.tar.gz
# Jak dlouho systém logy uchovává?
grep -R "rotate" /etc/logrotate.d/
```

Poznamenejte si také, kdy přesně byla aktualizace nasazena a kdy byly procesy PHP restartovány. Nové soubory samy o sobě nechrání, dokud v paměti běží staré procesy. Jak zajištěné logy vyhodnotit, popisuje příručka [Vyhodnocení logů webového serveru po útoku](https://phpsos.de/cs/ratgeber/logfiles-auswerten/).

## Jak konkrétně pomáhá PHP SOS?

- Společně s vámi určíme skutečné okno zranitelnosti vašeho serveru: stav balíčků, okamžik záplaty, restart všech workerů.
- Logy a stav systému zajistíme doložitelným způsobem, dříve než cokoli změníme.
- Zkontrolujeme nápadnosti v chování, například nové soubory PHP, cizí procesy a neobvyklá odchozí spojení.
- Výsledek zdokumentujeme tak, aby s ním mohli pracovat vedení, pověřenci pro ochranu osobních údajů a pojišťovny.

Průběh jednotlivých kroků popisuje naše [okamžitá pomoc při PHP2Shell](https://phpsos.de/cs/leistungen/php2shell-soforthilfe/).


## Časté dotazy

**Kdy byly záplaty PHP2Shell zveřejněny?**  
Projekt PHP vydal opravené verze 21. 10. 2026 ve 14:00 UTC, tedy v 16 hodin německého času. Opraveny jsou PHP 8.5.12, 8.4.27, 8.3.36 a 8.2.35.

**Od jakého data bych měl uchovávat logy serveru?**  
Odborný tisk radí uchovávat logy od 20. 10. 2026. Protože byl podle zpráv médií první pokus o útok pozorován už 17. 10., vyplatí se zajistit i starší dostupné logy dříve, než je smaže rotace.

**Je CVE-2026-115560 stejně nebezpečné jako obě první zranitelnosti?**  
Podle upozornění z 23. 10. 2026 je zneužití možné jen při neobvyklé konfiguraci session. Jako nápravné opatření platí session.upload_progress.enabled=0, dokud nevyjde další řádné bugfix vydání.

**Existují potvrzené indikátory kompromitace (IOC) k PHP2Shell?**  
Ne, k 25. 10. 2026 nejsou zveřejněny žádné potvrzené indikátory kompromitace. Detekce se opírá o analýzu chování, například neobvyklé procesy, nové soubory a nápadná spojení.

## Zdroje

- [php.net: bezpečnostní oznámení](https://www.php.net/)
- [PHP 8 ChangeLog](https://www.php.net/ChangeLog-8.php)
- [BSI: německý Spolkový úřad pro informační bezpečnost](https://www.bsi.bund.de/)
- [TechTarget: PHP2Shell, 22M exposed servers at risk](https://www.techtarget.com/cybersecurity/news/366652444/PHP2Shell-22M-exposed-servers-at-risk-as-emergency-patches-released)